Document de politique de rôle pour l'utilisation CloudTrail des CloudWatch journaux à des fins de surveillance

Cette section décrit la politique d'autorisation requise pour que le CloudTrail rôle envoie des événements de journal à CloudWatch Logs. Vous pouvez joindre un document de politique à un rôle lorsque vous configurez CloudTrail pour envoyer des événements, comme décrit dansEnvoyer des événements à CloudWatch Logs. Vous pouvez également créer un rôle à l'aide d'IAM. Pour plus d'informations, consultez Création d'un rôle pour déléguer des autorisations à un rôle Service AWS ou Création d'un rôle IAM (AWS CLI).

L'exemple de document de politique suivant contient les autorisations requises pour créer un flux de CloudWatch journaux dans le groupe de journaux que vous spécifiez et pour transmettre CloudTrail des événements à ce flux de journaux dans la région USA Est (Ohio). (C'est la politique par défaut pour le rôle IAM par défaut CloudTrail_CloudWatchLogs_Role.)

Note

La prévention de la confusion chez les adjoints ne s'applique pas à la politique des rôles pour la surveillance des CloudWatch journaux. La politique des rôles ne prend pas en charge l'utilisation de aws:SourceArn etaws:SourceAccount.

{
  "Version": "2012-10-17",
  "Statement": [
    {

      "Sid": "AWSCloudTrailCreateLogStream2014110",
      "Effect": "Allow",
      "Action": [
        "logs:CreateLogStream"
      ],
      "Resource": [
        "arn:aws:logs:us-east-2:accountID:log-group:log_group_name:log-stream:CloudTrail_log_stream_name_prefix*"
      ]

    },
    {
      "Sid": "AWSCloudTrailPutLogEvents20141101",
      "Effect": "Allow",
      "Action": [
        "logs:PutLogEvents"
      ],
      "Resource": [
        "arn:aws:logs:us-east-2:accountID:log-group:log_group_name:log-stream:CloudTrail_log_stream_name_prefix*"
      ]
    }
  ]
}

Si vous créez une politique qui peut être utilisée aussi pour les journaux d'activité d'organisation, vous devez la modifier à partir de la politique par défaut créée pour le rôle. Par exemple, la politique suivante accorde CloudTrail les autorisations requises pour créer un flux de journaux dans le groupe de CloudWatch journaux que vous spécifiez comme valeur de log_group_name, et pour transmettre des CloudTrail événements à ce flux de journal pour les traces du compte 111111111111 et pour les pistes d'organisation créées dans le AWS compte 111111111111 qui sont appliquées à l'organisation avec l'ID o-exampleorgid : AWS Organizations

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AWSCloudTrailCreateLogStream20141101",
            "Effect": "Allow",
            "Action": [
                "logs:CreateLogStream"
            ],
            "Resource": [
                "arn:aws:logs:us-east-2:111111111111:log-group:log_group_name:log-stream:111111111111_CloudTrail_us-east-2*",
                "arn:aws:logs:us-east-2:111111111111:log-group:log_group_name:log-stream:o-exampleorgid_*"
            ]
        },
        {
            "Sid": "AWSCloudTrailPutLogEvents20141101",
            "Effect": "Allow",
            "Action": [
                "logs:PutLogEvents"
            ],
            "Resource": [
                "arn:aws:logs:us-east-2:111111111111:log-group:log_group_name:log-stream:111111111111_CloudTrail_us-east-2*",
                "arn:aws:logs:us-east-2:111111111111:log-group:log_group_name:log-stream:o-exampleorgid_*"
            ]
        }
    ]
}

Pour plus d'informations sur les journaux d'activité d'organisation, consultez Création d'un journal de suivi pour une organisation.