ログ配信アクセス許可

サービス実行ロールではなく、呼び出し元ロール ( を呼び出す IAM プリンシパルCreateReplicator) にログ配信アクセス許可を付与します。これらのアクセス許可には、ソースクラスターまたはターゲットクラスターは含まれません。有効にする送信先のスニペットのみが必要です。

Amazon CloudWatch Logs の送信先

が logDelivery設定cloudWatchLogs.enabledtrueにある場合は、次のステートメントを追加します。

{
    "Sid": "CloudWatchLogsLogDeliveryActions",
    "Effect": "Allow",
    "Action": [
        "logs:CreateLogDelivery",
        "logs:PutResourcePolicy",
        "logs:DescribeResourcePolicies",
        "logs:DescribeLogGroups",
        "logs:ListLogDeliveries"
    ],
    "Resource": [
        "*"
    ]
}

Amazon S3 の送信先

s3.enabled が の場合、次のステートメントを追加しますtrue。<logBucketName> を、レプリケート先のバケットの名前に置き換えます。

[
    {
        "Sid": "S3LogDeliveryActions",
        "Effect": "Allow",
        "Action": [
            "logs:CreateLogDelivery",
            "logs:ListLogDeliveries"
        ],
        "Resource": [
            "*"
        ]
    },
    {
        "Sid": "S3BucketLogDeliveryActions",
        "Effect": "Allow",
        "Action": [
            "s3:GetBucketPolicy",
            "s3:PutBucketPolicy"
        ],
        "Resource": "arn:aws:s3:::<logBucketName>"
    }
]

Firehose の送信先

firehose.enabled が の場合、次のステートメントを追加しますtrue。を AWS アカウント ID <accountID>に置き換えます。

[
    {
        "Sid": "FirehoseLogDeliveryActions",
        "Effect": "Allow",
        "Action": [
            "logs:CreateLogDelivery",
            "logs:ListLogDeliveries",
            "firehose:TagDeliveryStream"
        ],
        "Resource": [
            "*"
        ]
    },
    {
        "Sid": "FirehoseLogDeliveryServiceLinkedRole",
        "Effect": "Allow",
        "Action": [
            "iam:CreateServiceLinkedRole"
        ],
        "Resource": "arn:aws:iam::<accountID>:role/aws-service-role/delivery.logs.amazonaws.com/AWSServiceRoleForLogDelivery"
    }
]

vended-logs アクセス許可の詳細については、AWS 「サービスからのログ記録の有効化」を参照してください。