与 CloudTrail 使用 CloudWatch Logs 进行监控对应的角色策略文档

此部分介绍 CloudTrail 角色将日志事件发送到 CloudWatch Logs 所需的权限策略。您可以在将 CloudTrail 配置为发送事件时将策略文档附加到角色，如 将事件发送到 CloudWatch Logs 中所述。您也可以使用 IAM 创建角色。有关更多信息，请参阅为 Amazon 服务 (Amazon Web Services Management Console) 创建角色或创建角色（CLI 和 API）。

以下示例策略文档包含在在美国东部（俄亥俄）区域的指定的日志组中创建 CloudWatch 日志流并将 CloudTrail 事件传输到该日志流所需的权限。（这是适用于默认 IAM 角色 CloudTrail_CloudWatchLogs_Role 的默认策略。）

{
  "Version": "2012-10-17",
  "Statement": [
    {

      "Sid": "AWSCloudTrailCreateLogStream2014110",
      "Effect": "Allow",
      "Action": [
        "logs:CreateLogStream"
      ],
      "Resource": [
        "arn:aws:logs:us-east-2:accountID:log-group:log_group_name:log-stream:CloudTrail_log_stream_name_prefix*"
      ]

    },
    {
      "Sid": "AWSCloudTrailPutLogEvents20141101",
      "Effect": "Allow",
      "Action": [
        "logs:PutLogEvents"
      ],
      "Resource": [
        "arn:aws:logs:us-east-2:accountID:log-group:log_group_name:log-stream:CloudTrail_log_stream_name_prefix*"
      ]
    }
  ]
}

如果您要创建可能用于组织跟踪记录的策略，则需要根据为该角色创建的默认策略对其进行修改。例如，以下策略授予 CloudTrail 必需的权限，以在您指定为 log_group_name 值的日志组中创建 CloudWatch Logs 日志流，并将 CloudTrail 事件传输到 Amazon 账户 111111111111 的跟踪记录的以及在 111111111111 账户中创建且应用于 ID 为 o-exampleorgid 的 Amazon Organizations 组织的组织跟踪记录的该日志流：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AWSCloudTrailCreateLogStream20141101",
            "Effect": "Allow",
            "Action": [
                "logs:CreateLogStream"
            ],
            "Resource": [
                "arn:aws:logs:us-east-2:111111111111:log-group:log_group_name:log-stream:111111111111_CloudTrail_us-east-2*",
                "arn:aws:logs:us-east-2:111111111111:log-group:log_group_name:log-stream:o-exampleorgid_*"
            ]
        },
        {
            "Sid": "AWSCloudTrailPutLogEvents20141101",
            "Effect": "Allow",
            "Action": [
                "logs:PutLogEvents"
            ],
            "Resource": [
                "arn:aws:logs:us-east-2:111111111111:log-group:log_group_name:log-stream:111111111111_CloudTrail_us-east-2*",
                "arn:aws:logs:us-east-2:111111111111:log-group:log_group_name:log-stream:o-exampleorgid_*"
            ]
        }
    ]
}

有关组织跟踪记录的更多信息，请参阅为组织创建跟踪。