Amazon CloudWatch 日志的操作、资源和条件密钥

Ama CloudWatch zon Logs（服务前缀:logs）提供以下特定于服务的资源、操作和条件上下文密钥，供在 IAM 权限策略中使用。

参考：

了解如何配置该服务。
查看适用于该服务的 API 操作列表。
了解如何使用 IAM 权限策略保护该服务及其资源。

主题

由 Amazon CloudWatch 日志定义的操作
由 Amazon CloudWatch 日志定义的资源类型
Amazon CloudWatch 日志的条件密钥

由 Amazon CloudWatch 日志定义的操作

您可以在 IAM 策略语句的 Action 元素中指定以下操作。可以使用策略授予在 Amazon中执行操作的权限。您在策略中使用一项操作时，通常使用相同的名称允许或拒绝对 API 操作或 CLI 命令的访问。但在某些情况下，单一动作可控制对多项操作的访问。还有某些操作需要多种不同的动作。

“操作” 表的 “访问级别” 列描述了如何对操作进行分类（列出、读取、权限管理或标记）。此分类可以帮助您了解当您在策略中使用操作时，相应操作授予的访问级别。有关访问级别的更多信息，请参阅策略摘要中的访问级别。

操作表的资源类型列指示每项操作是否支持资源级权限。如果该列没有任何值，您必须在策略语句的 Resource 元素中指定策略应用的所有资源（“*”）。通过在 IAM policy 中使用条件来筛选访问权限，以控制是否可以在资源或请求中使用特定标签键。如果操作具有一个或多个必需资源，则调用方必须具有使用这些资源来使用该操作的权限。必需资源在表中以星号 (*) 表示。如果您在 IAM policy 中使用 Resource 元素限制资源访问权限，则必须为每种必需的资源类型添加 ARN 或模式。某些操作支持多种资源类型。如果资源类型是可选的（未指示为必需），则可以选择使用一种可选资源类型。

操作表的条件键列包括可以在策略语句的 Condition 元素中指定的键。有关与服务资源关联的条件键的更多信息，请参阅资源类型表的条件键列。

“操作” 表格的 “依赖操作” 列显示成功调用操作可能需要的其他权限。除了操作本身的权限外，可能还需要这些权限。当操作指定依赖操作时，这些依赖关系可能适用于为该操作定义的其他资源，而不仅仅是表格中列出的第一个资源。

注意

资源条件键在资源类型表中列出。您可以在操作表的资源类型（* 为必需）列中找到应用于某项操作的资源类型的链接。资源类型表中的资源类型包括条件密钥列，这是应用于操作表中操作的资源条件键。

有关下表中各列的详细信息，请参阅操作表。

操作	描述	访问级别	资源类型（* 为必需）	条件键	相关操作
AssociateKmsKey	授予将指定的 Amazon 密钥管理服务 (Amazon KMS) 客户主密钥 (CMK) 与指定日志组关联的权限	写入	log-group*
CancelExportTask	授予权限，如果导出任务处于 PENDING（待处理）或 RUNNING（正在运行）状态，则取消该任务	写入
CreateDelivery	授予创建将传输源连接到传输目标的传输的权限	写入	delivery*
			delivery-destination*
			delivery-source*
				aws:TagKeys aws:RequestTag/${TagKey}
CreateExportTask	授予创建权限 ExportTask ，允许您高效地将数据从日志组导出到 Amazon S3 存储桶	写入	log-group*
CreateLogAnomalyDetector	授予创建日志异常检测器的权限	写入	log-group*
CreateLogAnomalyDetector	授予创建日志异常检测器的权限	写入		aws:TagKeys aws:RequestTag/${TagKey}
CreateLogDelivery [仅权限]	授予权限以创建日志传送	写入
CreateLogGroup	授予权限以创建具有指定名称的新日志组	写入	log-group*
CreateLogGroup	授予权限以创建具有指定名称的新日志组	写入		aws:TagKeys aws:RequestTag/${TagKey}
CreateLogStream	授予权限以创建具有指定名称的新日志流	写入	log-stream*
DeleteAccountPolicy	授予删除账户策略的权限	写入
DeleteDataProtectionPolicy	授予权限以删除附加到日志组的数据保护策略	写入	log-group*
DeleteDelivery	授予删除传输的权限	写入	delivery*
DeleteDeliveryDestination	授予删除所有关联的传输后删除传输目标的权限	写入	delivery-destination*
DeleteDeliveryDestinationPolicy	授予删除与传输目标关联的传输目标策略的权限	写入	delivery-destination*
DeleteDeliverySource	授予删除所有关联的传输后删除传输源的权限	写入	delivery-destination*
DeleteDestination	授予权限以删除具有指定名称的目标	写入	destination*
DeleteIndexPolicy	授予删除附加到日志组的索引策略的权限	写入
DeleteIntegration	授予删除集成的权限	写入
DeleteLogAnomalyDetector	授予删除日志异常探测器的权限	写入	anomaly-detector*
DeleteLogDelivery [仅权限]	授予权限以删除指定日志传送的日志传送信息	写入
DeleteLogGroup	授予权限以删除具有指定名称的日志组	写入	log-group*
DeleteLogStream	授予权限以删除日志流	写入	log-stream*
DeleteMetricFilter	授予权限以删除与指定日志组关联的指标筛选条件	写入	log-group*
DeleteQueryDefinition	授予删除已保存的 L CloudWatch ogs Insights 查询定义的权限	写入
DeleteResourcePolicy	授予权限以从此账户删除资源策略	权限管理
DeleteRetentionPolicy	授予权限以删除指定日志组的保留策略	写入	log-group*
DeleteSubscriptionFilter	授予权限以删除与指定日志组关联的订阅筛选条件	写入	log-group*
DeleteTransformer	授予删除与指定日志组关联的转换器的权限	写入	log-group*
DescribeAccountPolicies	授予检索账户政策的权限	列表
DescribeConfigurationTemplates	授予权限以检索可用日志类型的配置模板列表	列表
DescribeDeliveries	授予检索账户中的传输列表的权限	列表
DescribeDeliveryDestinations	授予检索账户中的传输目标列表的权限	列表
DescribeDeliverySources	授予检索账户中的传输源列表的权限	列表
DescribeDestinations	授予返回与提出请求相关的所有目的地的权限 Amazon Web Services 账户	列表
DescribeExportTasks	授予返回与提出请求相关的所有导出任务的权限 Amazon Web Services 账户	列表
DescribeFieldIndexes	授予返回与日志组关联的所有索引属性的权限	列表
DescribeIndexPolicies	授予返回与日志组关联的所有索引策略的权限	列表
DescribeLogGroups	授予返回与发出请求关联的所有日志组的权限 Amazon Web Services 账户	列表
DescribeLogStreams	授予权限以返回与指定日志组关联的所有日志流	列表	log-group*
DescribeMetricFilters	授予权限以返回与指定日志组关联的所有指标筛选条件	列表	log-group*
DescribeQueries	授予返回此账户中已计划、正在执行或最近执行的 L CloudWatch ogs Insights 查询列表的权限	列表
DescribeQueryDefinitions	授予返回已保存的 Lo CloudWatch gs Insights 查询定义的分页列表的权限	列表
DescribeResourcePolicies	授予权限以返回此账户中的所有资源策略	列表
DescribeSubscriptionFilters	授予权限以返回与指定日志组关联的所有订阅筛选条件	列表	log-group*
DisassociateKmsKey	授予权限以解除关联的 Amazon 密钥管理服务 (Amazon KMS) 客户主密钥 (CMK) 与指定日志组的关联	写入	log-group*
FilterLogEvents	授予权限以从指定日志组中检索日志事件，可以选择通过筛选条件模式进行筛选	读取	log-group*
GetDataProtectionPolicy	授予权限以检索附加到日志组的数据保护策略	读取	log-group*
GetDelivery	授予检索单个传输的权限	读取	delivery*
GetDeliveryDestination	授予检索单个传输目标的权限	读取	delivery-destination*
GetDeliveryDestinationPolicy	授予检索附加到传输目标的传输目标策略的权限	读取	delivery-destination*
GetDeliverySource	授予检索单个传输源的权限	读取	delivery-source*
GetIntegration	授予检索单个集成的权限	读取
GetLogAnomalyDetector	授予获取日志异常检测器的权限	读取	anomaly-detector*
GetLogDelivery [仅权限]	授予权限以获取指定日志传送的日志传送信息	读取
GetLogEvents	授予权限以从指定日志流中检索日志事件	读取	log-stream*
GetLogGroupFields	授予权限以返回指定日志组中的日志事件包含的字段列表，以及包含每个字段的日志事件的百分比	读取	log-group*
GetLogRecord	授予权限以检索单个日志事件的所有字段和值	读取	log-group*
GetQueryResults	授予权限以返回指定查询的结果	读取	log-group*
GetTransformer	授予返回与指定日志组关联的转换器的权限	读取	log-group*
Link [仅权限]	授予与监控账户共享 CloudWatch 资源的权限	写入
ListAnomalies	授予列出在 Amazon Web Services 账户提出请求时检测到的所有异常的权限	列表	anomaly-detector
ListEntitiesForLogGroup [仅权限]	授予检索与日志组关联的所有实体的权限	列表
ListIntegrations	授予列出与 Amazon Web Services 账户提出请求相关的所有集成的权限	列表
ListLogAnomalyDetectors	授予返回与 Amazon Web Services 账户发出请求关联的所有异常检测器的权限	列表	anomaly-detector
ListLogDeliveries [仅权限]	授予列出指定账户日志源的所有 and/or 日志传输的权限	列表
ListLogGroups	授予返回与发出请求关联的所有日志组的权限 Amazon Web Services 账户	列表
ListLogGroupsForEntity [仅权限]	授予检索与实体关联的所有日志组的权限	列表
ListLogGroupsForQuery	授予返回与指定查询关联的所有日志组的权限	列表
ListTagsForResource	授予权限以列出指定资源的标签	列表	anomaly-detector
			delivery
			delivery-destination
			delivery-source
			destination
			log-group
ListTagsLogGroup	授予权限以列出指定日志组的标签	列表	log-group*
PutAccountPolicy	授予附加账户政策的权限	写入
PutDataProtectionPolicy	授予权限以附加数据保护策略，以检测和编辑日志事件中的敏感信息	写入	log-group*
PutDeliveryDestination	向配送目的地授予权限 create/update	写入	delivery-destination*
PutDeliveryDestination	向配送目的地授予权限 create/update	写入		aws:TagKeys aws:RequestTag/${TagKey} logs:DeliveryDestinationResourceArn
PutDeliveryDestinationPolicy	授予将传输目标策略附加到传输目标的权限	写入	delivery-destination*
PutDeliverySource	向 create/update 交付源授予权限	写入	delivery-source*
PutDeliverySource	向 create/update 交付源授予权限	写入		aws:TagKeys aws:RequestTag/${TagKey} logs:LogGeneratingResourceArns
PutDestination	授予权限以创建或更新目标	写入	destination*		iam:PassRole
PutDestination	授予权限以创建或更新目标	写入		aws:TagKeys aws:RequestTag/${TagKey}
PutDestinationPolicy	授予权限以创建或更新与现有目标关联的访问策略	写入	destination*
PutIndexPolicy	授予在日志组级别附加索引策略以优化搜索和查询的权限	写入
PutIntegration	授予在 cloudwatch 日志和开放搜索之间创建集成的权限	写入
PutLogEvents	授予权限以将一批日志事件上传到指定的日志流	写入	log-stream*
PutMetricFilter	授予权限以创建或更新指标筛选条件并将其与指定日志组关联	写入	log-group*
PutQueryDefinition	授予权限以创建或更新查询定义	写入
PutResourcePolicy	授予创建或更新资源策略的权限，允许其他 Amazon 服务将日志事件存入此账户	权限管理
PutRetentionPolicy	授予权限以设置指定日志组的保留	写入	log-group*
PutSubscriptionFilter	授予权限以创建或更新订阅筛选器并将其与指定日志组关联	写入	log-group*		iam:PassRole
PutSubscriptionFilter	授予权限以创建或更新订阅筛选器并将其与指定日志组关联	写入	destination
PutTransformer	授予创建或更新转换器并将其与指定日志组关联的权限	写入	log-group*
StartLiveTail	授予在 CloudWatch 日志中启动 Live Tail 会话的权限	读取	log-group*
StartQuery	授予使用 Logs Insights 计划对日志组进行 CloudWatch 查询的权限	读取	log-group*
StopLiveTail [仅权限]	授予停止正在执行的 Live Tail 会话的权限	读取
StopQuery	授予停止正在进行的 CloudWatch Logs Insights 查询的权限	读取
TagLogGroup	授予权限以为指定日志组添加或更新指定的标签	标记	log-group*
TagLogGroup	授予权限以为指定日志组添加或更新指定的标签	标记		aws:TagKeys aws:RequestTag/${TagKey}
TagResource	授予权限以将指定标签添加到指定资源或进行更新	标记	anomaly-detector
			delivery
			delivery-destination
			delivery-source
			destination
			log-group
				aws:TagKeys aws:RequestTag/${TagKey}
TestMetricFilter	授予权限以针对日志事件消息示例测试指标筛选条件的筛选条件模式	读取
TestTransformer	授予根据日志事件消息样本测试转换器的权限	读取
Unmask [仅权限]	授予权限以获取已通过数据保护策略编辑的未屏蔽日志事件	读取	log-group*
UntagLogGroup	授予权限以删除指定日志组的指定标签	标记	log-group*
UntagLogGroup	授予权限以删除指定日志组的指定标签	标记		aws:TagKeys
UntagResource	授予权限以从指定资源中删除指定标签	标记	anomaly-detector
			delivery
			delivery-destination
			delivery-source
			destination
			log-group
				aws:TagKeys
UpdateAnomaly	授予更新日志异常检测器所报告异常的权限	写入	anomaly-detector*
UpdateDeliveryConfiguration	授予权限以更新与交付相关的配置	写入	delivery*
			delivery-destination*
			delivery-source*
				aws:TagKeys aws:RequestTag/${TagKey}
UpdateLogAnomalyDetector	授予更新日志异常检测器的权限	写入	anomaly-detector*
UpdateLogDelivery [仅权限]	授予权限以更新指定日志传送的日志传送信息	写入

由 Amazon CloudWatch 日志定义的资源类型

以下资源类型是由该服务定义的，可以在 IAM 权限策略语句的 Resource 元素中使用这些资源类型。操作表中的每个操作指定了可以使用该操作指定的资源类型。您也可以在策略中包含条件键，从而定义资源类型。这些键显示在资源类型表的最后一列。有关下表中各列的详细信息，请参阅资源类型表。

资源类型	ARN	条件键
log-group	`arn:${Partition}:logs:${Region}:${Account}:log-group:${LogGroupName}`	aws:ResourceTag/${TagKey}
log-stream	`arn:${Partition}:logs:${Region}:${Account}:log-group:${LogGroupName}:log-stream:${LogStreamName}`	aws:ResourceTag/${TagKey}
destination	`arn:${Partition}:logs:${Region}:${Account}:destination:${DestinationName}`	aws:ResourceTag/${TagKey}
delivery-source	`arn:${Partition}:logs:${Region}:${Account}:delivery-source:${DeliverySourceName}`	aws:ResourceTag/${TagKey}
delivery	`arn:${Partition}:logs:${Region}:${Account}:delivery:${DeliveryName}`	aws:ResourceTag/${TagKey}
delivery-destination	`arn:${Partition}:logs:${Region}:${Account}:delivery-destination:${DeliveryDestinationName}`	aws:ResourceTag/${TagKey}
anomaly-detector	`arn:${Partition}:logs:${Region}:${Account}:anomaly-detector:${DetectorId}`	aws:ResourceTag/${TagKey}

Amazon CloudWatch 日志的条件密钥

A CloudWatch mazon Logs 定义了以下可在 IAM 策略Condition元素中使用的条件键。您可以使用这些键进一步细化应用策略语句的条件。有关下表中各列的详细信息，请参阅条件键表。

要查看适用于所有服务的全局条件密钥，请参阅Amazon 全局条件上下文密钥。

条件键	描述	类型
aws:RequestTag/${TagKey}	按请求中传递的标签筛选访问权限	字符串
aws:ResourceTag/${TagKey}	按与资源关联的标签筛选访问权限	字符串
aws:TagKeys	按请求中传递的标签键筛选访问权限	ArrayOfString
logs:DeliveryDestinationResourceArn	按请求中传递的日志目标 ARN 筛选访问权限	ARN
logs:LogGeneratingResourceArns	按请求中 ARNs 传递的日志生成资源筛选访问权限	ArrayOfARN

Javascript 在您的浏览器中被禁用或不可用。

要使用 Amazon Web Services 文档，必须启用 Javascript。请参阅浏览器的帮助页面以了解相关说明。

Amazon CloudWatch 应用程序洞察

Amazon CloudWatch 可观察性访问管理器