步骤 2：更新现有的目标访问策略 - Amazon CloudWatch 日志
Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异，请参阅 中国的 Amazon Web Services 服务入门 (PDF)。

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

步骤 2：更新现有的目标访问策略

更新所有发件人账户中的订阅筛选条件后，可以更新收件人账户中的目标访问策略。

在以下示例中，收件人账户为 999999999999，目的地名为 testDestination。

此更新将使企业中 ID 为 o-1234567890 的所有账户向收件人账户发送日志。只有创建了订阅筛选条件的账户才会实际向收件人账户发送日志。

要更新收件人账户中的目标访问策略以开始使用企业 ID 获取权限

  1. 在收件人账户中，请使用文本编辑器创建包含下列内容的 ~/AccessPolicy.json 文件。

    { 
    "Version" : "2012-10-17", 
    "Statement" : [ 
        { 
            "Sid" : "", 
            "Effect" : "Allow",
            "Principal" : "*",
            "Action" : "logs:PutSubscriptionFilter", 
            "Resource" : "arn:aws:logs:region:999999999999:destination:testDestination",
            "Condition": {
               "StringEquals" : {
                   "aws:PrincipalOrgID" : ["o-1234567890"]
                }
            }
        } 
    ] 
}

  2. 输入以下命令，将刚创建的策略附加到现有目标。要更新目标以使用具有企业 ID 的访问策略而不是列出特定 Amazon 账户 ID 的访问策略，请包括 force 参数。

    警告

    如果您正在处理中列出的 Amazon 服务发送的日志启用来自 Amazon 服务的日志记录，则在执行此步骤之前，必须先更新所有发件人账户中的订阅筛选器，如中所述步骤 1：更新订阅筛选条件。

    aws logs put-destination-policy 
    \ --destination-name "testDestination" 
    \ --access-policy file://~/AccessPolicy.json
    \ --force