Monitoramento com Amazon CloudWatch Logs

Para criar uma função do IAM para habilitar o registro na Amazon CloudWatch

1. Use o console AWS do IAM ou o seguinte comando da CLI AWS do IAM, CreateRole, para criar uma nova função do IAM com uma política de relacionamento de confiança (política de confiança). A política de confiança concede permissão a uma entidade CloudWatch, como a Amazon, para assumir a função.

   aws iam create-role --role-name exampleRoleName --assume-role-policy-document
          exampleTrustPolicy.json

   O arquivo exampleTrustPolicy.json contém o conteúdo a seguir.

   nota

   Este exemplo inclui uma chave de contexto de condição global para proteger contra o problema de segurança substituto confuso. 123456789012Substitua pelo ID da sua AWS conta e aws-region pela AWS região dos seus AWS recursos. Para obter mais informações, consulte Prevenção contra o ataque do “substituto confuso” em todos os serviços.

   {
      "Version": "2012-10-17",
      "Statement": [
         {
            "Effect": "Allow",
            "Principal": {
               "Service": "iotanalytics.amazonaws.com"
            },
            "Action": "sts:AssumeRole",
            "Condition": {
              "StringEquals": {
                "aws:SourceAccount": "123456789012"
              },
              "ArnLike": {
                "aws:SourceArn": "arn:aws:iotanalytics:aws-region:123456789012:*"
              }
            }
            
         }
      ]
   }

   Você usa o ARN dessa função posteriormente ao chamar o AWS IoT Analytics PutLoggingOptions comando.

2. Use o AWS IAM PutRolePolicypara anexar uma política de permissões (arole policy) à função que você criou na Etapa 1.

   aws iam put-role-policy --role-name exampleRoleName --policy-name examplePolicyName --policy-document exampleRolePolicy.json

   O exampleRolePolicy arquivo.json contém o seguinte conteúdo.

   {
      "Version": "2012-10-17",
      "Statement": [
      {
      "Effect": "Allow",
      "Action": [
      	"logs:CreateLogGroup",
      	"logs:CreateLogStream"
      ],
      "Resource": [
      	"arn:aws:logs:*:*:*"
      ]
      }
      ]
   }

3. Para dar AWS IoT Analytics permissão para colocar eventos de registro na Amazon CloudWatch, use o CloudWatch comando Amazon PutResourcePolicy.

   nota

   Para ajudar a evitar o problema de segurança substituto confuso, recomendamos que você especifique aws:SourceArn em sua política de recursos. Essa ação restringe o acesso para permitir somente as solicitações provenientes de uma conta específica. Para obter mais informações sobre o problema substituto confuso, consulte Prevenção contra o ataque do “substituto confuso” em todos os serviços.

   aws logs put-resource-policy --policy-in-json exampleResourcePolicy.json

   O arquivo exampleResourcePolicy.json contém a seguinte política de recursos:

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Effect": "Allow",
               "Principal": {
                   "Service": "iotanalytics.amazonaws.com"
               },
               "Action": "logs:PutLogEvents",
               "Resource": "*",
               "Condition":{
                   "ArnLike":{
                       "aws:SourceArn":"arn:aws:iotanalytics:us-east-1:123456789012:*/*"
                   },
                   "StringEquals":{
                       "aws:SourceAccount":"123456789012"
                   }
               }
       ]
   }