Autorisations de livraison du journal

Accordez des autorisations de remise du journal au rôle appelant (le principal IAM qui appelleCreateReplicator), et non au rôle d'exécution du service. Ces autorisations ne concernent pas les clusters source ou cible. Vous n'avez besoin que des extraits correspondant aux destinations que vous activez.

Destination Amazon CloudWatch Logs

Ajoutez l'instruction suivante cloudWatchLogs.enabled true dans la logDelivery configuration.

{
    "Sid": "CloudWatchLogsLogDeliveryActions",
    "Effect": "Allow",
    "Action": [
        "logs:CreateLogDelivery",
        "logs:PutResourcePolicy",
        "logs:DescribeResourcePolicies",
        "logs:DescribeLogGroups",
        "logs:ListLogDeliveries"
    ],
    "Resource": [
        "*"
    ]
}

Destination Amazon S3

Ajoutez les instructions suivantes quand s3.enabled c'est le castrue. Remplacez <logBucketName> par le nom de votre compartiment de destination.

[
    {
        "Sid": "S3LogDeliveryActions",
        "Effect": "Allow",
        "Action": [
            "logs:CreateLogDelivery",
            "logs:ListLogDeliveries"
        ],
        "Resource": [
            "*"
        ]
    },
    {
        "Sid": "S3BucketLogDeliveryActions",
        "Effect": "Allow",
        "Action": [
            "s3:GetBucketPolicy",
            "s3:PutBucketPolicy"
        ],
        "Resource": "arn:aws:s3:::<logBucketName>"
    }
]

Destination Firehose

Ajoutez les instructions suivantes quand firehose.enabled c'est le castrue. <accountID>Remplacez-le par votre Compte AWS identifiant.

[
    {
        "Sid": "FirehoseLogDeliveryActions",
        "Effect": "Allow",
        "Action": [
            "logs:CreateLogDelivery",
            "logs:ListLogDeliveries",
            "firehose:TagDeliveryStream"
        ],
        "Resource": [
            "*"
        ]
    },
    {
        "Sid": "FirehoseLogDeliveryServiceLinkedRole",
        "Effect": "Allow",
        "Action": [
            "iam:CreateServiceLinkedRole"
        ],
        "Resource": "arn:aws:iam::<accountID>:role/aws-service-role/delivery.logs.amazonaws.com/AWSServiceRoleForLogDelivery"
    }
]

Pour plus d'informations sur les autorisations des journaux vendus, consultez la section Activation de la journalisation à partir des services. AWS