CloudWatch Referenz zu Protokollen und Berechtigungen

Wenn Sie Berechtigungsrichtlinien einrichten Zugriffskontrolle und schreiben, die Sie einer IAM Identität zuordnen können (identitätsbasierte Richtlinien), können Sie die folgende Tabelle als Referenz verwenden. In der Tabelle sind die einzelnen CloudWatch API Protokollvorgänge und die entsprechenden Aktionen aufgeführt, für die Sie Berechtigungen zur Ausführung der Aktion erteilen können. Sie geben die Aktionen im Feld Action der Richtlinie an. Für das Resource Feld können Sie den Wert einer Protokollgruppe oder ARN eines Protokolldatenstroms angeben oder angeben, * dass alle CloudWatch Protokollressourcen dargestellt werden sollen.

Sie können in Ihren AWS CloudWatch Logs-Richtlinien Bedingungsschlüssel für alle Bereiche verwenden, um Bedingungen auszudrücken. Eine vollständige Liste der Schlüssel, die sich auf den AWS gesamten Bereich beziehen, finden Sie im IAMBenutzerhandbuch unter AWS Globale Schlüssel und IAM Bedingungskontextschlüssel.

Anmerkung

Um eine Aktion anzugeben, verwenden Sie das logs: Präfix, gefolgt vom Namen der API Operation. Zum Beispiel: logs:CreateLogGrouplogs:CreateLogStream, oder logs:* (für alle CloudWatch Logs-Aktionen).

CloudWatch Protokolliert API Vorgänge und die erforderlichen Berechtigungen für Aktionen

CloudWatch Protokolliert API Operationen	Erforderliche Berechtigungen (APIAktionen)
CancelExportTask	logs:CancelExportTask Erforderlich zum Abbrechen einer ausstehenden oder laufenden Exportaufgabe.
CreateExportTask	logs:CreateExportTask Erforderlich zum Exportieren von Daten aus einer Protokollgruppe in einen Amazon-S3-Bucket.
CreateLogGroup	logs:CreateLogGroup Erforderlich zum Erstellen einer neuen Protokollgruppe.
CreateLogStream	logs:CreateLogStream Erforderlich zum Erstellen eines neuen Protokoll-Stream in eine Protokollgruppe.
DeleteDestination	logs:DeleteDestination Erforderlich zum Löschen eines Protokollziels und Aktivieren von Abonnementfiltern für das Ziel.
DeleteLogGroup	logs:DeleteLogGroup Erforderlich zum Löschen einer Protokollgruppe und der jeweiligen archivierten Protokollereignisse.
DeleteLogStream	logs:DeleteLogStream Erforderlich zum Löschen eines Protokoll-Stream und der jeweiligen archivierten Protokollereignisse.
DeleteMetricFilter	logs:DeleteMetricFilter Erforderlich zum Löschen eines Metrikfilters für eine Protokollgruppe.
DeleteQueryDefinition	logs:DeleteQueryDefinition Erforderlich, um eine gespeicherte Abfragedefinition in CloudWatch Logs Insights zu löschen.
DeleteResourcePolicy	logs:DeleteResourcePolicy Erforderlich, um eine CloudWatch Logs-Ressourcenrichtlinie zu löschen.
DeleteRetentionPolicy	logs:DeleteRetentionPolicy Erforderlich zum Löschen der Aufbewahrungsrichtlinie einer Protokollgruppe.
DeleteSubscriptionFilter	logs:DeleteSubscriptionFilter Erforderlich zum Löschen des Abonnementfilters für eine Protokollgruppe.
DescribeDestinations	logs:DescribeDestinations Erforderlich zum Anzeigen aller Ziele für ein Konto.
DescribeExportTasks	logs:DescribeExportTasks Erforderlich zum Anzeigen aller Exportaufgaben für das Konto.
DescribeLogGroups	logs:DescribeLogGroups Erforderlich zum Anzeigen aller Protokollgruppen für ein Konto.
DescribeLogStreams	logs:DescribeLogStreams Erforderlich zum Anzeigen aller Protokoll-Streams für eine Protokollgruppe.
DescribeMetricFilters	logs:DescribeMetricFilters Erforderlich zum Anzeigen aller Metriken für eine Protokollgruppe.
DescribeQueryDefinitions	logs:DescribeQueryDefinitions Erforderlich, um die Liste der gespeicherten Abfragedefinitionen in CloudWatch Logs Insights zu sehen.
DescribeQueries	logs:DescribeQueries Erforderlich, um die Liste der CloudWatch Logs Insights-Abfragen zu sehen, die geplant sind, ausgeführt werden oder kürzlich ausgeführt wurden.
DescribeResourcePolicies	logs:DescribeResourcePolicies Erforderlich, um eine Liste der CloudWatch Logs-Ressourcenrichtlinien anzuzeigen.
DescribeSubscriptionFilters	logs:DescribeSubscriptionFilters Erforderlich zum Anzeigen aller Abonnementfilter für eine Protokollgruppe.
FilterLogEvents	logs:FilterLogEvents Erforderlich zum Sortieren von Protokollereignissen nach Gruppenfiltermuster.
GetLogEvents	logs:GetLogEvents Erforderlich zum Abrufen von Protokollereignissen aus einem Protokoll-Stream.
GetLogGroupFields	logs:GetLogGroupFields Erforderlich, um die Liste der Felder abzurufen, die in den Protokollereignissen in einer Protokollgruppe enthalten sind.
GetLogRecord	logs:GetLogRecord Erforderlich, um die Details aus einem einzelnen Protokollereignis abzurufen.
GetQueryResults	logs:GetQueryResults Erforderlich, um die Ergebnisse von CloudWatch Logs Insights-Abfragen abzurufen.
ListTagsLogGroup	logs:ListTagsLogGroup Erforderlich zum Auflisten der mit einer Protokollgruppe verbundenen Tags.
PutDestination	logs:PutDestination Erforderlich zum Erstellen oder Aktualisieren eines Ziel-Protokoll-Streams (z. B. ein Kinesis-Stream).
PutDestinationPolicy	logs:PutDestinationPolicy Erforderlich zum Erstellen oder Aktualisieren einer Zugriffsrichtlinie im Zusammenhang mit einem vorhandenen Protokollziel.
PutLogEvents	logs:PutLogEvents Erforderlich für den Upload eines Batches von Protokollereignissen in einen Protokoll-Stream.
PutMetricFilter	logs:PutMetricFilter Erforderlich zum Erstellen oder Aktualisieren eines Metrikfilters, der einer Protokollgruppe zugeordnet wird.
PutQueryDefinition	logs:PutQueryDefinition Erforderlich, um eine Abfrage in CloudWatch Logs Insights zu speichern.
PutResourcePolicy	logs:PutResourcePolicy Erforderlich, um eine CloudWatch Logs-Ressourcenrichtlinie zu erstellen.
PutRetentionPolicy	logs:PutRetentionPolicy Erforderlich zum Festlegen der Anzahl der Tage, die Protokollereignisse (Aufbewahrung) in einer Protokollgruppe aufbewahrt werden sollen.
PutSubscriptionFilter	logs:PutSubscriptionFilter Erforderlich zum Erstellen oder Aktualisieren eines Abonnementfilters, der einer Protokollgruppe zugeordnet wird.
StartQuery	logs:StartQuery Erforderlich, um CloudWatch Logs Insights-Abfragen zu starten.
StopQuery	logs:StopQuery Erforderlich, um eine laufende CloudWatch Logs Insights-Abfrage zu beenden.
TagLogGroup	logs:TagLogGroup Erforderlich zum Hinzufügen oder Aktualisieren von Protokollgruppen-Tags.
TestMetricFilter	logs:TestMetricFilter Erforderlich zum Testen eines Filtermusters anhand einer Stichprobe von Protokollereignis-Nachrichten.