Amazon CloudWatch Logs によるモニタリング

Amazon CloudWatch のログ記録を有効にする IAM ロールを作成するには

1. AWS IAM コンソールまたは次の AWS IAM CLI コマンド CreateRole を使用して、信頼関係ポリシー (信頼ポリシー) を使用して新しい IAM ロールを作成します。信頼ポリシーは、Amazon CloudWatch などのエンティティにロールを継承するために許可を付与します。

   aws iam create-role --role-name exampleRoleName --assume-role-policy-document
          exampleTrustPolicy.json

   exampleTrustPolicy.json ファイルには次のコンテンツが含まれます。

   注記

   この例には、「混乱した代理」問題から保護するためのグローバル条件コンテキストキーが含まれています。123456789012 を AWS アカウント ID に置き換え、aws-region を AWS リソースの AWS リージョンに置き換えます。詳細については、「サービス間での不分別な代理処理の防止」を参照してください。

   JSON

   {
       "Version":"2012-10-17",		 	 	 
       "Statement": [
           {
               "Effect": "Allow",
               "Principal": {
                   "Service": "iotanalytics.amazonaws.com"
               },
               "Action": "sts:AssumeRole",
               "Condition": {
                   "StringEquals": {
                       "aws:SourceAccount": "123456789012"
                   },
                   "ArnLike": {
                   "aws:SourceArn": "arn:aws:iotanalytics:us-east-1:123456789012:*"
                   }
               }
           }
       ]
   }
   

   このロールの ARN は、後で コマンドを AWS IoT Analytics PutLoggingOptions呼び出すときに使用します。

2. AWS IAM PutRolePolicy を使用して、ステップ 1 で作成したロールにアクセス許可ポリシー ( role policy) をアタッチします。

   aws iam put-role-policy --role-name exampleRoleName --policy-name examplePolicyName --policy-document exampleRolePolicy.json

   exampleRolePolicy.json ファイルには次のコンテンツが含まれます。

   JSON

   {
      "Version":"2012-10-17",		 	 	 
      "Statement": [
       {
        "Effect": "Allow",
        "Action": [
        	"logs:CreateLogGroup",
        	"logs:CreateLogStream"
        ],
        "Resource": [
        	"arn:aws:logs:*:*:*"
        ]
       }
      ]
   }
   

3. Amazon CloudWatch にログイベントを配置する AWS IoT Analytics アクセス許可を付与するには、Amazon CloudWatch コマンド PutResourcePolicy を使用します。

   注記

   混乱した代理のセキュリティ上の問題を防ぐため、リソースポリシーで aws:SourceArn を指定することをお勧めします。これにより、指定したアカウントからのリクエストのみを許可するようにアクセスを制限できます。混乱した代理に関する問題の詳細については、「サービス間での不分別な代理処理の防止」を参照してください。

   aws logs put-resource-policy --policy-in-json exampleResourcePolicy.json

   exampleResourcePolicy.json リソースには、次に示すようなフィールドがあります。

   JSON

   {
       "Version":"2012-10-17",		 	 	 
       "Statement": [
           {
               "Effect": "Allow",
               "Principal": {
                   "Service": "iotanalytics.amazonaws.com"
               },
               "Action": "logs:PutLogEvents",
               "Resource": "*",
               "Condition": {
                   "ArnLike": {
                   "aws:SourceArn": "arn:aws:iotanalytics:us-east-1:123456789012:*/*"
                   },
                   "StringEquals": {
                       "aws:SourceAccount": "123456789012"
                   }
               }
           }
       ]
   }