本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

管理 CloudWatch Logs 資源的存取許可概觀

若要提供存取權，請新增權限至您的使用者、群組或角色：

CloudWatch Logs 資源和操作

在 CloudWatch Logs 中，主資源為日誌群組、日誌串流和目的地。CloudWatch Logs 不支援子資源 (搭配主資源使用的其他資源)。

這些資源和子資源都有獨一無二的 Amazon Resource Name (ARN) 與其相關聯，如下表所示。

如需 ARN 的詳細資訊，請參閱《IAM 使用者指南》中的 ARN。如需 CloudWatch Logs ARN 的相關資訊，請參閱 Amazon Web Services 一般參考 中的 Amazon Resource Name (ARN)。有關 CloudWatch Logs 適用的政策範例，請參閱對 CloudWatch Logs 使用以身分為基礎的政策 (IAM 政策)。

CloudWatch Logs 提供一組操作來使用 CloudWatch Logs 資源。如需可用操作的清單，請參閱 CloudWatch Logs 許可參考。

了解資源所有權

無論誰建立資源， AWS 帳戶都會擁有在帳戶中建立的資源。具體而言，資源擁有者是驗證資源建立請求的委託人實體 AWS 帳戶 （即根帳戶、使用者或 IAM 角色）。下列範例說明其如何運作：

管理 資源的存取

許可政策描述誰可以存取哪些資源。下一節說明可用來建立許可政策的選項。

連接至 IAM 身分的政策稱為以身分為基礎的政策 (IAM 政策)，而連接至資源的政策稱為以資源為基礎的政策。CloudWatch Logs 支援以身分為基礎的政策，也支援以資源為基礎的政策來管理目的地，以用於啟用跨帳戶訂閱。如需詳細資訊，請參閱跨帳戶跨區域訂閱。

日誌群組許可和 Contributor Insights

Contributor Insights 是 CloudWatch 的一項功能，可讓您分析日誌群組的資料，以及建立時間序列來顯示參與者資料。您可以查看與前 N 個參與者有關的指標、唯一參與者的總數及其用量。如需詳細資訊，請參閱使用 Contributor Insights 來分析高基數資料。

當您將 cloudwatch:PutInsightRule 和 cloudwatch:GetInsightRuleReport 許可授予使用者時，該使用者就可以建立規則來評估 CloudWatch Logs 中的任何日誌群組，然後查看結果。結果可能包含這些日誌群組的參與者資料。請務必將這些許可只授予允許檢視此資料的使用者。

資源型政策

​CloudWatch Logs 支援以資源為基礎的政策來管理目的地，可用於啟用跨帳戶訂閱。如需詳細資訊，請參閱步驟 1：建立目的地。您可以使用 PutDestination API 建立目的地，也可以使用 PutDestinationPolicy API 將資源政策新增至目的地。以下範例可讓帳戶 ID 為 111122223333 的另一個 AWS 帳戶將日誌群組訂閱到目的地 arn:aws:logs:us-east-1:123456789012:destination:testDestination。

{
  "Version" : "2012-10-17",
  "Statement" : [
    {
      "Sid" : "",
      "Effect" : "Allow",
      "Principal" : {
        "AWS" : "111122223333"
      },
      "Action" : "logs:PutSubscriptionFilter",
      "Resource" : "arn:aws:logs:us-east-1:123456789012:destination:testDestination"
    }
  ]
}

指定政策元素：動作、效果和委託人

對於每項 CloudWatch Logs 資源，該服務定義一組 API 操作。CloudWatch Logs 定義一組您可在政策中指定的動作，以授予這些 API 操作的許可。為了執行 API 操作，某些 API 操作可能需要多個動作的許可。如需資源與 API 操作的詳細資訊，請參閱 CloudWatch Logs 資源和操作 與 CloudWatch Logs 許可參考.

以下是基本的政策元素：

如需進一步了解 IAM 政策語法和說明，請參閱《IAM 使用者指南》中的 AWS IAM 政策參考。

如需查看所有 CloudWatch Logs API 動作及其適用資源的表格，請參閱 CloudWatch Logs 許可參考。

在政策中指定條件

當您授予許可時，可以使用存取政策語言來指定政策應該何時生效的條件。例如，建議只在特定日期之後套用政策。如需使用政策語言指定條件的詳細資訊，請參閱IAM 使用者指南中的條件。

欲表示條件，您可以使用預先定義的條件金鑰。如需每個 AWS 服務支援的內容金鑰清單，以及 AWS全政策金鑰清單，請參閱AWS 服務和全域條件內容金鑰的動作、資源AWS 和條件金鑰。