Ändern der Mitgliedschaft im Ziel zur Laufzeit

In manchen Situationen müssen Sie Protokollsender in einem Ziel, das Ihr Eigentum ist, hinzufügen oder entfernen. Sie können die PutDestinationPolicyAktion auf Ihrem Ziel mit einer neuen Zugriffsrichtlinie verwenden. Im folgenden Beispiel wird festgelegt, dass das zuvor hinzugefügte Konto 111111111111 keine Protokolldaten mehr senden kann und das Konto 333333333333 aktiviert wird.

1. Rufen Sie die Richtlinie ab, die derzeit mit dem Ziel TestDestination verknüpft ist, und notieren Sie sich Folgendes: AccessPolicy

   aws logs describe-destinations \
       --destination-name-prefix "testFirehoseDestination"
   
   {
       "destinations": [
           {
               "destinationName": "testFirehoseDestination",
               "targetArn": "arn:aws:firehose:us-east-1:222222222222:deliverystream/my-delivery-stream",
               "roleArn": "arn:aws:iam:: 222222222222:role/CWLtoKinesisFirehoseRole",
               "accessPolicy": "{\n  \"Version\" : \"2012-10-17\",\n  \"Statement\" : [\n    {\n      \"Sid\" : \"\",\n      \"Effect\" : \"Allow\",\n      \"Principal\" : {\n        \"AWS\" : \"111111111111 \"\n      },\n      \"Action\" : \"logs:PutSubscriptionFilter\",\n      \"Resource\" : \"arn:aws:logs:us-east-1:222222222222:destination:testFirehoseDestination\"\n    }\n  ]\n}\n\n",
               "arn": "arn:aws:logs:us-east-1: 222222222222:destination:testFirehoseDestination",
               "creationTime": 1612256124430
           }
       ]
   }
   

2. Aktualisieren Sie die Richtlinie dementsprechend, dass das Konto 111111111111 angehalten wurde und das Konto 333333333333 aktiviert wurde. Fügen Sie diese Richtlinie in die Datei ~/ NewAccessPolicy .json ein:

   {
     "Version" : "2012-10-17",
     "Statement" : [
       {
         "Sid" : "",
         "Effect" : "Allow",
         "Principal" : {
           "AWS" : "333333333333 "
         },
         "Action" : "logs:PutSubscriptionFilter",
         "Resource" : "arn:aws:logs:us-east-1:222222222222:destination:testFirehoseDestination"
       }
     ]
   }

3. Verwenden Sie den folgenden Befehl, um die in der NewAccessPolicyJSON-Datei definierte Richtlinie dem Ziel zuzuordnen:

   aws logs put-destination-policy \
       --destination-name "testFirehoseDestination" \                                                                              
       --access-policy file://~/NewAccessPolicy.json

   Damit werden schließlich die Protokollereignisse von der Konto-ID 111111111111 deaktiviert. Protokollereignisse der Konto-ID 333333333333 werden an das Ziel übertragen, sobald der Eigentümer des Kontos 333333333333 einen Abonnementfilter erstellt.