Monitoraggio con Amazon CloudWatch Logs

Per creare un ruolo IAM per abilitare la registrazione per Amazon CloudWatch

1. Utilizza la console AWS IAM o il seguente comando AWS IAM CLI CreateRole, per creare un nuovo ruolo IAM con una politica di relazione di fiducia (policy di fiducia). La politica di fiducia concede a un'entità, come Amazon CloudWatch, il permesso di assumere il ruolo.

   aws iam create-role --role-name exampleRoleName --assume-role-policy-document
          exampleTrustPolicy.json

   Il file exampleTrustPolicy.json contiene il seguente contenuto.

   Nota

   Questo esempio include una chiave di contesto globale per proteggersi dal confuso problema della sicurezza dei vicedirettori. Sostituiscilo 123456789012 con l'ID del tuo AWS account e aws-region con la AWS regione delle tue AWS risorse. Per ulteriori informazioni, consulta Prevenzione del confused deputy tra servizi.

   {
      "Version": "2012-10-17",
      "Statement": [
         {
            "Effect": "Allow",
            "Principal": {
               "Service": "iotanalytics.amazonaws.com"
            },
            "Action": "sts:AssumeRole",
            "Condition": {
              "StringEquals": {
                "aws:SourceAccount": "123456789012"
              },
              "ArnLike": {
                "aws:SourceArn": "arn:aws:iotanalytics:aws-region:123456789012:*"
              }
            }
            
         }
      ]
   }

   L'ARN di questo ruolo verrà utilizzato in un secondo momento, quando si chiama il AWS IoT Analytics PutLoggingOptions comando.

2. Usa AWS IAM PutRolePolicyper allegare una politica di autorizzazioni (arole policy) al ruolo che hai creato nella Fase 1.

   aws iam put-role-policy --role-name exampleRoleName --policy-name examplePolicyName --policy-document exampleRolePolicy.json

   Il exampleRolePolicy file.json contiene il seguente contenuto.

   {
      "Version": "2012-10-17",
      "Statement": [
      {
      "Effect": "Allow",
      "Action": [
      	"logs:CreateLogGroup",
      	"logs:CreateLogStream"
      ],
      "Resource": [
      	"arn:aws:logs:*:*:*"
      ]
      }
      ]
   }

3. Per AWS IoT Analytics autorizzare l'inserimento di eventi di registrazione su Amazon CloudWatch, usa il CloudWatch comando PutResourcePolicyAmazon.

   Nota

   Per evitare il confuso problema di sicurezza di Vice Security, ti consigliamo di specificarlo aws:SourceArn nella tua politica sulle risorse. Ciò limita l'accesso in modo da consentire solo le richieste che provengono da un account specifico. Per ulteriori informazioni sul problema del "confused deputy", consulta Prevenzione del confused deputy tra servizi.

   aws logs put-resource-policy --policy-in-json exampleResourcePolicy.json

   Il exampleResourcePolicy.json file contiene la seguente politica delle risorse.

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Effect": "Allow",
               "Principal": {
                   "Service": "iotanalytics.amazonaws.com"
               },
               "Action": "logs:PutLogEvents",
               "Resource": "*",
               "Condition":{
                   "ArnLike":{
                       "aws:SourceArn":"arn:aws:iotanalytics:us-east-1:123456789012:*/*"
                   },
                   "StringEquals":{
                       "aws:SourceAccount":"123456789012"
                   }
               }
       ]
   }