CloudWatch pipeline, politiche e autorizzazioni IAM

Questa sezione fornisce i requisiti IAM per CloudWatch le pipeline. Le autorizzazioni variano in base all'origine dei dati e al metodo di integrazione.

La tabella seguente ti aiuta a identificare quali sezioni IAM si applicano al tuo caso d'uso.

Autorizzazioni API per chi chiama

Il principale IAM che effettua la chiamata CreateTelemetryPipeline necessita iam:PassRole dell'autorizzazione per tutti i ruoli a cui si fa riferimento nella configurazione della pipeline.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "PassRoleForPipelineSource",
            "Effect": "Allow",
            "Action": "iam:PassRole",
            "Resource": "arn:aws:iam::your-account-id:role/your-source-role",
            "Condition": {
                "StringEquals": {
                    "iam:PassedToService": [
                        "service-principal"
                    ],
                    "iam:AssociatedResourceARN": [
                        "arn:aws:observabilityadmin:your-region:your-account-id:telemetry-pipeline/*"
                    ]
                }
            }
        }
    ]
}

Sostituisci service-principal con il valore della tabella seguente in base al tuo caso d'uso.

Autorizzazioni per le regole della pipeline (solo sorgenti di CloudWatch log)

Quando viene utilizzato cloudwatch_logs come sorgente, il chiamante API necessita anche delle autorizzazioni per le operazioni sulle regole della pipeline. L'logs:PutPipelineRuleautorizzazione è richiesta per CreateTelemetryPipeline le operazioni e. UpdateTelemetryPipeline L'logs:DeletePipelineRuleautorizzazione è necessaria per DeleteTelemetryPipeline le operazioni.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "PipelineRuleForCloudWatchLogs",
            "Effect": "Allow",
            "Action": [
                "logs:PutPipelineRule",
                "logs:DeletePipelineRule"
            ],
            "Resource": "*"
        }
    ]
}

Politiche relative al ruolo di origine

Ogni pipeline richiede un ruolo IAM dedicato che il servizio assume per leggere i dati. Le seguenti sottosezioni forniscono le politiche complete (autorizzazione e fiducia) per ogni caso d'uso.

Third-party fonti (API Pull)

Questa sezione si applica a Microsoft Office 365, Microsoft Entra ID, Okta SSO, Palo Alto NGFW e alle integrazioni API di altri fornitori che memorizzano le credenziali in Secrets Manager. AWS

Policy di autorizzazione

La seguente politica consente al ruolo di recuperare le credenziali API archiviate.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "secrets-manager-access",
            "Effect": "Allow",
            "Action": [
                "secretsmanager:GetSecretValue"
            ],
            "Resource": "arn:aws:secretsmanager:your-region:your-account-id:secret:your-secret-name*"
        },
        {
            "Sid": "kms-access",
            "Effect": "Allow",
            "Action": "kms:Decrypt",
            "Resource": "arn:aws:kms:your-region:your-account-id:key/your-key-id"
        }
    ]
}

Policy di trust

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "telemetry-pipelines.observabilityadmin.amazonaws.com"
            },
            "Action": "sts:AssumeRole"
        }
    ]
}

Configurazione IAM completa per le pipeline API Pull

L'esempio seguente mostra tutte le policy IAM necessarie per creare una pipeline API Pull di terze parti end-to-end.

Politica di identità del chiamante: allega alla chiamata principale: CreateTelemetryPipeline

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "CreateApiPullPipeline",
            "Effect": "Allow",
            "Action": [
                "observabilityadmin:CreateTelemetryPipeline",
                "iam:PassRole"
            ],
            "Resource": "*"
        }
    ]
}

Politica di autorizzazione del ruolo di origine: allega al ruolo assunto dalla pipeline:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "SecretsManagerAccess",
            "Effect": "Allow",
            "Action": [
                "secretsmanager:GetSecretValue"
            ],
            "Resource": "arn:aws:secretsmanager:your-region:your-account-id:secret:your-secret-name*"
        }
    ]
}

Politica di attendibilità del ruolo di origine:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "telemetry-pipelines.observabilityadmin.amazonaws.com"
            },
            "Action": "sts:AssumeRole"
        }
    ]
}

Third-party fonti (consegna S3)

Questa sezione si applica a qualsiasi fornitore di terze parti che fornisce file di registro al bucket S3 (ad esempio, CrowdStrike Falcon, Wiz o Cisco Umbrella).

Policy di autorizzazione

La seguente politica consente al ruolo di leggere oggetti da S3 e utilizzare le notifiche SQS.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "s3-access",
            "Effect": "Allow",
            "Action": [
                "s3:GetObject"
            ],
            "Resource": "arn:aws:s3:::your-bucket-name/*"
        },
        {
            "Sid": "sqs-access",
            "Effect": "Allow",
            "Action": [
                "sqs:ReceiveMessage",
                "sqs:DeleteMessage",
                "sqs:ChangeMessageVisibility"
            ],
            "Resource": "arn:aws:sqs:your-region:your-account-id:your-queue-name"
        },
        {
            "Sid": "kms-access",
            "Effect": "Allow",
            "Action": "kms:Decrypt",
            "Resource": "arn:aws:kms:your-region:your-account-id:key/your-key-id"
        }
    ]
}

Policy di trust

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "telemetry-pipelines.observabilityadmin.amazonaws.com"
            },
            "Action": "sts:AssumeRole"
        }
    ]
}

Configurazione IAM completa per le pipeline di distribuzione S3

L'esempio seguente mostra tutte le policy IAM necessarie per creare una pipeline di distribuzione S3 end-to-end.

Politica di identità del chiamante: allega alla chiamata principale: CreateTelemetryPipeline

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "CreateS3Pipeline",
            "Effect": "Allow",
            "Action": [
                "observabilityadmin:CreateTelemetryPipeline",
                "iam:PassRole"
            ],
            "Resource": "*"
        }
    ]
}

Politica di autorizzazione del ruolo di origine: allega al ruolo assunto dalla pipeline:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "S3Access",
            "Effect": "Allow",
            "Action": [
                "s3:GetObject"
            ],
            "Resource": "arn:aws:s3:::your-bucket-name/*"
        },
        {
            "Sid": "SqsAccess",
            "Effect": "Allow",
            "Action": [
                "sqs:ReceiveMessage",
                "sqs:DeleteMessage",
                "sqs:ChangeMessageVisibility"
            ],
            "Resource": "arn:aws:sqs:your-region:your-account-id:your-queue-name"
        }
    ]
}

Politica di attendibilità del ruolo di origine:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "telemetry-pipelines.observabilityadmin.amazonaws.com"
            },
            "Action": "sts:AssumeRole"
        }
    ]
}

Dati personalizzati da S3

Questa sezione si applica alle tue applicazioni o infrastrutture che scrivono file di registro in un bucket S3.

La configurazione IAM è identica a. Third-party fonti (consegna S3) Utilizza la stessa politica di autorizzazione e la stessa politica di fiducia. La pipeline legge dal tuo bucket le notifiche degli eventi SQS indipendentemente da chi ha scritto i dati.

Dati personalizzati provenienti da Logs CloudWatch

Questa sezione si applica alle tue applicazioni che accedono a un gruppo di log CloudWatch Logs (ad esempio, funzioni Lambda, contenitori ECS o applicazioni EC2 personalizzate).

Policy di autorizzazione

La seguente politica consente al ruolo di elaborare i log dei gruppi di log specificati.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "logs-processing-access",
            "Effect": "Allow",
            "Action": [
                "logs:processWithPipeline"
            ],
            "Resource": [
                "arn:aws:logs:your-region:your-account-id:log-group:your-log-group-01",
                "arn:aws:logs:your-region:your-account-id:log-group:your-log-group-02"
            ]
        }
    ]
}

Puoi limitare questa autorizzazione utilizzando le chiavi logs:data_source_name and logs:data_source_type condition per limitare le sorgenti della pipeline che possono richiamare trasformazioni. Il logs:data_source_name valore corrisponde alla configurazione della data_source_name pipeline e logs:data_source_type corrisponde a quella della configurazione della data_source_type pipeline.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowProcessWithPipelineScopedDown",
            "Effect": "Allow",
            "Action": "logs:ProcessWithPipeline",
            "Resource": "arn:aws:logs:your-region:your-account-id:log-group:your-log-group-name",
            "Condition": {
                "StringEquals": {
                    "aws:ResourceAccount": "your-account-id",
                    "logs:data_source_name": "your-source-name",
                    "logs:data_source_type": "your-source-type"
                }
            }
        }
    ]
}

Policy di trust

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "logs.amazonaws.com"
            },
            "Action": "sts:AssumeRole"
        }
    ]
}

Configurazione IAM completa per CloudWatch le pipeline Logs

L'esempio seguente mostra tutte le policy IAM necessarie per creare una pipeline di CloudWatch Logs end-to-end.

Politica di identità del chiamante: allega alla chiamata principale: CreateTelemetryPipeline

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "CreateLogsPipeline",
            "Effect": "Allow",
            "Action": [
                "observabilityadmin:CreateTelemetryPipeline",
                "logs:PutPipelineRule",
                "logs:DeletePipelineRule",
                "iam:PassRole"
            ],
            "Resource": "*"
        }
    ]
}

Politica di autorizzazione del ruolo di origine: allega al ruolo assunto dalla pipeline:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "LogsProcessing",
            "Effect": "Allow",
            "Action": [
                "logs:processWithPipeline"
            ],
            "Resource": [
                "arn:aws:logs:your-region:your-account-id:log-group:your-log-group"
            ]
        }
    ]
}

Politica di attendibilità del ruolo di origine:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "logs.amazonaws.com"
            },
            "Action": "sts:AssumeRole"
        }
    ]
}

Venduto AWS registri di servizio

Questa sezione si applica ai log di AWS servizio forniti ai CloudWatch log, come i log di flusso VPC, i log delle query Route 53 e altri tipi di log forniti. AWS

La configurazione IAM è identica a. Dati personalizzati provenienti da Logs CloudWatch Utilizza la stessa politica di autorizzazione (logs:processWithPipelinelimitata al gruppo di log) e la stessa politica di attendibilità (logs.amazonaws.com).

Poiché utilizza il tipo di cloudwatch_logs sorgente, il chiamante necessita anche delle autorizzazioni logs:PutPipelineRule e logs:DeletePipelineRule delle autorizzazioni. Per informazioni, consulta Autorizzazioni per le regole della pipeline (solo sorgenti di CloudWatch log).

Policy delle risorse

CloudWatch Le politiche relative alle risorse di Logs sono necessarie per le S3-based fonti e le Manager-based fonti Secrets (integrazioni di terze parti). Le politiche relative alle risorse non sono necessarie per le fonti dei CloudWatch log (dati personalizzati o log forniti).

Dopo la chiamataCreateTelemetryPipeline, riceverai un ARN della pipeline. È quindi necessario chiamare logs:PutResourcePolicy per consentire al responsabile del servizio CloudWatch pipelines di scrivere nel gruppo di log configurato.

{
    "policyName": "resourceArn=arn:aws:logs:your-region:your-account-id:log-group:your-log-group-name:*",
    "policyDocument": {
        "Version": "2012-10-17",
        "Statement": [
            {
                "Effect": "Allow",
                "Principal": {
                    "Service": "telemetry-pipelines.observabilityadmin.amazonaws.com"
                },
                "Action": [
                    "logs:CreateLogStream",
                    "logs:PutLogEvents"
                ],
                "Condition": {
                    "StringEquals": {
                        "aws:SourceArn": "arn:aws:observabilityadmin:your-region:your-account-id:telemetry-pipeline/your-pipeline-id"
                    }
                }
            }
        ]
    }
}

Gestione delle politiche relative alle risorse

Utilizza la AWS CLI per creare o aggiornare le politiche delle risorse di CloudWatch Logs per le pipeline. CloudWatch

Per verificare le politiche esistenti

aws logs describe-resource-policies \
    --resource-arn arn:aws:logs:your-region:your-account-id:log-group:your-log-group-name:*

Per creare una nuova politica

aws logs put-resource-policy \
    --region your-region \
    --policy-name "resourceArn=arn:aws:logs:your-region:your-account-id:log-group:your-log-group-name:*" \
    --policy-document file://policy.json

Per unirsi a una politica esistente

Se esiste già una politica in materia di risorse, aggiungete la nuova istruzione all'Statementarray esistente nel documento di policy, quindi put-resource-policy richiamate con il file unito.

Conferma che la politica è stata creata o aggiornata correttamente:

aws logs describe-resource-policies \
    --resource-arn arn:aws:logs:your-region:your-account-id:log-group:your-log-group-name:*

Sostituire i seguenti segnaposto:

Chiavi relative alle condizioni della pipeline

CloudWatch pipelines supporta le chiavi di condizione IAM che consentono di limitare chi può creare pipeline e quali account possono assumere ruoli di origine. Utilizza queste chiavi di condizione per applicare le politiche di governance in tutta l'organizzazione.

CreateTelemetryPipeline condizioni

Usa queste chiavi di condizione nelle politiche di identità per controllare quali pipeline può creare un principale.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowPipelineCreationForSpecificSourceType",
            "Effect": "Allow",
            "Action": "observabilityadmin:CreateTelemetryPipeline",
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "observabilityadmin:SourceType": "cloudwatch_logs"
                }
            }
        }
    ]
}

Ruolo di origine, condizioni della politica di fiducia

Utilizza queste chiavi di condizione nella politica di fiducia del tuo ruolo di origine per limitare l'account che può assumere il ruolo. In questo modo si evitano confusi attacchi secondari in cui il servizio potrebbe agire per conto di un altro account.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "logs.amazonaws.com"
            },
            "Action": "sts:AssumeRole",
            "Condition": {
                "StringEquals": {
                    "aws:SourceAccount": "your-account-id"
                },
                "ArnLike": {
                    "aws:SourceArn": "arn:aws:logs:your-region:your-account-id:log-group:*"
                }
            }
        }
    ]
}

AI-assisted autorizzazioni di configurazione del processore

Per utilizzare la configurazione AI-assisted del processore nella console delle CloudWatch pipeline, il principale IAM deve disporre dell'logs:GeneratePipelineautorizzazione. Questa autorizzazione autorizza la generazione di configurazioni del processore a partire da descrizioni in linguaggio naturale.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowGeneratePipeline",
            "Effect": "Allow",
            "Action": "logs:GeneratePipeline",
            "Resource": "*"
        }
    ]
}