本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。
# 基于身份的策略示例 Amazon CloudTrail
默认情况下，用户和角色没有创建或修改 CloudTrail 资源的权限。要授予用户对所需资源执行操作的权限，IAM 管理员可以创建 IAM 策略。
要了解如何使用这些示例 JSON 策略文档创建基于 IAM 身份的策略，请参阅《IAM 用户指南》**中的[创建 IAM 策略（控制台）](https://docs.amazonaws.cn/IAM/latest/UserGuide/access_policies_create-console.html)。
有关由定义的操作和资源类型的详细信息 CloudTrail，包括每种资源类型的格式，请参阅《*服务授权参考*》 Amazon CloudTrail中的[操作、资源和条件密钥](https://docs.amazonaws.cn/IAM/latest/UserGuide/list_awscloudtrail.html)。 ARNs
**Topics**
+ [策略最佳实践](#security_iam_service-with-iam-policy-best-practices)
+ [示例：允许和拒绝针对指定跟踪的操作](#security_iam_id-based-policy-examples-allow-deny-for-specific-trail)
+ [示例：对针对特定跟踪记录的操作创建和应用策略](#grant-custom-permissions-for-cloudtrail-users-resource-level)
+ [示例：拒绝基于标签创建或删除事件数据存储的访问权限](#security_iam_id-based-policy-examples-eds-tags)
+ [使用控制 CloudTrail 台](#security_iam_id-based-policy-examples-console)
+ [允许用户查看他们自己的权限](#security_iam_id-based-policy-examples-view-own-permissions)
+ [为 CloudTrail 用户授予自定义权限](#grant-custom-permissions-for-cloudtrail-users)
## 策略最佳实践
基于身份的策略决定了某人是否可以在您的账户中创建、访问或删除 CloudTrail 资源。这些操作可能会使 Amazon Web Services 账户产生成本。创建或编辑基于身份的策略时，请遵循以下指南和建议：
+ **开始使用 Amazon 托管策略并转向最低权限权限** — 要开始向用户和工作负载授予权限，请使用为许多常见用例授予权限的*Amazon 托管策略*。它们在你的版本中可用 Amazon Web Services 账户。我们建议您通过定义针对您的用例的 Amazon 客户托管策略来进一步减少权限。有关更多信息，请参阅《IAM 用户指南》**中的 [Amazon 托管策略](https://docs.amazonaws.cn/IAM/latest/UserGuide/access_policies_managed-vs-inline.html#aws-managed-policies)或[工作职能的Amazon 托管策略](https://docs.amazonaws.cn/IAM/latest/UserGuide/access_policies_job-functions.html)。
+ **应用最低权限**：在使用 IAM 策略设置权限时，请仅授予执行任务所需的权限。为此，您可以定义在特定条件下可以对特定资源执行的操作，也称为*最低权限许可*。有关使用 IAM 应用权限的更多信息，请参阅《IAM 用户指南》**中的 [IAM 中的策略和权限](https://docs.amazonaws.cn/IAM/latest/UserGuide/access_policies.html)。
+ **使用 IAM 策略中的条件进一步限制访问权限**：您可以向策略添加条件来限制对操作和资源的访问。例如，您可以编写策略条件来指定必须使用 SSL 发送所有请求。如果服务操作是通过特定的方式使用的，则也可以使用条件来授予对服务操作的访问权限 Amazon Web Services 服务，例如 Amazon CloudFormation。有关更多信息，请参阅《IAM 用户指南》**中的 [IAM JSON 策略元素：条件](https://docs.amazonaws.cn/IAM/latest/UserGuide/reference_policies_elements_condition.html)。
+ **使用 IAM Access Analyzer 验证您的 IAM 策略，以确保权限的安全性和功能性**：IAM Access Analyzer 会验证新策略和现有策略，以确保策略符合 IAM 策略语言（JSON）和 IAM 最佳实践。IAM Access Analyzer 提供 100 多项策略检查和可操作的建议，以帮助您制定安全且功能性强的策略。有关更多信息，请参阅《IAM 用户指南》**中的[使用 IAM Access Analyzer 验证策略](https://docs.amazonaws.cn/IAM/latest/UserGuide/access-analyzer-policy-validation.html)。
+ **需要多重身份验证 (MFA**)-如果 Amazon Web Services 账户您的场景需要 IAM 用户或根用户，请启用 MFA 以提高安全性。若要在调用 API 操作时需要 MFA，请将 MFA 条件添加到您的策略中。有关更多信息，请参阅《IAM 用户指南》**中的[使用 MFA 保护 API 访问](https://docs.amazonaws.cn/IAM/latest/UserGuide/id_credentials_mfa_configure-api-require.html)。
有关 IAM 中的最佳实操的更多信息，请参阅《IAM 用户指南》**中的 [IAM 中的安全最佳实践](https://docs.amazonaws.cn/IAM/latest/UserGuide/best-practices.html)。
CloudTrail 没有可以在策略声明`Condition`元素中使用的特定于服务的上下文密钥。
## 示例：允许和拒绝针对指定跟踪的操作
以下示例演示了一个策略，该策略允许拥有该策略的用户查看跟踪的状态和配置，以及启动和停止名为的跟踪的日志记录*My-First-Trail*。这条线路是在美国东部（俄亥俄州）地区（其所在地区）中创建的 Amazon Web Services 账户 ，身份为*123456789012*。
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"cloudtrail:StartLogging",
"cloudtrail:StopLogging",
"cloudtrail:GetTrail",
"cloudtrail:GetTrailStatus",
"cloudtrail:GetEventSelectors"
],
"Resource": [
"arn:aws:cloudtrail:us-east-2:123456789012:trail/My-First-Trail"
]
}
]
}
```
------
以下示例演示了一个策略，该策略明确拒绝对任何未命名的跟踪 CloudTrail 执行操作*My-First-Trail*。
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Deny",
"Action": [
"cloudtrail:*"
],
"NotResource": [
"arn:aws:cloudtrail:us-east-2:123456789012:trail/My-First-Trail"
]
}
]
}
```
------
## 示例：对针对特定跟踪记录的操作创建和应用策略
您可以使用权限和策略来控制用户对 CloudTrail 跟踪执行特定操作的能力。
例如，您不想公司开发人员组中的用户开始或停止对特定跟踪的日志记录。但是，您可能想授予他们在跟踪中执行 `DescribeTrails` 和 `GetTrailStatus` 操作的权限。您希望开发人员组的用户能够对自己管理的跟踪记录执行 `StartLogging` 或 `StopLogging` 操作。
您可以创建两条策略语句，然后将它们附加到您在 IAM 中创建的开发人员组。有关 IAM 中的组的更多信息，请参阅 *IAM 用户指南*中的 [IAM 组](https://docs.amazonaws.cn/IAM/latest/UserGuide/id_groups.html)。
在第一条策略中，您拒绝对您指定的跟踪 ARN 执行 `StartLogging` 和 `StopLogging` 操作。在下面的示例中，跟踪 ARN 为 `arn:aws:cloudtrail:us-east-2:123456789012:trail/Example-Trail`。
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Sid": "Stmt1446057698000",
"Effect": "Deny",
"Action": [
"cloudtrail:StartLogging",
"cloudtrail:StopLogging"
],
"Resource": [
"arn:aws:cloudtrail:us-east-2:123456789012:trail/Example-Trail"
]
}
]
}
```
------
在第二个策略中，允许对所有 CloudTrail 资源`GetTrailStatus`执行`DescribeTrails`和操作：
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Sid": "Stmt1446072643000",
"Effect": "Allow",
"Action": [
"cloudtrail:DescribeTrails",
"cloudtrail:GetTrail",
"cloudtrail:GetTrailStatus"
],
"Resource": [
"*"
]
}
]
}
```
------
如果开发人员组中的用户尝试针对您在第一条策略中指定的跟踪启动或停止日志记录，该用户会收到拒绝访问异常。该开发人员组中的用户可针对自己创建和管理的跟踪记录启动和停止日志记录。
以下示例显示了在名为的配置 Amazon CLI 文件中配置的开发者群组`devgroup`。首先，`devgroup` 的用户运行 `describe-trails` 命令。
```
$ aws --profile devgroup cloudtrail describe-trails
```
该命令成功完成并返回以下输出：
```
{
"trailList": [
{
"IncludeGlobalServiceEvents": true,
"Name": "Default",
"TrailARN": "arn:aws:cloudtrail:us-east-2:123456789012:trail/Example-Trail",
"IsMultiRegionTrail": false,
"S3BucketName": "amzn-s3-demo-bucket",
"HomeRegion": "us-east-2"
}
]
}
```
然后，该用户针对您在第一条策略中指定的跟踪运行 `get-trail-status` 命令。
```
$ aws --profile devgroup cloudtrail get-trail-status --name Example-Trail
```
该命令成功完成并返回以下输出：
```
{
"LatestDeliveryTime": 1449517556.256,
"LatestDeliveryAttemptTime": "2015-12-07T19:45:56Z",
"LatestNotificationAttemptSucceeded": "",
"LatestDeliveryAttemptSucceeded": "2015-12-07T19:45:56Z",
"IsLogging": true,
"TimeLoggingStarted": "2015-12-07T19:36:27Z",
"StartLoggingTime": 1449516987.685,
"StopLoggingTime": 1449516977.332,
"LatestNotificationAttemptTime": "",
"TimeLoggingStopped": "2015-12-07T19:36:17Z"
}
```
接下来，`devgroup` 组中的一位用户针对同一个跟踪运行 `stop-logging` 命令。
```
$ aws --profile devgroup cloudtrail stop-logging --name Example-Trail
```
该命令返回拒绝访问异常，示例如下：
```
A client error (AccessDeniedException) occurred when calling the StopLogging operation: Unknown
```
该用户针对同一个跟踪运行 `start-logging` 命令。
```
$ aws --profile devgroup cloudtrail start-logging --name Example-Trail
```
该命令再次返回拒绝访问异常，示例如下：
```
A client error (AccessDeniedException) occurred when calling the StartLogging operation: Unknown
```
## 示例：拒绝基于标签创建或删除事件数据存储的访问权限
在如下策略示例中，如果以下条件一条都无法满足，使用 `CreateEventDataStore` 创建事件数据存储的权限将被拒绝：
+ 事件数据存储自身并没有应用 `stage` 标签键。
+ 阶段标签的值不是 `alpha`、`beta`、`gamma` 或 `prod`。
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Deny",
"Action": "cloudtrail:CreateEventDataStore",
"Resource": "*",
"Condition": {
"Null": {
"aws:RequestTag/stage": "true"
}
}
},
{
"Effect": "Deny",
"Action": "cloudtrail:CreateEventDataStore",
"Resource": "*",
"Condition": {
"ForAnyValue:StringNotEquals": {
"aws:RequestTag/stage": [
"alpha",
"beta",
"gamma",
"prod"
]
}
}
}
]
}
```
------
在以下策略示例中，如果事件数据存储有 `stage` 标签且值为 `prod`，使用 `DeleteEventDataStore` 删除事件数据存储的权限将被拒绝。类似策略可以帮助保护事件数据存储免遭意外删除。
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Deny",
"Action": "cloudtrail:DeleteEventDataStore",
"Resource": "*",
"Condition": {
"StringEquals": {
"aws:ResourceTag/stage": "prod"
}
}
}
]
}
```
------
## 使用控制 CloudTrail 台
要访问 Amazon CloudTrail 控制台，您必须拥有一组最低权限。这些权限必须允许您列出和查看有关您的 CloudTrail 资源的详细信息 Amazon Web Services 账户。如果创建比必需的最低权限更为严格的基于身份的策略，对于附加了该策略的实体（用户或角色），控制台将无法按预期正常运行。
对于仅调用 Amazon CLI 或 Amazon API 的用户，您无需为其设置最低控制台权限。相反，只允许访问与其尝试执行的 API 操作相匹配的操作。
### 授予 CloudTrail 管理权限
要允许 IAM 角色或用户管理 CloudTrail 资源，例如跟踪、事件数据存储或频道，您必须授予执行与 CloudTrail 任务相关的操作的明确权限。在大多数情况下，您可以使用包含预定义权限的 Amazon 托管策略。
**注意**
您授予用户执行 CloudTrail 管理任务的权限与将日志文件传输到 Amazon S3 存储桶或向 Amazon SNS 主题发送通知 CloudTrail 所需的权限不同。有关这些权限的更多信息，请参阅 [适用于 Amazon S3 存储桶政策 CloudTrail](create-s3-bucket-policy-for-cloudtrail.md)。
如果您配置与 Amazon CloudWatch Logs 的集成，则 CloudTrail 还需要一个可以代入的角色来向 Amazon Lo CloudWatch gs 日志组传送事件。您必须创建 CloudTrail 使用的角色。有关更多信息，请参阅[授予在 CloudTrail 控制台上查看和配置 Amazon CloudWatch 日志信息的权限](#grant-cloudwatch-permissions-for-cloudtrail-users)和[将事件发送到 CloudWatch 日志](send-cloudtrail-events-to-cloudwatch-logs.md)。
以下 Amazon 托管策略可用于 CloudTrail：
+ [https://docs.amazonaws.cn/aws-managed-policy/latest/reference/AWSCloudTrail_FullAccess.html](https://docs.amazonaws.cn/aws-managed-policy/latest/reference/AWSCloudTrail_FullAccess.html)— 此政策提供对 CloudTrail 资源 CloudTrail 操作的完全访问权限，例如跟踪、事件数据存储和频道。此策略提供创建、更新和删除 CloudTrail 跟踪、事件数据存储和频道所需的权限。
该策略还提供管理 Amazon S3 存储桶、日志日志组和 CloudWatch 跟踪的 Amazon SNS 主题的权限。但是，`AWSCloudTrail_FullAccess`托管策略不提供删除 Amazon S3 存储桶、日志日志组或 Amazon SNS 主题的权限。 CloudWatch 有关其他人的托管策略的信息 Amazon Web Services 服务，请参阅《[https://docs.amazonaws.cn/aws-managed-policy/latest/reference/about-managed-policy-reference.html](https://docs.amazonaws.cn/aws-managed-policy/latest/reference/about-managed-policy-reference.html)。
**注意**
本**AWSCloudTrail\$1FullAccess**政策不打算在您之间广泛共享 Amazon Web Services 账户。拥有此角色的用户能够关闭或重新配置他们的 Amazon Web Services 账户账户中最敏感且最重要的审计功能。因此，您只能将此策略应用于账户管理员。您必须严格控制和监控此策略的使用。
+ [https://docs.amazonaws.cn/aws-managed-policy/latest/reference/AWSCloudTrail_ReadOnlyAccess.html](https://docs.amazonaws.cn/aws-managed-policy/latest/reference/AWSCloudTrail_ReadOnlyAccess.html)— 此策略授予查看 CloudTrail 控制台的权限，包括最近的事件和事件历史记录。此策略还支持查看现有跟踪、事件数据存储和通道。拥有此策略的角色和用户可以[下载事件历史记录](https://docs.amazonaws.cn/awscloudtrail/latest/userguide/view-cloudtrail-events-console.html#downloading-events)，但他们无法创建或更新跟踪、事件数据存储或通道。
要提供访问权限，请为您的用户、组或角色添加权限：
+ 通过身份提供者在 IAM 中托管的用户：
创建适用于身份联合验证的角色。按照《IAM 用户指南》**中[针对第三方身份提供者创建角色（联合身份验证）](https://docs.amazonaws.cn//IAM/latest/UserGuide/id_roles_create_for-idp.html)的说明进行操作。
+ IAM 用户：
+ 创建您的用户可以担任的角色。按照《IAM 用户指南》**中[为 IAM 用户创建角色](https://docs.amazonaws.cn//IAM/latest/UserGuide/id_roles_create_for-user.html)的说明进行操作。
+ （不推荐使用）将策略直接附加到用户或将用户添加到用户组。按照《IAM 用户指南》**中[向用户添加权限（控制台）](https://docs.amazonaws.cn//IAM/latest/UserGuide/id_users_change-permissions.html#users_change_permissions-add-console)中的说明进行操作。
#### 其他资源
要详细了解如何使用 IAM 向身份（例如用户和角色）授予对您账户中资源的访问权限，请参阅 [IAM 用户指南中的如何设置](https://docs.amazonaws.cn/IAM/latest/UserGuide/getting-set-up.html) *IAM* 和[Amazon 资源访问管理](https://docs.amazonaws.cn/IAM/latest/UserGuide/access.html)。
对于仅调用 Amazon CLI 或 Amazon API 的用户，您无需为其设置最低控制台权限。相反，只允许访问与您尝试执行的 API 操作相匹配的操作。
## 允许用户查看他们自己的权限
该示例说明了您如何创建策略，以允许 IAM 用户查看附加到其用户身份的内联和托管式策略。此策略包括在控制台上或使用 Amazon CLI 或 Amazon API 以编程方式完成此操作的权限。
```
{
"Version": "2012-10-17",
"Statement": [
{
"Sid": "ViewOwnUserInfo",
"Effect": "Allow",
"Action": [
"iam:GetUserPolicy",
"iam:ListGroupsForUser",
"iam:ListAttachedUserPolicies",
"iam:ListUserPolicies",
"iam:GetUser"
],
"Resource": ["arn:aws:iam::*:user/${aws:username}"]
},
{
"Sid": "NavigateInConsole",
"Effect": "Allow",
"Action": [
"iam:GetGroupPolicy",
"iam:GetPolicyVersion",
"iam:GetPolicy",
"iam:ListAttachedGroupPolicies",
"iam:ListGroupPolicies",
"iam:ListPolicyVersions",
"iam:ListPolicies",
"iam:ListUsers"
],
"Resource": "*"
}
]
}
```
## 为 CloudTrail 用户授予自定义权限
CloudTrail 策略向与之合作的用户授予权限 CloudTrail。如果您需要向用户授予不同的权限，则可以将 CloudTrail 策略附加到 IAM 群组或用户。您可以编辑策略，使之包括或排除特定权限。您还可以创建自己的自定义策略。策略是一些 JSON 文档，它们定义了允许用户执行的操作以及允许用户对哪些资源执行这些操作。有关特定示例，请参阅[示例：允许和拒绝针对指定跟踪的操作](#security_iam_id-based-policy-examples-allow-deny-for-specific-trail)和[示例：对针对特定跟踪记录的操作创建和应用策略](#grant-custom-permissions-for-cloudtrail-users-resource-level)。
**Contents**
+ [只读访问权限](#grant-custom-permissions-for-cloudtrail-users-read-only)
+ [完全访问](#grant-custom-permissions-for-cloudtrail-users-full-access)
+ [授予在 CloudTrail 控制台上查看 Amazon Config 信息的权限](#grant-aws-config-permissions-for-cloudtrail-users)
+ [授予在 CloudTrail 控制台上查看和配置 Amazon CloudWatch 日志信息的权限](#grant-cloudwatch-permissions-for-cloudtrail-users)
+ [附加信息](#cloudtrail-notifications-more-info-2)
### 只读访问权限
以下示例显示了授予 CloudTrail 跟踪只读访问权限的策略。这等同于托管策略 **AWSCloudTrail\$1ReadOnlyAccess**。它对用户授予查看跟踪信息的权限，而不是创建或更新跟踪记录的权限。
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"cloudtrail:Get*",
"cloudtrail:Describe*",
"cloudtrail:List*",
"cloudtrail:LookupEvents"
],
"Resource": "*"
}
]
}
```
------
在这些策略语句中，`Effect` 元素指定是允许还是拒绝操作。`Action` 元素列出了允许用户执行的特定操作。`Resource`元素列出了允许用户对其执行这些操作的 Amazon 资源。对于控制 CloudTrail 操作访问权限的策略，`Resource`元素通常设置为`*`，通配符表示 “所有资源”。
`Action`元素中的值对应 APIs 于服务支持的值。操作前附加了 `cloudtrail:` 以表示其指的是 CloudTrail 操作。您可以在 `Action` 元素中使用 `*` 通配符，如以下示例所示：
+ `"Action": ["cloudtrail:*Logging"]`
这允许所有以 “记录” (`StartLogging`,`StopLogging`) 结尾的 CloudTrail 操作。
+ `"Action": ["cloudtrail:*"]`
这允许所有 CloudTrail 操作，但不允许对其他 Amazon 服务执行操作。
+ `"Action": ["*"]`
这允许所有 Amazon 操作。此权限适合授予充当您账户的 Amazon 管理员的用户。
只读策略不对用户授予执行 `CreateTrail`、`UpdateTrail`、`StartLogging` 和 `StopLogging` 操作的权限。具有此策略的用户不能够创建跟踪记录、更新跟踪记录或启用和关闭日志记录。有关 CloudTrail 操作列表，请参阅 [Amazon CloudTrail API 参考](https://docs.amazonaws.cn/awscloudtrail/latest/APIReference/)。
### 完全访问
以下示例显示了授予完全访问权限的策略 CloudTrail。这等同于托管策略 **AWSCloudTrail\$1FullAccess**。它授予用户执行所有 CloudTrail 操作的权限。它还允许用户在 Amazon S3 中记录数据事件 Amazon Lambda，管理 Amazon S3 存储桶中的文件，管理 CloudWatch 日志监控 CloudTrail 日志事件的方式，以及在用户关联的账户中管理 Amazon SNS 主题。
**重要**
该**AWSCloudTrail\$1FullAccess**政策或同等权限不打算在您的 Amazon 账户中广泛共享。具有此角色或同等访问权限的用户可以禁用或重新配置其 Amazon 账户中最敏感和最重要的审计功能。因此，此策略应仅应用于账户管理员，并且此策略的使用应受到密切控制和监控。
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"sns:AddPermission",
"sns:CreateTopic",
"sns:SetTopicAttributes",
"sns:GetTopicAttributes"
],
"Resource": [
"arn:aws:sns:*:*:aws-cloudtrail-logs*"
]
},
{
"Effect": "Allow",
"Action": [
"sns:ListTopics"
],
"Resource": "*"
},
{
"Effect": "Allow",
"Action": [
"s3:CreateBucket",
"s3:PutBucketPolicy"
],
"Resource": [
"arn:aws:s3:::amzn-s3-demo-logging-bucket1*"
]
},
{
"Effect": "Allow",
"Action": [
"s3:ListAllMyBuckets",
"s3:GetBucketLocation",
"s3:GetBucketPolicy"
],
"Resource": "*"
},
{
"Effect": "Allow",
"Action": "cloudtrail:*",
"Resource": "*"
},
{
"Effect": "Allow",
"Action": [
"logs:CreateLogGroup"
],
"Resource": [
"arn:aws:logs:*:*:log-group:aws-cloudtrail-logs*"
]
},
{
"Effect": "Allow",
"Action": [
"iam:ListRoles",
"iam:GetRolePolicy",
"iam:GetUser"
],
"Resource": "*"
},
{
"Effect": "Allow",
"Action": [
"iam:PassRole"
],
"Resource": "*",
"Condition": {
"StringEquals": {
"iam:PassedToService": "cloudtrail.amazonaws.com"
}
}
},
{
"Effect": "Allow",
"Action": [
"kms:CreateKey",
"kms:CreateAlias",
"kms:ListKeys",
"kms:ListAliases"
],
"Resource": "*"
},
{
"Effect": "Allow",
"Action": [
"lambda:ListFunctions"
],
"Resource": "*"
},
{
"Effect": "Allow",
"Action": [
"dynamodb:ListGlobalTables",
"dynamodb:ListTables"
],
"Resource": "*"
}
]
}
```
------
### 授予在 CloudTrail 控制台上查看 Amazon Config 信息的权限
您可以在 CloudTrail 控制台上查看事件信息，包括与该事件相关的资源。对于这些资源，您可以选择 Amazon Config 图标在 Amazon Config 控制台中查看该资源的时间表。将此政策附加到您的用户，以授予他们只读 Amazon Config 访问权限。该策略不对他们授予在 Amazon Config中更改设置的权限。
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [{
"Effect": "Allow",
"Action": [
"config:Get*",
"config:Describe*",
"config:List*"
],
"Resource": "*"
}]
}
```
------
有关更多信息，请参阅 [查看引用的资源 Amazon Config](view-cloudtrail-events-console.md#viewing-resources-config)。
### 授予在 CloudTrail 控制台上查看和配置 Amazon CloudWatch 日志信息的权限
如果您有足够的权限，则可以在 CloudTrail 控制台中查看和配置向 CloudWatch 日志发送的事件。这些权限可能超出了为 CloudTrail 管理员授予的权限。将此策略附加到将配置和管理与 CloudWatch 日志 CloudTrail集成的管理员。该策略不直接向他们授予 CloudWatch 日志中 CloudTrail 或日志中的权限，而是授予创建和配置角色所需的权限，以便成功 CloudTrail将事件传送到您的 CloudWatch 日志组。
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [{
"Effect": "Allow",
"Action": [
"iam:CreateRole",
"iam:PutRolePolicy",
"iam:AttachRolePolicy",
"iam:ListRoles",
"iam:GetRolePolicy",
"iam:GetUser"
],
"Resource": "*"
}]
}
```
------
有关更多信息，请参阅 [使用 Amazon CloudTrail 日志监控 CloudWatch 日志文件](monitor-cloudtrail-log-files-with-cloudwatch-logs.md)。
### 附加信息
要详细了解如何使用 IAM 向身份（例如用户和角色）授予对您账户中资源的访问权限，请参阅 *IAM 用户指南*中的[Amazon 资源[入门](https://docs.amazonaws.cn/IAM/latest/UserGuide/getting-set-up.html)和访问管理](https://docs.amazonaws.cn/IAM/latest/UserGuide/access.html)。