Registros enviados a Firehose

Esta sección se aplica cuando se envían los tipos de registros enumerados en la tabla de la sección anterior a Firehose:

Permisos de usuario

Para poder configurar el envío de cualquiera de estos tipos de registros a Firehose por primera vez, debe iniciar sesión en una cuenta con los siguientes permisos.

• logs:CreateLogDelivery

• firehose:TagDeliveryStream

• iam:CreateServiceLinkedRole

Si alguno de estos tipos de registros ya se envió a Firehose, entonces para configurar el envío de otro de estos tipos de registros a Firehose solo necesita tener los permisos logs:CreateLogDelivery y firehose:TagDeliveryStream.

Roles de IAM utilizados para permisos

Como Firehose no usa políticas de recursos, AWS usa roles de IAM al configurar estos registros para enviarlos a Firehose. AWS crea un rol vinculado a un servicio denominado. AWSServiceRoleForLogDelivery Este rol vinculado a un servicio incluye los siguientes permisos.

JSON

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Action": [
                "firehose:PutRecord",
                "firehose:PutRecordBatch",
                "firehose:ListTagsForDeliveryStream"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "aws:ResourceTag/LogDeliveryEnabled": "true"
                }
            },
            "Effect": "Allow"
        }
    ]
}

Esta función vinculada al servicio concede permisos para todas las transmisiones de entrega de Firehose que tengan la LogDeliveryEnabled etiqueta establecida en. true AWS asigna esta etiqueta al flujo de entrega de destino cuando configuras el registro.

Este rol vinculado a un servicio también tiene una política de confianza que permite que la entidad principal de servicio delivery.logs.amazonaws.com asuma el rol vinculado al servicio necesario. Esta política de confianza es la siguiente:

JSON

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "delivery.logs.amazonaws.com"
      },
      "Action": "sts:AssumeRole"
    }
  ]
}