使用 CloudWatch 日志 CloudTrail 进行监控的角色策略文档 - Amazon CloudTrail
Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异,请参阅 中国的 Amazon Web Services 服务入门 (PDF)

本文属于机器翻译版本。若本译文内容与英语原文存在差异,则一律以英文原文为准。

使用 CloudWatch 日志 CloudTrail 进行监控的角色策略文档

本节介绍 CloudTrail 角色向 Log CloudWatch s 发送日志事件所需的权限策略。在配置为发送事件时,可以将策略文档附加 CloudTrail 到角色,如中所述将事件发送到 CloudWatch 日志。您也可以使用 IAM 创建角色。有关更多信息,请参阅创建角色以向某人委派权限 Amazon Web Service创建 IAM 角色 (Amazon CLI)

以下示例策略文档包含在您指定的日志组中创建 CloudWatch 日志流以及将 CloudTrail 事件传送到美国东部(俄亥俄州)地区的日志流所需的权限。(这是适用于默认 IAM 角色 CloudTrail_CloudWatchLogs_Role 的默认策略。)

注意

防混淆副手不适用于 CloudWatch 日志监控的角色策略。角色策略不支持使用aws:SourceArnaws:SourceAccount

{ "Version": "2012-10-17", "Statement": [ { "Sid": "AWSCloudTrailCreateLogStream2014110", "Effect": "Allow", "Action": [ "logs:CreateLogStream" ], "Resource": [ "arn:aws:logs:us-east-2:accountID:log-group:log_group_name:log-stream:CloudTrail_log_stream_name_prefix*" ] }, { "Sid": "AWSCloudTrailPutLogEvents20141101", "Effect": "Allow", "Action": [ "logs:PutLogEvents" ], "Resource": [ "arn:aws:logs:us-east-2:accountID:log-group:log_group_name:log-stream:CloudTrail_log_stream_name_prefix*" ] } ] }

如果您要创建可能用于组织跟踪记录的策略,则需要根据为该角色创建的默认策略对其进行修改。例如,以下策略授予 CloudTrail 在您指定为 l og_group_nam e 值的日志组中创建日志日志流以及向该日志流传送 CloudTrail事件所需的权限,该权限适用于账户 111111111111 中的两个跟踪和在 111111111111 Amazon 账户中创建的组织跟踪,这些跟踪应用于 o-exampleorgid 的组织: CloudWatch Amazon Organizations

{ "Version": "2012-10-17", "Statement": [ { "Sid": "AWSCloudTrailCreateLogStream20141101", "Effect": "Allow", "Action": [ "logs:CreateLogStream" ], "Resource": [ "arn:aws:logs:us-east-2:111111111111:log-group:log_group_name:log-stream:111111111111_CloudTrail_us-east-2*", "arn:aws:logs:us-east-2:111111111111:log-group:log_group_name:log-stream:o-exampleorgid_*" ] }, { "Sid": "AWSCloudTrailPutLogEvents20141101", "Effect": "Allow", "Action": [ "logs:PutLogEvents" ], "Resource": [ "arn:aws:logs:us-east-2:111111111111:log-group:log_group_name:log-stream:111111111111_CloudTrail_us-east-2*", "arn:aws:logs:us-east-2:111111111111:log-group:log_group_name:log-stream:o-exampleorgid_*" ] } ] }

有关组织跟踪记录的更多信息,请参阅为组织创建跟踪