用于将流日志发布到 CloudWatch 日志的 IAM 角色 IAM 用户传递角色的权限创建发布到日志的流 CloudWatch 日志日志中的流程流 CloudWatch 日志记录

创建发布到日志的流 CloudWatch 日志

流日志可以将流日志数据直接发布到 Amazon CloudWatch。

发布到 Lo CloudWatch gs 后，流日志数据将发布到日志组，并且每个传输网关在日志组中都有唯一的日志流。日志流包含流日志记录。您可以创建将数据发布到相同日志组的多个流日志。如果同一中转网关存在于同一日志组中的一个或多个流日志中，则它具有一个组合日志流。如果您指定了一个流日志应该捕获已拒绝流量，而另一个流日志应该捕获已接受流量，则组合日志流会捕获所有流量。

当您将流日志发布到 Logs 时，会收取已售日志的数据摄取和存档费用。 CloudWatch 有关更多信息，请参阅 Amazon CloudWatch 定价。

在 CloudWatch 日志中，时间戳字段对应于流日志记录中捕获的开始时间。Ingesti onTime 字段提供日志收到流日志记录的日期和时间。 CloudWatch 此时间戳晚于在流日志记录中捕获的结束时间。

有关 CloudWatch 日志的更多信息，请参阅 Amazon Logs 用户指南中的发送到 CloudWatch CloudWatch 日志的日志。

用于将流日志发布到 CloudWatch 日志的 IAM 角色

与您的流日志关联的 IAM 角色必须具有足够的权限才能将流日志发布到日志中的指定 CloudWatch 日志组。IAM 角色必须属于您的 Amazon Web Services 账户。

附加到您的 IAM 角色的 IAM policy 必须至少包括以下权限。


{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "logs:CreateLogGroup",
        "logs:CreateLogStream",
        "logs:PutLogEvents",
        "logs:DescribeLogGroups",
        "logs:DescribeLogStreams"
      ],
      "Resource": "*"
    }
  ]
}

另请确保您的角色具有信任关系，以允许流日志服务代入该角色。


{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "vpc-flow-logs.amazonaws.com"
      },
      "Action": "sts:AssumeRole"
    }
  ]
}

建议您使用 aws:SourceAccount 和 aws:SourceArn 条件键来防止出现混淆代理人问题。例如，您可以将以下条件块添加到以前的信任策略。源帐户是流日志的所有者，并且源 ARN 是流日志 ARN。如果您不知道流日志 ID，则可以用通配符（*）替换 ARN 的该部分，然后在创建流日志后更新策略。


"Condition": {
    "StringEquals": {
        "aws:SourceAccount": "account_id"
    },
    "ArnLike": {
        "aws:SourceArn": "arn:aws:ec2:region:account_id:vpc-flow-log/flow-log-id"
    }
}

为流日志创建或更新 IAM 角色

您可以更新现有角色，或使用以下过程创建用于流日志的新角色。

为流日志创建 IAM 角色

通过以下网址打开 IAM 控制台：https://console.aws.amazon.com/iam/。
在导航窗格中，选择 Roles（角色）和 Create role（创建角色）。
对于Select type of trusted entity（选择受信任实体的类型），选择 Amazon service（服务）。对于 Use case（使用案例），选择 EC2。选择下一步。
在 Add permissions（添加权限）页面，选择 Next: Tags（下一步: 标签），还可以选择性地添加标签。选择下一步。
在命名、查看和创建页面上，输入您的角色名称并可选择性地提供描述。选择 创建角色。
选择角色的名称。对于 Add permissions（添加权限），选择 Create inline policy（创建内联策略），然后选择 JSON 选项卡。
从用于将流日志发布到 CloudWatch 日志的 IAM 角色中复制第一个策略，并将其粘贴到窗口中。选择Review policy（查看策略）。
为您的策略输入名称，然后选择 Create policy（创建策略）。
选择角色的名称。对于 Trust relationships（信任关系），选择 Edit trust relationship（编辑信任关系）。在现有策略文档中，将服务从 ec2.amazonaws.com 更改为 vpc-flow-logs.amazonaws.com。选择 Update Trust Policy（更新信任策略）。
在 Summary（总结）页面上，记录您的角色的 ARN。创建流日志时需要此 ARN。

IAM 用户传递角色的权限

用户还必须有权对与流日志关联的 IAM 角色使用 iam:PassRole 操作。


{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": ["iam:PassRole"],
      "Resource": "arn:aws:iam::account-id:role/flow-log-role-name"
    }
  ]
}