Autorizzazioni di consegna dei log

Concedi le autorizzazioni di consegna dei log al ruolo chiamante (il principale IAM che chiamaCreateReplicator), non al ruolo di esecuzione del servizio. Queste autorizzazioni non riguardano i cluster di origine o di destinazione. Ti servono solo gli snippet per le destinazioni che abiliti.

CloudWatch Destinazione Amazon Logs

Aggiungi la seguente dichiarazione quando cloudWatchLogs.enabled è true nella logDelivery configurazione.

{
    "Sid": "CloudWatchLogsLogDeliveryActions",
    "Effect": "Allow",
    "Action": [
        "logs:CreateLogDelivery",
        "logs:PutResourcePolicy",
        "logs:DescribeResourcePolicies",
        "logs:DescribeLogGroups",
        "logs:ListLogDeliveries"
    ],
    "Resource": [
        "*"
    ]
}

Destinazione Amazon S3

Aggiungi le seguenti istruzioni quando s3.enabled ètrue. Sostituire <logBucketName> con il nome del bucket di destinazione.

[
    {
        "Sid": "S3LogDeliveryActions",
        "Effect": "Allow",
        "Action": [
            "logs:CreateLogDelivery",
            "logs:ListLogDeliveries"
        ],
        "Resource": [
            "*"
        ]
    },
    {
        "Sid": "S3BucketLogDeliveryActions",
        "Effect": "Allow",
        "Action": [
            "s3:GetBucketPolicy",
            "s3:PutBucketPolicy"
        ],
        "Resource": "arn:aws:s3:::<logBucketName>"
    }
]

Destinazione Firehose

Aggiungi le seguenti istruzioni quando firehose.enabled ètrue. <accountID>Sostituiscilo con il tuo Account AWS ID.

[
    {
        "Sid": "FirehoseLogDeliveryActions",
        "Effect": "Allow",
        "Action": [
            "logs:CreateLogDelivery",
            "logs:ListLogDeliveries",
            "firehose:TagDeliveryStream"
        ],
        "Resource": [
            "*"
        ]
    },
    {
        "Sid": "FirehoseLogDeliveryServiceLinkedRole",
        "Effect": "Allow",
        "Action": [
            "iam:CreateServiceLinkedRole"
        ],
        "Resource": "arn:aws:iam::<accountID>:role/aws-service-role/delivery.logs.amazonaws.com/AWSServiceRoleForLogDelivery"
    }
]

Per ulteriori informazioni sulle autorizzazioni vended-logs, vedere Abilitazione della registrazione dai servizi. AWS