Firehose에 전송된 로그 - Amazon CloudWatch Logs

기계 번역으로 제공되는 번역입니다. 제공된 번역과 원본 영어의 내용이 상충하는 경우에는 영어 버전이 우선합니다.

Firehose에 전송된 로그

이 섹션은 이전 섹션의 테이블에 나열된 로그 유형이 Firehose로 전송될 때 적용됩니다.

사용자 권한

이러한 유형의 로그를 처음으로 Firehose에 전송하도록 설정하려면 다음 권한이 있는 계정에 로그인해야 합니다.

  • logs:CreateLogDelivery

  • firehose:TagDeliveryStream

  • iam:CreateServiceLinkedRole

이러한 유형의 로그가 이미 Firehose로 전송되고 있는 경우 해당 유형 로그 중 다른 하나를 Firehose로 전송하도록 설정하려면 logs:CreateLogDelivery 및 firehose:TagDeliveryStream 권한만 있으면 됩니다.

권한에 사용되는 IAM 역할

Firehose는 리소스 정책을 사용하지 않으므로는 이러한 로그를 Firehose로 전송하도록 설정할 때 IAM 역할을 AWS 사용합니다.는 라는 서비스 연결 역할을 AWS 생성합니다AWSServiceRoleForLogDelivery. 이 서비스 연결 역할에는 다음 권한이 포함됩니다.

JSON
{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Action": [
                "firehose:PutRecord",
                "firehose:PutRecordBatch",
                "firehose:ListTagsForDeliveryStream"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "aws:ResourceTag/LogDeliveryEnabled": "true"
                }
            },
            "Effect": "Allow"
        }
    ]
}

이 서비스 연결 역할은 LogDeliveryEnabled 태그가 로 설정된 모든 Firehose 전송 스트림에 대한 권한을 부여합니다true.는 로깅을 설정할 때이 태그를 대상 전송 스트림에 AWS 제공합니다.

또한 이 서비스 연결 역할에는 delivery.logs.amazonaws.com 서비스 보안 주체가 필요한 서비스 연결 역할을 맡도록 허용하는 신뢰 정책이 있습니다. 이러한 신뢰 정책은 다음과 같습니다.

JSON
{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "delivery.logs.amazonaws.com"
      },
      "Action": "sts:AssumeRole"
    }
  ]
}