Políticas e permissões do IAM para pipelines do CloudWatch

Esta seção fornece os requisitos do IAM para os pipelines do CloudWatch. As permissões variam conforme sua fonte de dados e o método de integração.

A tabela mostrada a seguir ajudará você a identificar quais seções do IAM se aplicam ao seu caso de uso.

Permissões do chamador de API

A entidade principal do IAM que chama CreateTelemetryPipeline precisa da permissão iam:PassRole para todas as funções referenciadas na configuração do pipeline.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "PassRoleForPipelineSource",
            "Effect": "Allow",
            "Action": "iam:PassRole",
            "Resource": "arn:aws:iam::your-account-id:role/your-source-role",
            "Condition": {
                "StringEquals": {
                    "iam:PassedToService": [
                        "service-principal"
                    ],
                    "iam:AssociatedResourceARN": [
                        "arn:aws:observabilityadmin:your-region:your-account-id:telemetry-pipeline/*"
                    ]
                }
            }
        }
    ]
}

Substitua service-principal pelo valor da tabela mostrada a seguir com base no seu caso de uso.

Permissões de regras do pipeline (somente fontes do CloudWatch Logs)

Ao usar cloudwatch_logs como fonte, o chamador da API também precisa de permissões para operações de regras do pipeline. A permissão logs:PutPipelineRule é necessária para as operações CreateTelemetryPipeline e UpdateTelemetryPipeline. A permissão logs:DeletePipelineRule é necessária para as operações DeleteTelemetryPipeline.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "PipelineRuleForCloudWatchLogs",
            "Effect": "Allow",
            "Action": [
                "logs:PutPipelineRule",
                "logs:DeletePipelineRule"
            ],
            "Resource": "*"
        }
    ]
}

Políticas da função de origem

Cada pipeline exige um perfil do IAM dedicado assumido pelo serviço para ler seus dados. As subseções apresentadas a seguir disponibilizam as políticas completas (permissão e confiança) para cada caso de uso.

Fontes de terceiros (API Pull)

Esta seção se aplica ao Microsoft Office 365, Microsoft Entra ID, Okta SSO, Palo Alto NGFW e a integrações de API de outros fornecedores que armazenam credenciais no Secrets Manager da AWS.

Política de permissão

A política apresentada a seguir permite que a função recupere suas credenciais de API armazenadas.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "secrets-manager-access",
            "Effect": "Allow",
            "Action": [
                "secretsmanager:GetSecretValue"
            ],
            "Resource": "arn:aws:secretsmanager:your-region:your-account-id:secret:your-secret-name*"
        },
        {
            "Sid": "kms-access",
            "Effect": "Allow",
            "Action": "kms:Decrypt",
            "Resource": "arn:aws:kms:your-region:your-account-id:key/your-key-id"
        }
    ]
}

Política de confiança

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "telemetry-pipelines.observabilityadmin.amazonaws.com"
            },
            "Action": "sts:AssumeRole"
        }
    ]
}

Configuração completa do IAM para os pipelines de API Pull

O exemplo a seguir mostra todas as políticas do IAM necessárias para criar um pipeline completo de API Pull de terceiros.

Política de identidade do chamador — anexe à chamada CreateTelemetryPipeline da entidade principal:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "CreateApiPullPipeline",
            "Effect": "Allow",
            "Action": [
                "observabilityadmin:CreateTelemetryPipeline",
                "iam:PassRole"
            ],
            "Resource": "*"
        }
    ]
}

Política de permissão do perfil de origem — anexe ao perfil que o pipeline assume:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "SecretsManagerAccess",
            "Effect": "Allow",
            "Action": [
                "secretsmanager:GetSecretValue"
            ],
            "Resource": "arn:aws:secretsmanager:your-region:your-account-id:secret:your-secret-name*"
        }
    ]
}

Política de confiança do perfil de origem:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "telemetry-pipelines.observabilityadmin.amazonaws.com"
            },
            "Action": "sts:AssumeRole"
        }
    ]
}

Fontes de terceiros (entrega S3)

Esta seção se aplica a qualquer fornecedor terceirizado que entregue arquivos de log ao seu bucket S3 (por exemplo, CrowdStrike Falcon, Wiz ou Cisco Umbrella).

Política de permissão

A política apresentada a seguir permite que a função leia objetos do S3 e consuma notificações do SQS.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "s3-access",
            "Effect": "Allow",
            "Action": [
                "s3:GetObject"
            ],
            "Resource": "arn:aws:s3:::your-bucket-name/*"
        },
        {
            "Sid": "sqs-access",
            "Effect": "Allow",
            "Action": [
                "sqs:ReceiveMessage",
                "sqs:DeleteMessage",
                "sqs:ChangeMessageVisibility"
            ],
            "Resource": "arn:aws:sqs:your-region:your-account-id:your-queue-name"
        },
        {
            "Sid": "kms-access",
            "Effect": "Allow",
            "Action": "kms:Decrypt",
            "Resource": "arn:aws:kms:your-region:your-account-id:key/your-key-id"
        }
    ]
}

Política de confiança

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "telemetry-pipelines.observabilityadmin.amazonaws.com"
            },
            "Action": "sts:AssumeRole"
        }
    ]
}

Configuração completa do IAM para os pipelines de entrega do S3

O exemplo a seguir mostra todas as políticas do IAM necessárias para criar um pipeline completo de entrega do S3.

Política de identidade do chamador — anexe à chamada CreateTelemetryPipeline da entidade principal:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "CreateS3Pipeline",
            "Effect": "Allow",
            "Action": [
                "observabilityadmin:CreateTelemetryPipeline",
                "iam:PassRole"
            ],
            "Resource": "*"
        }
    ]
}

Política de permissão do perfil de origem — anexe ao perfil que o pipeline assume:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "S3Access",
            "Effect": "Allow",
            "Action": [
                "s3:GetObject"
            ],
            "Resource": "arn:aws:s3:::your-bucket-name/*"
        },
        {
            "Sid": "SqsAccess",
            "Effect": "Allow",
            "Action": [
                "sqs:ReceiveMessage",
                "sqs:DeleteMessage",
                "sqs:ChangeMessageVisibility"
            ],
            "Resource": "arn:aws:sqs:your-region:your-account-id:your-queue-name"
        }
    ]
}

Política de confiança do perfil de origem:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "telemetry-pipelines.observabilityadmin.amazonaws.com"
            },
            "Action": "sts:AssumeRole"
        }
    ]
}

Dados personalizados do S3

Esta seção se aplica a seus próprios aplicativos ou infraestrutura que gravam arquivos de log em um bucket do S3.

A configuração do IAM é idêntica a Fontes de terceiros (entrega S3). Use a mesma política de permissões e política de confiança. O pipeline lê seu bucket por meio de notificações de eventos do SQS, independentemente de quem gravou os dados.

Dados personalizados do CloudWatch Logs

Esta seção se aplica aos seus próprios aplicativos que fazem login em um grupo de logs do CloudWatch Logs (por exemplo, funções do Lambda, contêineres ECS ou aplicativos EC2 personalizados).

Política de permissão

A política a seguir permite que o perfil processe logs de seus grupos de logs especificados.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "logs-processing-access",
            "Effect": "Allow",
            "Action": [
                "logs:processWithPipeline"
            ],
            "Resource": [
                "arn:aws:logs:your-region:your-account-id:log-group:your-log-group-01",
                "arn:aws:logs:your-region:your-account-id:log-group:your-log-group-02"
            ]
        }
    ]
}

Você pode definir o escopo dessa permissão usando as chaves de condição logs:data_source_name e logs:data_source_type para restringir quais fontes de pipeline podem invocar transformações. O valor logs:data_source_name corresponde a data_source_name na configuração do pipeline e logs:data_source_type corresponde a data_source_type na configuração do pipeline.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowProcessWithPipelineScopedDown",
            "Effect": "Allow",
            "Action": "logs:ProcessWithPipeline",
            "Resource": "arn:aws:logs:your-region:your-account-id:log-group:your-log-group-name",
            "Condition": {
                "StringEquals": {
                    "aws:ResourceAccount": "your-account-id",
                    "logs:data_source_name": "your-source-name",
                    "logs:data_source_type": "your-source-type"
                }
            }
        }
    ]
}

Política de confiança

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "logs.amazonaws.com"
            },
            "Action": "sts:AssumeRole"
        }
    ]
}

Configuração completa do IAM para os pipelines do CloudWatch Logs

O exemplo a seguir mostra todas as políticas do IAM necessárias para criar um pipeline completo do CloudWatch Logs.

Política de identidade do chamador — anexe à chamada CreateTelemetryPipeline da entidade principal:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "CreateLogsPipeline",
            "Effect": "Allow",
            "Action": [
                "observabilityadmin:CreateTelemetryPipeline",
                "logs:PutPipelineRule",
                "logs:DeletePipelineRule",
                "iam:PassRole"
            ],
            "Resource": "*"
        }
    ]
}

Política de permissão do perfil de origem — anexe ao perfil que o pipeline assume:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "LogsProcessing",
            "Effect": "Allow",
            "Action": [
                "logs:processWithPipeline"
            ],
            "Resource": [
                "arn:aws:logs:your-region:your-account-id:log-group:your-log-group"
            ]
        }
    ]
}

Política de confiança do perfil de origem:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "logs.amazonaws.com"
            },
            "Action": "sts:AssumeRole"
        }
    ]
}

Logs fornecidos pelo serviço da AWS

Esta seção se aplica aos logs de serviço da AWS entregues ao CloudWatch Logs, como VPC Flow Logs, logs de consulta do Route 53 e outros tipos de logs da AWS fornecidos.

A configuração do IAM é idêntica a Dados personalizados do CloudWatch Logs. Use a mesma política de permissão (com escopo de logs:processWithPipeline para o grupo de logs) e a mesma política de confiança (logs.amazonaws.com).

Como isso usa o tipo de fonte cloudwatch_logs, o chamador também precisa das permissões logs:PutPipelineRule e logs:DeletePipelineRule. Consulte Permissões de regras do pipeline (somente fontes do CloudWatch Logs).

Políticas de recursos

As políticas de recursos do CloudWatch Logs são necessárias para fontes baseadas em S3 e no Secrets Manager (integrações de terceiros). As políticas de recursos não são necessárias para as fontes do CloudWatch Logs (dados personalizados ou logs fornecidos).

Depois de chamar CreateTelemetryPipeline, você receberá o ARN de um pipeline. Em seguida, você deve chamar logs:PutResourcePolicy para permitir que a entidade principal de serviço dos pipelines do CloudWatch gravem no grupo de logs configurado.

{
    "policyName": "resourceArn=arn:aws:logs:your-region:your-account-id:log-group:your-log-group-name:*",
    "policyDocument": {
        "Version": "2012-10-17",
        "Statement": [
            {
                "Effect": "Allow",
                "Principal": {
                    "Service": "telemetry-pipelines.observabilityadmin.amazonaws.com"
                },
                "Action": [
                    "logs:CreateLogStream",
                    "logs:PutLogEvents"
                ],
                "Condition": {
                    "StringEquals": {
                        "aws:SourceArn": "arn:aws:observabilityadmin:your-region:your-account-id:telemetry-pipeline/your-pipeline-id"
                    }
                }
            }
        ]
    }
}

Gerenciar políticas de recursos

Use a CLI da AWS para criar ou atualizar as políticas de recursos do CloudWatch Logs para pipelines do CloudWatch.

Para verificar as políticas existentes

aws logs describe-resource-policies \
    --resource-arn arn:aws:logs:your-region:your-account-id:log-group:your-log-group-name:*

Para criar uma política do

aws logs put-resource-policy \
    --region your-region \
    --policy-name "resourceArn=arn:aws:logs:your-region:your-account-id:log-group:your-log-group-name:*" \
    --policy-document file://policy.json

Para unir com uma política existente

Se já existir uma política de recursos, adicione a nova instrução à matriz Statement existente no documento de política e, em seguida, chame put-resource-policy novamente com o arquivo mesclado.

Confirme que a política foi criada ou atualizada com sucesso:

aws logs describe-resource-policies \
    --resource-arn arn:aws:logs:your-region:your-account-id:log-group:your-log-group-name:*

Substitua os seguintes espaços reservados:

Chaves de condição do pipeline

Os pipelines do CloudWatch são compatíveis com chaves de condição do IAM que permitem restringir quem pode criar pipelines e quais contas podem assumir perfis de fonte. Use essas chaves de condição para aplicar políticas de governança em toda a sua organização.

Condições do CreateTelemetryPipeline

Use essas chaves de condição nas políticas de identidade para controlar quais pipelines uma entidade principal pode criar.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowPipelineCreationForSpecificSourceType",
            "Effect": "Allow",
            "Action": "observabilityadmin:CreateTelemetryPipeline",
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "observabilityadmin:SourceType": "cloudwatch_logs"
                }
            }
        }
    ]
}

Condições da política de confiança do perfil de origem

Use essas chaves de condição na política de confiança do seu perfil de origem para restringir qual conta pode assumir o perfil. Isso evita ataques “confused deputy”, nos quais o serviço pode agir em nome de uma conta diferente.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "logs.amazonaws.com"
            },
            "Action": "sts:AssumeRole",
            "Condition": {
                "StringEquals": {
                    "aws:SourceAccount": "your-account-id"
                },
                "ArnLike": {
                    "aws:SourceArn": "arn:aws:logs:your-region:your-account-id:log-group:*"
                }
            }
        }
    ]
}

Permissões de configuração do processador assistida por IA

Para usar a configuração do processador assistida por IA no console de pipelines do CloudWatch, a entidade principal do IAM deve ter a permissão logs:GeneratePipeline. Essa permissão autoriza a geração de configurações do processador de descrições em linguagem natural.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowGeneratePipeline",
            "Effect": "Allow",
            "Action": "logs:GeneratePipeline",
            "Resource": "*"
        }
    ]
}