Visão geral do gerenciamento de permissões de acesso a seus recursos do CloudWatch Logs

Para conceder acesso, adicione as permissões aos seus usuários, grupos ou perfis:

Recursos e operações do CloudWatch Logs

No CloudWatch Logs os principais recursos são grupos de logs, fluxos de logs e destinos. O CloudWatch Logs não oferece suporte a sub-recursos (outros recursos para uso com o recurso principal).

Esses recursos e sub-recursos têm Nomes de recursos da Amazon (ARNs) exclusivos associados a eles, conforme mostrado na tabela a seguir.

Para obter mais informações sobre ARNs, consulte ARNs no Manual do usuário do IAM. Para obter informações sobre ARNs do CloudWatch Logs, consulte Nomes dos recursos da Amazon (ARNs) no Referência geral da Amazon Web Services. Para obter um exemplo de uma política que abranja o CloudWatch Logs, consulte Usar políticas baseadas em identidade (políticas do IAM) para o CloudWatch Logs.

O CloudWatch Logs fornece um conjunto de operações para trabalhar com os recursos do CloudWatch Logs. Para ver uma lista das operações disponíveis, consulte Referência de permissões do CloudWatch Logs.

Entendendo a propriedade de recursos

A conta da AWS possui os recursos criados na conta, independentemente de quem os criou. De modo similar, o proprietário do recurso é a conta da AWS da entidade principal (ou seja, a conta-raiz, um usuário do IAM ou um perfil do IAM) que autentica a solicitação de criação de recursos. Os seguintes exemplos mostram como isso funciona:

Gerenciamento de acesso aos recursos

Uma política de permissões descreve quem tem acesso a quê. A seção a seguir explica as opções disponíveis para a criação de políticas de permissões.

As políticas associadas a uma identidade do IAM são conhecidas como políticas baseadas em identidade (políticas do IAM), e as políticas associadas a um recurso são conhecidas como políticas baseadas em recurso. O CloudWatch Logs é compatível com políticas baseadas em identidades e políticas com base em recursos para destinos, que são usadas para habilitar assinaturas entre contas. Para obter mais informações, consulte Assinaturas entre contas entre regiões.

Permissões de grupo de logs e Contributor Insights

O Contributor Insights é um recurso do CloudWatch que permite analisar os dados de grupos de log e criar séries temporais que exibem dados de colaboradores. É possível ver métricas sobre os principais colaboradores, o número total de colaboradores exclusivos e o uso deles. Para obter mais informações, consulte Usar o Contributor Insights para analisar dados de alta cardinalidade.

Quando você concede as permissões cloudwatch:PutInsightRule e cloudwatch:GetInsightRuleReport ao usuário, ele pode criar uma regra que avalia qualquer grupo de logs no CloudWatch Logs e visualizar os resultados. Os resultados podem conter dados de colaborador para esses grupos de log. Certifique-se de conceder essas permissões somente aos usuários que possam visualizar esses dados.

Políticas baseadas em recursos

O CloudWatch Logs é compatível com políticas baseadas em recursos para destinos, que você pode usar para habilitar assinaturas entre contas. Para obter mais informações, consulte Etapa 1: criar um destino. É possível criar destinos usando a API PutDestination, e você pode adicionar uma política de recurso ao destino usando a API PutDestination. O exemplo a seguir permite que outra conta da AWS com o ID da conta 111122223333 assine seus grupos de logs no destino arn:aws:logs:us-east-1:123456789012:destination:testDestination.

JSON

{
  "Version":"2012-10-17",		 	 	 
  "Statement" : [
    {
      "Sid" : "",
      "Effect" : "Allow",
      "Principal" : {
        "AWS" : "111122223333"
      },
      "Action" : "logs:PutSubscriptionFilter",
      "Resource" : "arn:aws:logs:us-east-1:123456789012:destination:testDestination"
    }
  ]
}

Especificar elementos da política: ações, efeitos e entidades principais

Para cada recurso do CloudWatch Logs, o serviço define um conjunto de operações da API. Para conceder permissões a essas operações da API, o CloudWatch Logs define um conjunto de ações que podem ser especificadas em uma política. Algumas operações da API podem exigir permissões para mais de uma ação a fim de realizar a operação da API. Para obter mais informações sobre os recursos e operações da API, consulte Recursos e operações do CloudWatch Logs e Referência de permissões do CloudWatch Logs.

Estes são os elementos de política básicos:

Para saber mais sobre a sintaxe e as descrições da política do IAM, consulte a AWS Referência da política do IAM no Manual do usuário do IAM.

Para obter uma tabela que mostra todas as ações da API do CloudWatch Logs e os recursos a que elas se aplicam, consulte Referência de permissões do CloudWatch Logs.

Especificar condições em uma política

Ao conceder permissões, você pode usar a linguagem da política de acesso para especificar as condições quando uma política deve entrar em vigor. Por exemplo, é recomendável aplicar uma política somente após uma data específica. Para obter mais informações sobre como especificar condições em uma linguagem de política, consulte Condition no Guia do usuário do IAM.

Para expressar condições, você usa chaves de condição predefinidas. Para obter uma lista de chaves de contexto compatíveis com cada produto da AWS e uma lista de chaves de política gerais da AWS, consulte Ações, recursos e chaves de condição para produtos da AWS e Chaves de contexto de condição globais da AWS.