使用 Amazon 进行监控 CloudWatch 日志

要创建 IAM 角色以便为 Amazon 启用日志记录 CloudWatch

1. 使用AmazonIAM 控制台或以下权限AmazonIAM CLI 命令，CreateRole，以使用信任关系策略（信任策略）创建新的 IAM 角色。此信任策略为 Amazon CloudWatch 等实体授予权限以担任该角色。

   aws iam create-role --role-name exampleRoleName --assume-role-policy-document
          exampleTrustPolicy.json

   这些区域有： exampleTrustPolicy.json文件包含以下内容。

   注意

   此示例包括一个全局条件上下文密钥，用于防止混淆代理安全问题。Replace123456789012与您的Amazon和账户 IDaws-region使用Amazon您的区域Amazon资源的费用。有关更多信息，请参阅 跨服务混淆代理问题防范。

   {
      "Version": "2012-10-17",
      "Statement": [
         {
            "Effect": "Allow",
            "Principal": {
               "Service": "iotanalytics.amazonaws.com"
            },
            "Action": "sts:AssumeRole",
            "Condition": {
              "StringEquals": {
                "aws:SourceAccount": "123456789012"
              },
              "ArnLike": {
                "aws:SourceArn": "arn:aws:iotanalytics:aws-region:123456789012:*"
              }
            }
            
         }
      ]
   }

   稍后，在调用时，您可以使用此角色的 ARN。Amazon IoT Analytics PutLoggingOptions命令。

2. 使用AmazonIAMPutRolePolicy附加权限策略（arole policy）到您在步骤 1 中创建的角色。

   aws iam put-role-policy --role-name exampleRoleName --policy-name examplePolicyName --policy-document exampleRolePolicy.json

   Simple OolePolicy .json 文件包含以下内容。

   {
      "Version": "2012-10-17",
      "Statement": [
      {
      "Effect": "Allow",
      "Action": [
      	"logs:CreateLogGroup",
      	"logs:CreateLogStream"
      ],
      "Resource": [
      	"arn:aws:logs:*:*:*"
      ],
       "Condition":{
      	"ArnLike":{
      		"aws:SourceArn":"arn:aws:iotanalytics:*"
      	},
      	"StringEquals":{
      		"aws:SourceAccount":"123456789012"
      	}
      }
      }
      ]
   }

3. 为了给予Amazon IoT Analytics向 Amazon CloudWatch 提供日志记录事件的权限，请使用亚马逊 CloudWatch 命令PutResourcePolicy.

   注意

   为了帮助避免出现混淆代理安全问题，我们建议您指定aws:SourceArn在你的资源策略中。这限制了访问权限，以仅允许来自指定账户的那些请求。有关混淆代理问题的更多信息，请参阅跨服务混淆代理问题防范.

   aws logs put-resource-policy --policy-in-json exampleResourcePolicy.json

   这些区域有：exampleResourcePolicy.json文件包含以下资源策略。

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Effect": "Allow",
               "Principal": {
                   "Service": "iotanalytics.amazonaws.com"
               },
               "Action": "logs:PutLogEvents",
               "Resource": "*",
               "Condition":{
                   "ArnLike":{
                       "aws:SourceArn":"arn:aws:iotanalytics:us-east-1:123456789012:*/*"
                   },
                   "StringEquals":{
                       "aws:SourceAccount":"123456789012"
                   }
               }
       ]
   }