CloudWatch Registra il riferimento alle autorizzazioni

Quando configuri Controllo accessi e scrivi policy di autorizzazioni che puoi collegare a un'identità IAM (policy basate su identità), puoi usare la tabella seguente come riferimento. La tabella elenca ogni operazione dell'API CloudWatch Logs e le azioni corrispondenti per le quali è possibile concedere le autorizzazioni per eseguire l'azione. Puoi specificare le operazioni nel campo Action della policy. Per il Resource campo, è possibile specificare l'ARN di un gruppo di log o di un flusso di log oppure specificare di * rappresentare tutte le risorse CloudWatch Logs.

È possibile utilizzare le chiavi di condizione AWS-wide nelle politiche di CloudWatch Logs per esprimere condizioni. Per un elenco completo delle chiavi AWS-wide, consulta AWS Global and IAM Condition Context Keys nella IAM User Guide.

Nota

Per specificare un'operazione, utilizza il prefisso logs: seguito dal nome dell'operazione API. Ad esempio: logs:CreateLogGrouplogs:CreateLogStream, o logs:* (per tutte le azioni di CloudWatch Logs).

CloudWatch Registra le operazioni API e le autorizzazioni richieste per le azioni
CloudWatch Registra le operazioni API	Autorizzazioni necessarie (operazioni API)
CancelExportTask	`logs:CancelExportTask` Necessaria per eliminare un'attività di esportazione in esecuzione o pendente.
CreateExportTask	`logs:CreateExportTask` Necessaria per esportare dati da un gruppo di log a un bucket Amazon S3.
CreateLogGroup	`logs:CreateLogGroup` Necessaria per creare un nuovo gruppo di log.
CreateLogStream	`logs:CreateLogStream` Necessaria per creare un nuovo flusso di log in un gruppo di log.
DeleteDestination	`logs:DeleteDestination` Necessaria per eliminare una destinazione di log e disabilita tutti i filtri di sottoscrizione.
DeleteLogGroup	`logs:DeleteLogGroup` Necessario per eliminare un gruppo di log e tutti i log eventi archiviati associati.
DeleteLogStream	`logs:DeleteLogStream` Necessaria per eliminare un flusso di log e tutti gli eventi di log archiviati associati.
DeleteMetricFilter	`logs:DeleteMetricFilter` Necessaria per eliminare un filtro parametri associato a un gruppo di log.
DeleteQueryDefinition	`logs:DeleteQueryDefinition` Necessario per eliminare una definizione di query salvata in CloudWatch Logs Insights.
DeleteResourcePolicy	`logs:DeleteResourcePolicy` Necessario per eliminare una politica delle risorse CloudWatch di Logs.
DeleteRetentionPolicy	`logs:DeleteRetentionPolicy` Necessaria per eliminare una policy di retention di un gruppo di log.
DeleteSubscriptionFilter	`logs:DeleteSubscriptionFilter` Necessaria per eliminare un filtro sottoscrizioni associato a un gruppo di log.
DescribeDestinations	`logs:DescribeDestinations` Necessaria per visualizzare tutte le destinazioni associate all'account.
DescribeExportTasks	`logs:DescribeExportTasks` Necessaria per visualizzare tutte le attività di esportazione associate all'account.
DescribeLogGroups	`logs:DescribeLogGroups` Necessaria per visualizzare tutti i gruppi di log associati all'account.
DescribeLogStreams	`logs:DescribeLogStreams` Necessaria per visualizzare tutti i flussi di log associati a un gruppo di log.
DescribeMetricFilters	`logs:DescribeMetricFilters` Necessario per visualizzare tutti i parametri associati a un gruppo di log.
DescribeQueryDefinitions	`logs:DescribeQueryDefinitions` Necessario per visualizzare l'elenco delle definizioni delle query salvate in CloudWatch Logs Insights.
DescribeQueries	`logs:DescribeQueries` Necessario per visualizzare l'elenco delle query di CloudWatch Logs Insights pianificate, in esecuzione o eseguite di recente.
DescribeResourcePolicies	`logs:DescribeResourcePolicies` Necessario per visualizzare un elenco delle politiche relative alle risorse di Logs. CloudWatch
DescribeSubscriptionFilters	`logs:DescribeSubscriptionFilters` Necessaria per visualizzare tutti i filtri di sottoscrizione associati a un gruppo di log.
FilterLogEvents	`logs:FilterLogEvents` Necessaria per ordinare log eventi in base a un modello filtro di gruppo di log.
GetLogEvents	`logs:GetLogEvents` Necessaria per recuperare eventi di log da un flusso di log.
GetLogGroupFields	`logs:GetLogGroupFields` Necessaria per recuperare l'elenco dei campi inclusi negli eventi di log in un gruppo di log.
GetLogRecord	`logs:GetLogRecord` Necessaria per recuperare i dettagli da un singolo log eventi.
GetLogObject	`logs:GetLogRecord` Necessario per recuperare il contenuto di ampie porzioni di eventi di registro che sono stati acquisiti tramite l'API. PutOpenTelemetryLogs
GetQueryResults	`logs:GetQueryResults` Necessario per recuperare i risultati delle interrogazioni di CloudWatch Logs Insights.
ListEntitiesForLogGroup (autorizzazione solo per console) CloudWatch	`logs:ListEntitiesForLogGroup` Necessario per trovare le entità associate a un gruppo di log. Necessario per esplorare i log correlati all'interno della CloudWatch console.
ListLogGroupsForEntity (autorizzazione CloudWatch solo per console)	`logs:ListLogGroupsForEntity` Necessario per trovare i gruppi di log associati a un'entità. Necessario per esplorare i log correlati all'interno della CloudWatch console.
ListTagsLogGroup	`logs:ListTagsLogGroup` Necessaria per elencare i tag associati a un gruppo di log.
ListLogGroups	`logs:DescribeLogGroups` Necessaria per visualizzare tutti i gruppi di log associati all'account.
ProcessWithPipeline (solo autorizzazione)	`logs:ProcessWithPipeline` Necessario per elaborare e trasformare gli eventi di registro tramite trasformatori di pipeline prima dell'archiviazione. Questa autorizzazione deve essere concessa sul ruolo IAM passato come ruolo di origine CloudWatch Logs in una configurazione di pipeline. La risorsa è l'ARN del gruppo di log.
PutDestination	`logs:PutDestination` Necessaria per creare o aggiornare un flusso di log di destinazione (ad esempio, un flusso Kinesis).
PutDestinationPolicy	`logs:PutDestinationPolicy` Necessaria per creare o aggiornare una policy di accesso predefinita associata a una destinazione di log esistente.
PutLogEvents	`logs:PutLogEvents` Necessaria per caricare un batch di eventi di log in un flusso di eventi.
PutMetricFilter	`logs:PutMetricFilter` Necessaria per creare o aggiornare un filtro di parametri e associarlo a un gruppo di log.
PutQueryDefinition	`logs:PutQueryDefinition` Necessario per salvare un'interrogazione in CloudWatch Logs Insights, incluse le interrogazioni salvate con parametri.
PutResourcePolicy	`logs:PutResourcePolicy` Necessario per creare una politica delle risorse di CloudWatch Logs.
PutRetentionPolicy	`logs:PutRetentionPolicy` Necessaria per impostare il numero di giorni per conservare log eventi (retention) in un gruppo di log.
PutSubscriptionFilter	`logs:PutSubscriptionFilter` Necessaria per creare o aggiornare un filtro sottoscrizioni e associarlo a un gruppo di log.
StartQuery	`logs:StartQuery` Necessario per avviare le query di CloudWatch Logs Insights. Per eseguire una query salvata con parametri, è necessario anche. `logs:DescribeQueryDefinitions`
StopQuery	`logs:StopQuery` Necessario per interrompere una query di CloudWatch Logs Insights in corso.
TagLogGroup	`logs:TagLogGroup` Necessaria per aggiungere o aggiornare i tag dei gruppi di log.
TestMetricFilter	`logs:TestMetricFilter` Necessaria per verificare un modello di filtro su un campionamento di messaggi di log eventi.

Convenzioni dei documenti

Utilizzo di policy basate su identità (policy IAM)

Uso di ruoli collegati ai servizi