Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.
Configuración de registros de Amazon MQ para ActiveMQ
Para permitir que Amazon MQ publique registros en CloudWatch Logs, debe añadir un permiso a su usuario de Amazon MQ y también configurar una política basada en recursos para Amazon MQ antes de crear o reiniciar el agente.
nota
Al activar los registros y publicar mensajes desde la consola web de ActiveMQ, el contenido del mensaje se envía a los registros y se muestra en ellos. CloudWatch
A continuación se describen los pasos para configurar los CloudWatch registros de sus agentes de ActiveMQ.
Temas
Comprender la estructura de los registros de inicio de sesión CloudWatch
Puede habilitar registros generales y de auditoría cuando defina las opciones de configuración avanzada del agente o cuando edite un agente.
El registro general habilita el nivel de INFO registro predeterminado (no se admite el DEBUG registro) y se publica activemq.log en un grupo de registros de tu CloudWatch cuenta. El grupo de registros tiene un formato similar al siguiente:
/aws/amazonmq/broker/b-1234a5b6-78cd-901e-2fgh-3i45j6k178l9/generalhttps://activemq.apache.org/audit-logging.htmlaudit.log en un grupo de registros de tu cuenta. CloudWatch El grupo de registros tiene un formato similar al siguiente:
/aws/amazonmq/broker/b-1234a5b6-78cd-901e-2fgh-3i45j6k178l9/auditEn función de si tiene un agente de instancia única o un active/standby agente, Amazon MQ crea uno o dos flujos de registros dentro de cada grupo de registros. Los flujos de registros tienen un formato similar al siguiente.
activemq-b-1234a5b6-78cd-901e-2fgh-3i45j6k178l9-1.log
activemq-b-1234a5b6-78cd-901e-2fgh-3i45j6k178l9-2.logLos sufijos -1 y -2 indican instancias de agentes individuales. Para obtener más información, consulte Cómo trabajar con grupos de registros y transmisiones de registros en la guía del usuario de Amazon CloudWatch Logs.
Agregar el permiso CreateLogGroup a su usuario de Amazon MQ
Para permitir que Amazon MQ cree un grupo de CloudWatch registros de Logs, debe asegurarse de que el usuario que crea o reinicia el agente tiene el logs:CreateLogGroup permiso.
importante
Si no agrega el permiso CreateLogGroup a su usuario de Amazon MQ antes de que el usuario cree o reinicie el agente, Amazon MQ no crea el grupo de registros.
El siguiente ejemplo IAM-based de política concede permisos a logs:CreateLogGroup los usuarios a los que se adjunta esta política.
nota
Aquí, el término usuario se refiere a usuarios, no a usuarios de Amazon MQ, que se crean cuando se configura un nuevo agente. Para obtener más información acerca de la configuración de usuarios y de políticas de IAM, consulte la sección Información general sobre administración de identidades de la Guía del usuario de IAM.
Para obtener más información, consulte CreateLogGroup la referencia de la API de Amazon CloudWatch Logs.
Configurar una política basada en recursos para Amazon MQ.
importante
Si no configuras una política basada en recursos para Amazon MQ, el agente no podrá publicar los registros en Logs. CloudWatch
Para permitir que Amazon MQ publique registros en su grupo de registros de CloudWatch Logs, configure una política basada en los recursos para que Amazon MQ acceda a las siguientes acciones de la API de Logs: CloudWatch
-
CreateLogStream— Crea una secuencia de CloudWatch registros para el grupo de registros especificado. -
PutLogEvents— Envía los eventos al flujo de registro de CloudWatch registros especificado.
La siguiente política basada en recursos otorga permisos para logs:CreateLogStream y logs:PutLogEvents para. AWS
Esta política basada en recursos se debe configurar mediante el comando que AWS CLI se muestra a continuación. En el ejemplo, reemplace us-east-1
aws --regionus-east-1logs put-resource-policy --policy-name AmazonMQ-logs \ --policy-document "{\"Version\": \"2012-10-17\", \"Statement\":[{ \"Effect\": \"Allow\", \"Principal\": { \"Service\": \"mq.amazonaws.com\" }, \"Action\": [\"logs:CreateLogStream\", \"logs:PutLogEvents\"], \"Resource\": \"arn:aws:logs:*:*:log-group:\/aws\/amazonmq\/*\" }]}"
nota
Como en este ejemplo se usa el /aws/amazonmq/ prefijo, es necesario configurar la política basada en los recursos solo una vez por cuenta y por región. AWS
Cross-service confusa prevención adjunta
El problema de la sustitución confusa es un problema de seguridad en el que una entidad que no tiene permiso para realizar una acción puede obligar a una entidad con más privilegios a realizar la acción. En AWS, la suplantación de identidad entre servicios puede resultar en el confuso problema de los diputados. Cross-service la suplantación de identidad puede ocurrir cuando un servicio (el servicio llamante) llama a otro servicio (el servicio llamado). El servicio que lleva a cabo las llamadas se puede manipular para utilizar sus permisos a fin de actuar en función de los recursos de otro cliente de una manera en la que no debe tener permiso para acceder. Para evitarlo, AWS proporciona herramientas que te ayudan a proteger los datos de todos los servicios con los directores de servicio que han tenido acceso a los recursos de tu cuenta.
Le recomendamos que utilice las claves de contexto de condición aws:SourceAccount global aws:SourceArn y global en su política basada en recursos de Amazon MQ para limitar el acceso a CloudWatch los registros a uno o más agentes específicos.
nota
Si se utilizan ambas claves contextuales de condición global, el valor aws:SourceAccount y la cuenta del valor aws:SourceArn deben utilizar el mismo ID de cuenta cuando se utilicen en la misma declaración de política.
El siguiente ejemplo muestra una política basada en recursos que limita el acceso a los CloudWatch registros a un único agente de Amazon MQ.
También puede configurar su política basada en los recursos para limitar el acceso a CloudWatch los registros a todos los agentes de una cuenta, como se muestra a continuación.
Para obtener más información sobre el problema de seguridad del suplente confuso, consulte El problema del suplente confuso en la Guía del usuario.
