Document de politique de rôle pour l'utilisation CloudTrail des CloudWatch journaux à des fins de surveillance

Cette section décrit la politique d'autorisation requise pour que le CloudTrail rôle envoie des événements de journal à CloudWatch Logs. Vous pouvez joindre un document de politique à un rôle lorsque vous configurez CloudTrail pour envoyer des événements, comme décrit dansEnvoi d'événements à CloudWatch Logs. Vous pouvez également créer un rôle à l'aide deIAM. Pour plus d'informations, voir Création d'un rôle pour déléguer des autorisations à un Service AWS ou Création d'un IAM rôle (AWS CLI).

L'exemple de document de politique suivant contient les autorisations requises pour créer un flux de CloudWatch journaux dans le groupe de journaux que vous spécifiez et pour transmettre CloudTrail des événements à ce flux de journaux dans la région USA Est (Ohio). (Il s'agit de la politique par défaut pour le IAM rôle par défautCloudTrail_CloudWatchLogs_Role.)

Note

La prévention de la confusion chez les adjoints ne s'applique pas à la politique des rôles pour la surveillance des CloudWatch journaux. La politique des rôles ne prend pas en charge l'utilisation de aws:SourceArn etaws:SourceAccount.

{
  "Version": "2012-10-17",
  "Statement": [
    {

      "Sid": "AWSCloudTrailCreateLogStream2014110",
      "Effect": "Allow",
      "Action": [
        "logs:CreateLogStream"
      ],
      "Resource": [
        "arn:aws:logs:us-east-2:accountID:log-group:log_group_name:log-stream:CloudTrail_log_stream_name_prefix*"
      ]

    },
    {
      "Sid": "AWSCloudTrailPutLogEvents20141101",
      "Effect": "Allow",
      "Action": [
        "logs:PutLogEvents"
      ],
      "Resource": [
        "arn:aws:logs:us-east-2:accountID:log-group:log_group_name:log-stream:CloudTrail_log_stream_name_prefix*"
      ]
    }
  ]
}

Si vous créez une politique qui peut être utilisée aussi pour les journaux d'activité d'organisation, vous devez la modifier à partir de la politique par défaut créée pour le rôle. Par exemple, la politique suivante accorde CloudTrail les autorisations requises pour créer un flux de CloudWatch journaux dans le groupe de journaux que vous spécifiez comme valeur de log_group_name, et pour transmettre des CloudTrail événements à ce flux de journal pour les sentiers du AWS compte 111111111111 et pour les sentiers de l'organisation créés dans le compte 111111111111 qui sont appliqués à l'organisation avec l'identifiant de AWS Organizations o-exampleorgid:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AWSCloudTrailCreateLogStream20141101",
            "Effect": "Allow",
            "Action": [
                "logs:CreateLogStream"
            ],
            "Resource": [
                "arn:aws:logs:us-east-2:111111111111:log-group:log_group_name:log-stream:111111111111_CloudTrail_us-east-2*",
                "arn:aws:logs:us-east-2:111111111111:log-group:log_group_name:log-stream:o-exampleorgid_*"
            ]
        },
        {
            "Sid": "AWSCloudTrailPutLogEvents20141101",
            "Effect": "Allow",
            "Action": [
                "logs:PutLogEvents"
            ],
            "Resource": [
                "arn:aws:logs:us-east-2:111111111111:log-group:log_group_name:log-stream:111111111111_CloudTrail_us-east-2*",
                "arn:aws:logs:us-east-2:111111111111:log-group:log_group_name:log-stream:o-exampleorgid_*"
            ]
        }
    ]
}

Pour plus d'informations sur les journaux d'activité d'organisation, consultez Création d'un journal de suivi pour une organisation.