As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.

Permissões de entrega de registros

Conceda permissões de entrega de registros para a função de chamador (a principal do IAM que chamaCreateReplicator), não para a função de execução do serviço. Essas permissões não envolvem os clusters de origem ou de destino. Você só precisa dos trechos dos destinos ativados.

Destino do Amazon CloudWatch Logs

Adicione a seguinte declaração quando cloudWatchLogs.enabled estiver true na logDelivery configuração.

{
    "Sid": "CloudWatchLogsLogDeliveryActions",
    "Effect": "Allow",
    "Action": [
        "logs:CreateLogDelivery",
        "logs:PutResourcePolicy",
        "logs:DescribeResourcePolicies",
        "logs:DescribeLogGroups",
        "logs:ListLogDeliveries"
    ],
    "Resource": [
        "*"
    ]
}

Destino do Amazon S3

Adicione as seguintes declarações quando s3.enabled fortrue. Substitua <logBucketName> pelo nome do bucket de destino.

[
    {
        "Sid": "S3LogDeliveryActions",
        "Effect": "Allow",
        "Action": [
            "logs:CreateLogDelivery",
            "logs:ListLogDeliveries"
        ],
        "Resource": [
            "*"
        ]
    },
    {
        "Sid": "S3BucketLogDeliveryActions",
        "Effect": "Allow",
        "Action": [
            "s3:GetBucketPolicy",
            "s3:PutBucketPolicy"
        ],
        "Resource": "arn:aws:s3:::<logBucketName>"
    }
]

Destino do Firehose

Adicione as seguintes declarações quando firehose.enabled fortrue. <accountID>Substitua pelo seu Conta da AWS ID.

[
    {
        "Sid": "FirehoseLogDeliveryActions",
        "Effect": "Allow",
        "Action": [
            "logs:CreateLogDelivery",
            "logs:ListLogDeliveries",
            "firehose:TagDeliveryStream"
        ],
        "Resource": [
            "*"
        ]
    },
    {
        "Sid": "FirehoseLogDeliveryServiceLinkedRole",
        "Effect": "Allow",
        "Action": [
            "iam:CreateServiceLinkedRole"
        ],
        "Resource": "arn:aws:iam::<accountID>:role/aws-service-role/delivery.logs.amazonaws.com/AWSServiceRoleForLogDelivery"
    }
]

Para obter mais informações sobre permissões de vended-logs, consulte Habilitar o registro em log a partir de AWS serviços.