Amazon CloudWatch Logs
用户指南
AWS 服务或AWS文档中描述的功能,可能因地区/位置而异。点 击 Getting Started with Amazon AWS to see specific differences applicable to the China (Beijing) Region.

与订阅的跨账户日志数据共享

您可以与不同 AWS 账户的所有者合作,并在您的 AWS 资源 (例如 Amazon Kinesis 流) 上接收他们的日志事件 (这称为“跨账户数据共享”)。例如,此日志事件数据可从集中的 Amazon Kinesis 流中读取以执行自定义处理和分析。自定义处理在您跨多个账户协作和分析数据时特别有用。例如,某家公司的信息安全组可能需要分析数据以进行实时入侵检测或查找异常行为,以便能对公司所有部门的账户进行审核 (通过收集各账户的联合生产日志进行集中处理)。可以汇编这些账户中的事件数据的实时流并将其传递到信息安全组,这些组可使用 Kinesis 将数据附加到现有安全分析系统。

要跨账户共享日志数据,您需要建立日志数据发送者和接收者:

  • 日志数据发送者 - 从接收者获取目标信息并告知 CloudWatch Logs 发送者已准备好将其日志事件发送到指定目标。在本部分剩余的过程中,日志数据发送者显示为虚构的 AWS 账号 111111111111。

  • 日志数据接收者 - 设置封装 Kinesis 流的目标并告知 CloudWatch Logs 接收者希望接收日志数据。接收者随后与发送者共享与接收者的目标有关的信息。在本部分剩余的过程中,日志数据接收者显示为虚构的 AWS 账号 999999999999。

要开始接收来自跨账户用户的日志事件,日志数据接收者应首先创建一个 CloudWatch Logs 目标。每个目标都包含以下键元素:

目标名称

您要创建的目标的名称。

目标 ARN

您要用作订阅源目标的 AWS 资源的 Amazon 资源名称 (ARN)。

角色 ARN

一个 AWS Identity and Access Management (IAM) 角色,用于向 CloudWatch Logs 授予将数据放入所选 Kinesis 流的必要权限。

访问策略

一个 IAM 策略文档 (采用 JSON 格式,使用 IAM 策略语法编写),用于管理有权对您的目标进行写入的用户组。