Langkah 2: Perbarui kebijakan akses tujuan yang ada

Setelah memperbarui filter langganan di semua akun pengirim, Anda dapat memperbarui kebijakan akses tujuan di akun penerima.

Dalam contoh berikut, akun penerima adalah 999999999999 dan tujuan diberi namatestDestination.

Pembaruan memungkinkan semua akun yang merupakan bagian dari organisasi dengan ID o-1234567890 untuk mengirim log ke akun penerima. Hanya akun yang memiliki filter langganan yang dibuat yang benar-benar akan mengirim log ke akun penerima.

Untuk memperbarui kebijakan akses tujuan di akun penerima untuk mulai menggunakan ID organisasi untuk izin

1. Di akun penerima, gunakan editor teks untuk membuat ~/AccessPolicy.json file dengan konten berikut.

   { 
       "Version" : "2012-10-17", 
       "Statement" : [ 
           { 
               "Sid" : "", 
               "Effect" : "Allow",
               "Principal" : "*",
               "Action" : "logs:PutSubscriptionFilter", 
               "Resource" : "arn:aws:logs:region:999999999999:destination:testDestination",
               "Condition": {
                  "StringEquals" : {
                      "aws:PrincipalOrgID" : ["o-1234567890"]
                   }
               }
           } 
       ] 
   }

2. Masukkan perintah berikut untuk melampirkan kebijakan yang baru saja Anda buat ke tujuan yang ada. Untuk memperbarui tujuan agar menggunakan kebijakan akses dengan ID organisasi, bukan kebijakan akses yang mencantumkan ID AWS akun tertentu, sertakan force parameternya.

   Awas

   Jika Anda bekerja dengan log yang dikirim oleh AWS layanan yang terdaftar diMengaktifkan logging dari layanan AWS, maka sebelum melakukan langkah ini, Anda harus terlebih dahulu memperbarui filter langganan di semua akun pengirim seperti yang dijelaskan diLangkah 1: Perbarui filter langganan.

   aws logs put-destination-policy 
       \ --destination-name "testDestination" 
       \ --access-policy file://~/AccessPolicy.json
       \ --force