Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.
Cette section décrit la politique d'autorisation requise pour que le CloudTrail rôle envoie des événements de journal à CloudWatch Logs. Vous pouvez joindre un document de politique à un rôle lorsque vous configurez CloudTrail pour envoyer des événements, comme décrit dansEnvoi d'événements à CloudWatch Logs. Vous pouvez également créer un rôle à l'aide d'IAM. Pour plus d'informations, consultez Création d'un rôle pour déléguer des autorisations à un rôle Service AWS ou Création d'un rôle IAM (AWS CLI).
L'exemple de document de politique suivant contient les autorisations requises pour créer un flux de CloudWatch journaux dans le groupe de journaux que vous spécifiez et pour transmettre CloudTrail des événements à ce flux de journaux dans la région USA Est (Ohio). (C'est la politique par défaut pour le rôle IAM par défaut CloudTrail_CloudWatchLogs_Role.)
{
"Version": "2012-10-17",
"Statement": [
{
"Sid": "AWSCloudTrailCreateLogStream2014110",
"Effect": "Allow",
"Action": [
"logs:CreateLogStream"
],
"Resource": [
"arn:aws:logs:us-east-2:accountID:log-group:log_group_name:log-stream:CloudTrail_log_stream_name_prefix*"
]
},
{
"Sid": "AWSCloudTrailPutLogEvents20141101",
"Effect": "Allow",
"Action": [
"logs:PutLogEvents"
],
"Resource": [
"arn:aws:logs:us-east-2:accountID:log-group:log_group_name:log-stream:CloudTrail_log_stream_name_prefix*"
]
}
]
}Si vous créez une politique qui peut être utilisée aussi pour les journaux d'activité d'organisation, vous devez la modifier à partir de la politique par défaut créée pour le rôle. Par exemple, la politique suivante accorde CloudTrail les autorisations requises pour créer un flux de CloudWatch journaux dans le groupe de journaux que vous spécifiez comme valeurlog_group_name, et pour transmettre des CloudTrail événements à ce flux de journaux à la fois pour les traces du AWS compte 111111111111 et pour les pistes d'organisation créées dans le compte 111111111111 qui sont appliquées à l'organisation avec l'ID de : AWS Organizations o-exampleorgid
{
"Version": "2012-10-17",
"Statement": [
{
"Sid": "AWSCloudTrailCreateLogStream20141101",
"Effect": "Allow",
"Action": [
"logs:CreateLogStream"
],
"Resource": [
"arn:aws:logs:us-east-2:111111111111:log-group:log_group_name:log-stream:111111111111_CloudTrail_us-east-2*",
"arn:aws:logs:us-east-2:111111111111:log-group:log_group_name:log-stream:o-exampleorgid_*"
]
},
{
"Sid": "AWSCloudTrailPutLogEvents20141101",
"Effect": "Allow",
"Action": [
"logs:PutLogEvents"
],
"Resource": [
"arn:aws:logs:us-east-2:111111111111:log-group:log_group_name:log-stream:111111111111_CloudTrail_us-east-2*",
"arn:aws:logs:us-east-2:111111111111:log-group:log_group_name:log-stream:o-exampleorgid_*"
]
}
]
}Pour plus d'informations sur les journaux d'activité d'organisation, consultez Création d'un journal de suivi pour une organisation.
