Amazon Relational Database Service
用户指南 (API 版本 2014-10-31)
AWS 文档中描述的 AWS 服务或功能可能因区域而异。要查看适用于中国区域的差异,请参阅 Amazon AWS 入门

创建 IAM 策略以访问 CloudWatch Logs 资源

Aurora 可以访问 CloudWatch Logs 以从 Aurora 数据库集群导出审核日志数据。但是,您必须先创建 IAM 策略来提供允许 Aurora 访问 CloudWatch Logs 的日志组和日志流权限。

以下策略添加 Aurora 代表您访问 Amazon CloudWatch Logs 所需的权限以及创建日志组和导出数据所需的最低权限。

{ "Version": "2012-10-17", "Statement": [ { "Sid": "EnableCreationAndManagementOfRDSCloudwatchLogGroups", "Effect": "Allow", "Action": [ "logs:CreateLogGroup", "logs:PutRetentionPolicy" ], "Resource": [ "arn:aws:logs:*:*:log-group:/aws/rds/*" ] }, { "Sid": "EnableCreationAndManagementOfRDSCloudwatchLogStreams", "Effect": "Allow", "Action": [ "logs:CreateLogStream", "logs:PutLogEvents", "logs:DescribeLogStreams", "logs:GetLogEvents" ], "Resource": [ "arn:aws:logs:*:*:log-group:/aws/rds/*:log-stream:*" ] } ] }

您可以执行以下步骤创建一个 IAM 策略,以便提供 Aurora 代表您访问 CloudWatch Logs 所需的最低权限。要允许 Aurora 对 CloudWatch Logs 进行完全访问,您可以跳过这些步骤并使用 CloudWatchLogsFullAccess 预定义的 IAM 策略而不是创建自己的策略。有关更多信息,请参阅 Amazon CloudWatch 用户指南 中的对 CloudWatch Logs 使用基于身份的策略 (IAM 策略)

创建 IAM 策略来授予对您的 CloudWatch Logs 资源的访问权限

  1. 打开 IAM 控制台

  2. 在导航窗格中,选择 Policies

  3. 选择 Create policy

  4. 可视化编辑器选项卡上,选择选择服务,然后选择 CloudWatch Logs

  5. 选择选择操作,然后选择 IAM 策略所需的 Amazon CloudWatch Logs 权限。

    确保选择了以下权限:

    • CreateLogGroup

    • CreateLogStream

    • DescribeLogStreams

    • GetLogEvents

    • PutLogEvents

    • PutRetentionPolicy

  6. 选择资源,然后为 log-group 选择添加 ARN

  7. 添加 ARN 对话框中,为日志组名称输入 log-group:/aws/rds/*,然后选择添加

  8. log-stream 选择添加 ARN

  9. 添加 ARN 对话框中,输入以下值:

    • 日志组名称log-group:/aws/rds/*

    • 记录流log-stream

    • 日志流名称*

  10. 添加 ARN 对话框中,选择添加

  11. 选择查看策略

  12. Name 设置为适合您的 IAM 策略的名称,例如 AmazonRDSCloudWatchLogs。在创建 IAM 角色与 Aurora 数据库集群关联时,需要使用此名称。您也可以添加可选的 Description 值。

  13. 选择 Create policy

  14. 完成 创建 IAM 角色以允许 Amazon Aurora 访问 AWS 服务 中的步骤。