本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。
# 的身分型政策範例 AWS CloudTrail
依預設，使用者和角色不具備建立或修改 CloudTrail 資源的許可。若要授予使用者對其所需資源執行動作的許可，IAM 管理員可以建立 IAM 政策。
如需了解如何使用這些範例 JSON 政策文件建立 IAM 身分型政策，請參閱《*IAM 使用者指南*》中的[建立 IAM 政策 (主控台)](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create-console.html)。
如需 CloudTrail 所定義之動作和資源類型的詳細資訊，包括每種資源類型的 ARN 格式，請參閱《服務授權參考》**中的[適用於 AWS CloudTrail的動作、資源和條件索引鍵](https://docs.aws.amazon.com/IAM/latest/UserGuide/list_awscloudtrail.html)。
**Topics**
+ [政策最佳實務](#security_iam_service-with-iam-policy-best-practices)
+ [範例：允許和拒絕對於特定追蹤的動作](#security_iam_id-based-policy-examples-allow-deny-for-specific-trail)
+ [範例：在特定追蹤建立和套用政策的動作](#grant-custom-permissions-for-cloudtrail-users-resource-level)
+ [範例：拒絕以標籤為基礎建立或刪除事件資料存放區的存取權限](#security_iam_id-based-policy-examples-eds-tags)
+ [使用 CloudTrail 主控台](#security_iam_id-based-policy-examples-console)
+ [允許使用者檢視他們自己的許可](#security_iam_id-based-policy-examples-view-own-permissions)
+ [授予 CloudTrail 使用者的自訂許可](#grant-custom-permissions-for-cloudtrail-users)
## 政策最佳實務
以身分為基礎的政策會判斷您帳戶中的某個人員是否可以建立、存取或刪除 CloudTrail 資源。這些動作可能會讓您的 AWS 帳戶產生費用。當您建立或編輯身分型政策時，請遵循下列準則及建議事項：
+ **開始使用 AWS 受管政策並轉向最低權限許可** – 若要開始將許可授予您的使用者和工作負載，請使用將許可授予許多常見使用案例的 *AWS 受管政策*。它們可在您的 中使用 AWS 帳戶。我們建議您定義特定於使用案例 AWS 的客戶受管政策，以進一步減少許可。如需更多資訊，請參閱《*IAM 使用者指南*》中的 [AWS 受管政策](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_managed-vs-inline.html#aws-managed-policies)或[任務職能的AWS 受管政策](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_job-functions.html)。
+ **套用最低權限許可** – 設定 IAM 政策的許可時，請僅授予執行任務所需的許可。為實現此目的，您可以定義在特定條件下可以對特定資源採取的動作，這也稱為*最低權限許可*。如需使用 IAM 套用許可的更多相關資訊，請參閱《*IAM 使用者指南*》中的 [IAM 中的政策和許可](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html)。
+ **使用 IAM 政策中的條件進一步限制存取權** – 您可以將條件新增至政策，以限制動作和資源的存取。例如，您可以撰寫政策條件，指定必須使用 SSL 傳送所有請求。如果透過特定 例如 使用服務動作 AWS 服務，您也可以使用條件來授予其存取權 CloudFormation。如需詳細資訊，請參閱《*IAM 使用者指南*》中的 [IAM JSON 政策元素：條件](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition.html)。
+ **使用 IAM Access Analyzer 驗證 IAM 政策，確保許可安全且可正常運作** – IAM Access Analyzer 驗證新政策和現有政策，確保這些政策遵從 IAM 政策語言 (JSON) 和 IAM 最佳實務。IAM Access Analyzer 提供 100 多項政策檢查及切實可行的建議，可協助您撰寫安全且實用的政策。如需詳細資訊，請參閱《*IAM 使用者指南*》中的[使用 IAM Access Analyzer 驗證政策](https://docs.aws.amazon.com/IAM/latest/UserGuide/access-analyzer-policy-validation.html)。
+ **需要多重要素驗證 (MFA)** – 如果您的案例需要 IAM 使用者或 中的根使用者 AWS 帳戶，請開啟 MFA 以提高安全性。如需在呼叫 API 操作時請求 MFA，請將 MFA 條件新增至您的政策。如需詳細資訊，請參閱《*IAM 使用者指南*》中的[透過 MFA 的安全 API 存取](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_mfa_configure-api-require.html)。
如需 IAM 中最佳實務的相關資訊，請參閱《*IAM 使用者指南*》中的 [IAM 安全最佳實務](https://docs.aws.amazon.com/IAM/latest/UserGuide/best-practices.html)。
CloudTrail 沒有可在政策陳述式的 `Condition` 元素中使用的服務特定內容索引鍵。
## 範例：允許和拒絕對於特定追蹤的動作
以下範例示範的政策允許使用此政策的使用者檢視追蹤的狀態和組態，以及開始和停止記錄名為 {{My-First-Trail}} 的追蹤。此線索是在美國東部 （俄亥俄） 區域 （其主區域） 建立， AWS 帳戶 其 ID 為 {{123456789012}}。
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"cloudtrail:StartLogging",
"cloudtrail:StopLogging",
"cloudtrail:GetTrail",
"cloudtrail:GetTrailStatus",
"cloudtrail:GetEventSelectors"
],
"Resource": [
"arn:aws:cloudtrail:{{us-east-2}}:{{123456789012}}:trail/{{My-First-Trail}}"
]
}
]
}
```
------
下列範例會示範政策，明確拒絕未命名 {{My-First-Trail}} 的任何追蹤的 CloudTrail 動作。
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Deny",
"Action": [
"cloudtrail:*"
],
"NotResource": [
"arn:aws:cloudtrail:us-east-2:123456789012:trail/{{My-First-Trail}}"
]
}
]
}
```
------
## 範例：在特定追蹤建立和套用政策的動作
您可以使用許可和政策，控制使用者對 CloudTrail 追蹤執行特定動作的能力。
例如，您不希望公司開發人員群組的使用者開始或停止記錄特定追蹤。不過，您可能想要授予他們對追蹤執行 `DescribeTrails` 和 `GetTrailStatus` 動作的許可。您要開發人員群組使用者在他們管理的追蹤上執行 `StartLogging` 或 `StopLogging` 動作。
您可以建立兩個政策陳述式，然後將其連接至您建立於 IAM 中的開發人員群組。如需 IAM 中群組的詳細資訊，請參閱《IAM 使用者指南》**中的 [IAM 群組](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_groups.html)。
在第一個政策中，您拒絕對所指定的追蹤 ARN 執行 `StartLogging` 和 `StopLogging` 動作。在下列範例中，追蹤 ARN 是 `arn:aws:cloudtrail:us-east-2:123456789012:trail/Example-Trail`。
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Sid": "Stmt1446057698000",
"Effect": "Deny",
"Action": [
"cloudtrail:StartLogging",
"cloudtrail:StopLogging"
],
"Resource": [
"arn:aws:cloudtrail:us-east-2:123456789012:trail/Example-Trail"
]
}
]
}
```
------
在第二個政策中，允許對所有 CloudTrail 資源執行 `DescribeTrails` 和 `GetTrailStatus` 動作：
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Sid": "Stmt1446072643000",
"Effect": "Allow",
"Action": [
"cloudtrail:DescribeTrails",
"cloudtrail:GetTrail",
"cloudtrail:GetTrailStatus"
],
"Resource": [
"*"
]
}
]
}
```
------
如果開發人員群組使用者嘗試開始或停止您在第一個政策中指定的追蹤記錄日誌，該使用者會收到拒絕存取的例外狀況。開發人員群組使用者可以對他們所建立及管理的追蹤予以開始與停止記錄日誌。
下列範例顯示名為 的 AWS CLI 設定檔中設定的開發人員群組`devgroup`。首先，`devgroup` 的使用者執行 `describe-trails` 命令。
```
$ aws --profile devgroup cloudtrail describe-trails
```
命令成功完成並產生以下輸出：
```
{
"trailList": [
{
"IncludeGlobalServiceEvents": true,
"Name": "Default",
"TrailARN": "arn:aws:cloudtrail:us-east-2:123456789012:trail/Example-Trail",
"IsMultiRegionTrail": false,
"S3BucketName": "amzn-s3-demo-bucket",
"HomeRegion": "us-east-2"
}
]
}
```
使用者接著會對您在第一個政策中指定的追蹤執行 `get-trail-status` 命令。
```
$ aws --profile devgroup cloudtrail get-trail-status --name Example-Trail
```
命令成功完成並產生以下輸出：
```
{
"LatestDeliveryTime": 1449517556.256,
"LatestDeliveryAttemptTime": "2015-12-07T19:45:56Z",
"LatestNotificationAttemptSucceeded": "",
"LatestDeliveryAttemptSucceeded": "2015-12-07T19:45:56Z",
"IsLogging": true,
"TimeLoggingStarted": "2015-12-07T19:36:27Z",
"StartLoggingTime": 1449516987.685,
"StopLoggingTime": 1449516977.332,
"LatestNotificationAttemptTime": "",
"TimeLoggingStopped": "2015-12-07T19:36:17Z"
}
```
接下來，`devgroup` 群組中的使用者對同一個追蹤執行 `stop-logging` 命令。
```
$ aws --profile devgroup cloudtrail stop-logging --name Example-Trail
```
命令會傳回拒絕存取的例外狀況，例如下列內容：
```
A client error (AccessDeniedException) occurred when calling the StopLogging operation: Unknown
```
使用者會對相同的追蹤執行 `start-logging` 命令。
```
$ aws --profile devgroup cloudtrail start-logging --name Example-Trail
```
命令再次傳回拒絕存取的例外狀況，例如下列內容：
```
A client error (AccessDeniedException) occurred when calling the StartLogging operation: Unknown
```
## 範例：拒絕以標籤為基礎建立或刪除事件資料存放區的存取權限
在以下政策範例中，如果下方條件中至少有一項不符合，使用 `CreateEventDataStore` 建立事件資料存放區的許可便會被拒絕：
+ 事件資料存放區沒有套用至自身之 `stage` 的標籤索引鍵
+ 階段標籤的值不是 `alpha`、`beta`、`gamma` 或 `prod`。
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Deny",
"Action": "cloudtrail:CreateEventDataStore",
"Resource": "*",
"Condition": {
"Null": {
"aws:RequestTag/stage": "true"
}
}
},
{
"Effect": "Deny",
"Action": "cloudtrail:CreateEventDataStore",
"Resource": "*",
"Condition": {
"ForAnyValue:StringNotEquals": {
"aws:RequestTag/stage": [
"alpha",
"beta",
"gamma",
"prod"
]
}
}
}
]
}
```
------
在以下政策範例中，如果事件資料存放區有值為 `prod` 的 `stage` 標籤，則使用 `DeleteEventDataStore` 刪除事件資料存放區的許可會被拒絕。類似的政策可以協助保護事件資料存放區免遭意外刪除。
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Deny",
"Action": "cloudtrail:DeleteEventDataStore",
"Resource": "*",
"Condition": {
"StringEquals": {
"aws:ResourceTag/stage": "prod"
}
}
}
]
}
```
------
## 使用 CloudTrail 主控台
若要存取 AWS CloudTrail 主控台，您必須擁有一組最低許可。這些許可必須允許您列出和檢視 中 CloudTrail 資源的詳細資訊 AWS 帳戶。如果您建立比最基本必要許可更嚴格的身分型政策，則對於具有該政策的實體 (使用者或角色) 而言，主控台就無法如預期運作。
對於僅呼叫 AWS CLI 或 AWS API 的使用者，您不需要允許最低主控台許可。反之，只需允許存取符合他們嘗試執行之 API 操作的動作就可以了。
### 授予 CloudTrail 管理許可
若要允許 IAM 使用者管理 CloudTrail 資源，例如追蹤、事件資料存放區或通道，您必須明確授予執行與 CloudTrail 任務相關聯之動作的許可。在大多數情況下，您可以使用包含預先定義許可的 AWS 受管政策。
**注意**
您授予使用者執行 CloudTrail 管理任務的許可，和 CloudTrail 所需要以便傳遞日誌檔案到 Amazon S3 儲存貯體或傳送通知給 Amazon SNS 主題的許可不相同。如需這些許可的詳細資訊，請參閱 [適用於 CloudTrail 的 Amazon S3 儲存貯體政策](create-s3-bucket-policy-for-cloudtrail.md)。
如果您設定與 Amazon CloudWatch Logs 整合，CloudTrail 還需要它可擔任的角色，將事件交付到 Amazon CloudWatch Logs 日誌群組。您必須建立 CloudTrail 使用的角色。如需詳細資訊，請參閱[授與在 CloudTrail 主控台上檢視和設定 Amazon CloudWatch Logs 資訊的許可](#grant-cloudwatch-permissions-for-cloudtrail-users)及[傳送事件到 CloudWatch Logs](send-cloudtrail-events-to-cloudwatch-logs.md)。
下列 AWS 受管政策適用於 CloudTrail：
+ [https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AWSCloudTrail_FullAccess.html](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AWSCloudTrail_FullAccess.html) – 此政策提供對 CloudTrail 資源 (例如追蹤、事件資料存放區和通道等) 執行 CloudTrail 動作的完整存取權。此政策提供建立、更新和刪除 CloudTrail 追蹤、事件資料存放區和通道所需的許可。
此政策還提供管理 Amazon S3 儲存貯體、CloudWatch Logs 的日誌群組，以及追蹤的 Amazon SNS 主題的許可。不過，`AWSCloudTrail_FullAccess` 受管政策不提供刪除 Amazon S3 儲存貯體、CloudWatch Logs 的日誌群組，以及 Amazon SNS 主題的許可。如需其他 受管政策的相關資訊 AWS 服務，請參閱 [https://docs.aws.amazon.com/aws-managed-policy/latest/reference/about-managed-policy-reference.html](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/about-managed-policy-reference.html)。
**注意**
此**AWSCloudTrail\_FullAccess**政策不適用於在您的 之間廣泛共用 AWS 帳戶。使用此角色的使用者可以在自己的 AWS 帳戶中關閉或重新設定最敏感和重要的稽核功能。因此，您必須僅向帳戶管理員套用此政策。您必須嚴密控制並監視此政策的使用狀況。
+ [https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AWSCloudTrail_ReadOnlyAccess.html](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AWSCloudTrail_ReadOnlyAccess.html) – 此政策授予檢視 CloudTrail 主控台 (包括近期事件和事件歷史記錄) 的許可。此政策還允許您檢視現有的追蹤、事件資料存放區和通道。使用此政策的角色和使用者可以[下載事件歷史記錄](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/view-cloudtrail-events-console.html#downloading-events)，但無法建立或更新追蹤、事件資料存放區或通道。
若要提供存取權，請新增權限至您的使用者、群組或角色：
+ 中的使用者和群組 AWS IAM Identity Center：
建立權限合集。請按照《*AWS IAM Identity Center 使用者指南*》中的[建立權限合集](https://docs.aws.amazon.com//singlesignon/latest/userguide/howtocreatepermissionset.html)說明進行操作。
+ 透過身分提供者在 IAM 中管理的使用者：
建立聯合身分的角色。遵循《*IAM 使用者指南*》的[為第三方身分提供者 (聯合) 建立角色](https://docs.aws.amazon.com//IAM/latest/UserGuide/id_roles_create_for-idp.html)中的指示。
+ IAM 使用者：
+ 建立您的使用者可擔任的角色。請按照《*IAM 使用者指南*》的[為 IAM 使用者建立角色](https://docs.aws.amazon.com//IAM/latest/UserGuide/id_roles_create_for-user.html)中的指示。
+ (不建議) 將政策直接附加至使用者，或將使用者新增至使用者群組。請遵循《*IAM 使用者指南*》的[新增許可到使用者 (主控台)](https://docs.aws.amazon.com//IAM/latest/UserGuide/id_users_change-permissions.html#users_change_permissions-add-console) 中的指示。
#### 其他資源
若要進一步了解如何使用 IAM 來提供身分，例如使用者和角色、存取您帳戶中的資源，請參閱《[IAM 使用者指南》中的設定](https://docs.aws.amazon.com/IAM/latest/UserGuide/getting-set-up.html) IAM 和[存取 AWS 資源的管理](https://docs.aws.amazon.com/IAM/latest/UserGuide/access.html)。 **
對於僅呼叫 AWS CLI 或 AWS API 的使用者，您不需要允許最低主控台許可。反之，只需允許存取符合您嘗試執行之 API 操作的動作就可以了。
## 允許使用者檢視他們自己的許可
此範例會示範如何建立政策，允許 IAM 使用者檢視附加到他們使用者身分的內嵌及受管政策。此政策包含在主控台或使用 或 AWS CLI AWS API 以程式設計方式完成此動作的許可。
```
{
"Version": "2012-10-17",
"Statement": [
{
"Sid": "ViewOwnUserInfo",
"Effect": "Allow",
"Action": [
"iam:GetUserPolicy",
"iam:ListGroupsForUser",
"iam:ListAttachedUserPolicies",
"iam:ListUserPolicies",
"iam:GetUser"
],
"Resource": ["arn:aws:iam::*:user/${aws:username}"]
},
{
"Sid": "NavigateInConsole",
"Effect": "Allow",
"Action": [
"iam:GetGroupPolicy",
"iam:GetPolicyVersion",
"iam:GetPolicy",
"iam:ListAttachedGroupPolicies",
"iam:ListGroupPolicies",
"iam:ListPolicyVersions",
"iam:ListPolicies",
"iam:ListUsers"
],
"Resource": "*"
}
]
}
```
## 授予 CloudTrail 使用者的自訂許可
CloudTrail 政策會將許可授予使用 CloudTrail 的使用者。如果您需要將不同的許可授予使用者，則可以將 CloudTrail 政策連接至 IAM 群組或使用者。您可以編輯政策，藉以包含或排除特定許可。您也可以建立自己的自訂政策。政策是 JSON 文件，可定義允許使用者執行的動作，以及使用者得以執行這些動作的資源。如需具體範例，請參閱 [範例：允許和拒絕對於特定追蹤的動作](#security_iam_id-based-policy-examples-allow-deny-for-specific-trail) 和 [範例：在特定追蹤建立和套用政策的動作](#grant-custom-permissions-for-cloudtrail-users-resource-level)。
**Contents**
+ [唯讀存取](#grant-custom-permissions-for-cloudtrail-users-read-only)
+ [完整 存取](#grant-custom-permissions-for-cloudtrail-users-full-access)
+ [授予在 CloudTrail 主控台上檢視 AWS Config 資訊的許可](#grant-aws-config-permissions-for-cloudtrail-users)
+ [授與在 CloudTrail 主控台上檢視和設定 Amazon CloudWatch Logs 資訊的許可](#grant-cloudwatch-permissions-for-cloudtrail-users)
+ [其他資訊](#cloudtrail-notifications-more-info-2)
### 唯讀存取
下列範例顯示可授予 CloudTrail 追蹤唯讀存取的政策。這相當於受管政策 **AWSCloudTrail\_ReadOnlyAccess**。政策會將查看追蹤資訊的許可授予使用者，但未授予建立或更新追蹤的許可。
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"cloudtrail:Get*",
"cloudtrail:Describe*",
"cloudtrail:List*",
"cloudtrail:LookupEvents"
],
"Resource": "*"
}
]
}
```
------
在政策陳述式中，`Effect` 元素指定允許或拒絕動作。`Action` 元素列出允許使用者執行的特定動作。`Resource` 元素會列出允許使用者執行這些動作 AWS 的資源。對於 CloudTrail 動作的控制存取政策，`Resource` 元素通常會設定為 `*`，這是表示「所有資源」的萬用字元。
`Action` 元素中的值對應至服務所支援的 API。這些動作的前面會加上 `cloudtrail:`，意指其參照 CloudTrail 動作。您可以在 `Action` 元素中使用 `*` 萬用字元，如下列範例所示：
+ `"Action": ["cloudtrail:*Logging"]`
這允許結尾為 "Logging" 的所有 CloudTrail 動作 (`StartLogging`、`StopLogging`)。
+ `"Action": ["cloudtrail:*"]`
這允許所有 CloudTrail 動作，但不允許其他 AWS 服務的動作。
+ `"Action": ["*"]`
這允許所有 AWS 動作。此許可適用於身為您帳戶之 AWS 管理員的使用者。
唯讀政策不會將 `CreateTrail`、`UpdateTrail`、`StartLogging` 和 `StopLogging` 動作的許可授予使用者。不允許具有此政策的使用者建立追蹤、更新追蹤，或是開啟或關閉記錄日誌。如需完整 CloudTrail 動作清單，請參閱 [AWS CloudTrail API 參考](https://docs.aws.amazon.com/awscloudtrail/latest/APIReference/)。
### 完整 存取
下列範例顯示可授予 CloudTrail 完整存取權限的政策。這相當於受管政策 **AWSCloudTrail\_FullAccess**。政策會將執行所有 CloudTrail 動作的許可授予使用者。另外也可讓使用者記錄 Amazon S3 和 AWS Lambda中的資料事件、管理 Amazon S3 儲存貯體中的檔案、管理 CloudWatch Logs 如何監控 CloudTrail 日誌事件，以及管理與使用者相關聯之帳戶中的 Amazon SNS 主題。
**重要**
**AWSCloudTrail\_FullAccess** 政策或同等許可不適用於在您的 AWS 帳戶之間廣泛共用。具有此角色或同等存取權的使用者能夠停用或重新設定 AWS 帳戶中最敏感和重要的稽核函數。因此，此政策應僅套用於帳戶管理員，並且在嚴密的控制和監控下使用此政策。
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"sns:AddPermission",
"sns:CreateTopic",
"sns:SetTopicAttributes",
"sns:GetTopicAttributes"
],
"Resource": [
"arn:aws:sns:*:*:aws-cloudtrail-logs*"
]
},
{
"Effect": "Allow",
"Action": [
"sns:ListTopics"
],
"Resource": "*"
},
{
"Effect": "Allow",
"Action": [
"s3:CreateBucket",
"s3:PutBucketPolicy"
],
"Resource": [
"arn:aws:s3:::amzn-s3-demo-logging-bucket1*"
]
},
{
"Effect": "Allow",
"Action": [
"s3:ListAllMyBuckets",
"s3:GetBucketLocation",
"s3:GetBucketPolicy"
],
"Resource": "*"
},
{
"Effect": "Allow",
"Action": "cloudtrail:*",
"Resource": "*"
},
{
"Effect": "Allow",
"Action": [
"logs:CreateLogGroup"
],
"Resource": [
"arn:aws:logs:*:*:log-group:aws-cloudtrail-logs*"
]
},
{
"Effect": "Allow",
"Action": [
"iam:ListRoles",
"iam:GetRolePolicy",
"iam:GetUser"
],
"Resource": "*"
},
{
"Effect": "Allow",
"Action": [
"iam:PassRole"
],
"Resource": "*",
"Condition": {
"StringEquals": {
"iam:PassedToService": "cloudtrail.amazonaws.com"
}
}
},
{
"Effect": "Allow",
"Action": [
"kms:CreateKey",
"kms:CreateAlias",
"kms:ListKeys",
"kms:ListAliases"
],
"Resource": "*"
},
{
"Effect": "Allow",
"Action": [
"lambda:ListFunctions"
],
"Resource": "*"
},
{
"Effect": "Allow",
"Action": [
"dynamodb:ListGlobalTables",
"dynamodb:ListTables"
],
"Resource": "*"
}
]
}
```
------
### 授予在 CloudTrail 主控台上檢視 AWS Config 資訊的許可
您可以在 CloudTrail 主控台上檢視事件資訊 (包括與該事件相關的資源)。對於這些資源，您可以選擇 AWS Config 圖示，以在 AWS Config 主控台中檢視該資源的時間軸。將此政策連接到您的使用者，以授予他們唯讀 AWS Config 存取權。該政策不會將於 AWS Config中變更設定的許可授予他們。
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [{
"Effect": "Allow",
"Action": [
"config:Get*",
"config:Describe*",
"config:List*"
],
"Resource": "*"
}]
}
```
------
如需詳細資訊，請參閱 [檢視使用 參考的資源 AWS Config](view-cloudtrail-events-console.md#viewing-resources-config)。
### 授與在 CloudTrail 主控台上檢視和設定 Amazon CloudWatch Logs 資訊的許可
如果您有足夠許可，您可以在 CloudTrail 主控台中檢視和設定到 CloudWatch Logs 的事件交付。這些許可可能超出 CloudTrail 管理員可以授與的範圍。將此政策連接到將設定和管理 CloudTrail 與 CloudWatch Logs 整合的管理員。該政策不會直接在 CloudTrail 和 CloudWatch Logs 為他們授與許可，而是受與建立和設定角色 CloudTrail 所需的許可，以便該角色成功將事件傳遞給您的 CloudWatch 群組。
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [{
"Effect": "Allow",
"Action": [
"iam:CreateRole",
"iam:PutRolePolicy",
"iam:AttachRolePolicy",
"iam:ListRoles",
"iam:GetRolePolicy",
"iam:GetUser"
],
"Resource": "*"
}]
}
```
------
如需詳細資訊，請參閱 [使用 Amazon CloudWatch Logs 監控 CloudTrail 日誌檔案](monitor-cloudtrail-log-files-with-cloudwatch-logs.md)。
### 其他資訊
若要進一步了解如何使用 IAM 來提供身分，例如使用者和角色、存取您帳戶中的資源，請參閱《*IAM 使用者指南*》中的 資源[的入門](https://docs.aws.amazon.com/IAM/latest/UserGuide/getting-set-up.html)和存取管理。 [AWS](https://docs.aws.amazon.com/IAM/latest/UserGuide/access.html)