CloudWatch Logs 리소스에 대한 액세스 권한 관리 개요

액세스 권한을 제공하려면 사용자, 그룹 또는 역할에 권한을 추가하세요:

• 의 사용자 및 그룹 AWS IAM Identity Center:

  권한 세트를 생성합니다. AWS IAM Identity Center 사용 설명서의 권한 세트 생성의 지침을 따릅니다.

• 보안 인증 공급자를 통해 IAM에서 관리되는 사용자:

  ID 페더레이션을 위한 역할을 생성합니다. IAM 사용 설명서의 Create a role for a third-party identity provider (federation)의 지침을 따릅니다.

• IAM 사용자:

  • 사용자가 맡을 수 있는 역할을 생성합니다. IAM 사용 설명서에서 Create a role for an IAM user의 지침을 따릅니다.

  • (권장되지 않음)정책을 사용자에게 직접 연결하거나 사용자를 사용자 그룹에 추가합니다. IAM 사용 설명서에서 사용자(콘솔)에 권한 추가의 지침을 따르세요.

CloudWatch Logs 리소스 및 작업

CloudWatch Logs에서 기본 리소스는 로그 그룹, 로그 스트림 및 대상입니다. CloudWatch Logs는 하위 리소스(기본 리소스와 함께 사용되는 다른 리소스)를 지원하지 않습니다.

다음 표에 나와 있는 것처럼 이러한 리소스와 하위 리소스에는 고유한 Amazon 리소스 이름(ARN)이 연결되어 있습니다.

리소스 유형	ARN 형식
로그 그룹	다음 두 가지가 모두 사용됩니다. 마지막이 :*로 끝나는 두번째 항목이 describe-log-groups CLI 명령 및 DescribeLogGroups API에 의해 반환되는 것입니다. arn:aws:logs:region:account-id:log-group:log_group_name arn:aws:logs:region:account-id:log-group:log_group_name:* 다음과 같은 상황에서는 후행 :* 없이 첫 번째 버전을 사용합니다. many CloudWatch Logs APIs의 logGroupIdentifier 입력 필드에서. 태그 지정 API의 resourceArn 필드에서. IAM 정책에서 TagResource, UntagResource 및 ListTagsForResource에 대한 권한을 지정할 때. 다른 모든 API 작업에서는 IAM 정책에서 권한을 지정할 때 두 번째 버전을 후행 :*와 함께 사용하여 ARN을 참조합니다.
로그 스트림	arn:aws:logs:region:account-id:log-group:log_group_name:log-stream:log-stream-name
대상	arn:aws:logs:region:account-id:destination:destination_name

ARN에 대한 자세한 내용은 IAM 사용 설명서의 ARN을 참조하세요. CloudWatch Logs ARN에 대한 자세한 내용은 Amazon Web Services 일반 참조의 Amazon 리소스 이름(ARN)을 참조하세요. CloudWatch Logs에 적용되는 정책의 예제는 CloudWatch Logs에 대한 자격 증명 기반 정책(IAM 정책) 사용 섹션을 참조하세요.

CloudWatch Logs 는 CloudWatch Logs 리소스를 사용하기 위한 일련의 작업을 제공합니다. 사용 가능한 작업 목록은 CloudWatch Logs 권한 참조 섹션을 참조하세요.

리소스 소유권 이해

AWS 계정은 리소스를 생성한 사용자에 관계없이 계정에서 생성된 리소스를 소유합니다. 특히 리소스 소유자는 리소스 생성 요청을 인증하는 AWS 보안 주체 엔터티(즉, 루트 계정, 사용자 또는 IAM 역할)의 계정입니다. 다음의 예제에서는 이러한 작동 방법을 설명합니다.

• AWS 계정의 루트 계정 자격 증명을 사용하여 로그 그룹을 생성하는 경우 AWS 계정은 CloudWatch Logs 리소스의 소유자입니다.

• AWS 계정에서 사용자를 생성하고 해당 사용자에게 CloudWatch Logs 리소스를 생성할 수 있는 권한을 부여하면 사용자는 CloudWatch Logs 리소스를 생성할 수 있습니다. 하지만 해당 사용자가 속한 AWS 계정이 CloudWatch Logs 리소스를 소유합니다.

• AWS 계정에서 CloudWatch Logs 리소스를 생성할 수 있는 권한이 있는 IAM 역할을 생성하는 경우 해당 역할을 수임할 수 있는 사람은 누구나 CloudWatch Logs 리소스를 생성할 수 있습니다. 이 경우 역할이 속한 AWS 계정이 CloudWatch Logs 리소스를 소유합니다.

리소스 액세스 관리

권한 정책은 누가 무엇에 액세스할 수 있는지를 나타냅니다. 다음 섹션에서는 권한 정책을 만드는 데 사용 가능한 옵션에 대해 설명합니다.

참고

이 섹션에서는 CloudWatch Logs의 맥락에서 IAM을 사용하는 방법에 대해 설명하며, IAM 서비스에 대한 자세한 정보는 다루지 않습니다. IAM 설명서 전체 내용은 IAM 사용 설명서의 IAM이란 무엇인가요? 섹션을 참조하세요. IAM 정책 구문과 설명에 대한 자세한 내용은 IAM 사용 설명서의 IAM 정책 참조 섹션을 참조하세요.

IAM 자격 증명에 연결된 정책을 자격 증명 기반 정책(IAM 정책)이라고 하고, 리소스에 연결된 정책을 리소스 기반 정책이라고 합니다. CloudWatch Logs는 계정 구독 간에 활성화하는 데 사용되는 대상에 대해 자격 증명 기반 정책과 리소스 기반 정책을 지원합니다. 자세한 정보는 교차 계정 교차 리전 구독 섹션을 참조하세요.

주제

• 로그 그룹 권한 및 Contributor Insights

• 리소스 기반 정책

로그 그룹 권한 및 Contributor Insights

Contributor Insights는 로그 그룹의 데이터를 분석하고 기여자 데이터를 표시하는 시계열을 생성할 수 있도록 하는 CloudWatch의 기능입니다. 상위 N개의 기고자, 총 고유 기고자 수 및 사용량에 대한 지표를 볼 수 있습니다. 자세한 내용은 Contributor Insights를 사용하여 높은 카디널리티 데이터 분석을 참조하세요.

사용자에게 cloudwatch:PutInsightRule 및 cloudwatch:GetInsightRuleReport 권한을 부여하면 해당 사용자는 CloudWatch Logs 의 모든 로그 그룹을 평가하는 규칙을 생성한 다음 결과를 볼 수 있습니다. 결과에는 이러한 로그 그룹에 대한 기여자 데이터가 포함될 수 있습니다. 이 데이터를 볼 수 있어야 하는 사용자에게만 해당 권한을 부여해야 합니다.

리소스 기반 정책

CloudWatch Logs는 대상에 리소스 기반 정책을 지원하는 데, 이 정책을 사용하여 계정 구독에서 활성화를 수행할 수 있습니다. 자세한 내용은 1단계: 대상 생성 단원을 참조하십시오. PutDestination API를 사용하여 대상을 생성하고, PutDestinationPolicy API를 사용하여 대상에 리소스 정책을 추가할 수 있습니다. 다음 예시에서는 AWS 계정 ID가 111122223333인 다른 계정이 대상에 대한 로그 그룹을 구독하도록 허용합니다arn:aws:logs:us-east-1:123456789012:destination:testDestination.

{
  "Version" : "2012-10-17",
  "Statement" : [
    {
      "Sid" : "",
      "Effect" : "Allow",
      "Principal" : {
        "AWS" : "111122223333"
      },
      "Action" : "logs:PutSubscriptionFilter",
      "Resource" : "arn:aws:logs:us-east-1:123456789012:destination:testDestination"
    }
  ]
}

정책 요소 지정: 작업, 효과, 보안 주체

각 CloudWatch Logs 리소스에 대해 서비스는 API 작업 세트를 정의합니다. 이러한 API 작업에 대한 권한을 부여하기 위해 CloudWatch Logs에서는 정책에서 지정할 수 있는 작업을 정의합니다. 일부 API 작업에서는 API 작업을 수행하기 위해 복수의 작업에 대한 권한이 필요할 수 있습니다. 리소스 및 API 작업에 대한 자세한 내용은 CloudWatch Logs 리소스 및 작업 및 CloudWatch Logs 권한 참조 섹션을 참조하세요.

다음은 기본 정책 요소입니다.

• 리소스 – Amazon 리소스 이름(ARN)을 사용하여 정책을 적용할 리소스를 식별합니다. 자세한 정보는 CloudWatch Logs 리소스 및 작업 섹션을 참조하세요.

• 조치 – 조치 키워드를 사용하여 허용 또는 거부할 리소스 작업을 식별합니다. 예를 들어, logs.DescribeLogGroups 권한은 사용자에게 DescribeLogGroups 작업 수행 권한을 허용합니다.

• Effect - 사용자가 특정 작업을 요청할 때 허용할지 아니면 거부할지 그 결과를 지정합니다. 명시적으로 리소스에 대한 액세스 권한을 부여(허용)하지 않는 경우, 액세스는 묵시적으로 거부됩니다. 다른 정책에서 액세스 권한을 부여하는 경우라도 사용자가 해당 리소스에 액세스할 수 없도록 하기 위해 리소스에 대한 권한을 명시적으로 거부할 수도 있습니다.

• 보안 주체 – ID 기반 정책(IAM 정책)에서 정책이 연결되는 사용자는 암시적인 보안 주체입니다. 리소스 기반 정책의 경우, 사용자, 계정, 서비스 또는 권한의 수신자인 기타 개체를 지정합니다(리소스 기반 정책에만 해당). CloudWatch Logs는 대상에 대한 리소스 기반 정책을 지원합니다.

IAM 정책 구문과 설명에 대한 자세한 내용은 IAM 사용 설명서의 AWS IAM 정책 참조 섹션을 참조하세요.

모든 CloudWatch Logs API 작업과 해당 작업이 적용되는 리소스를 보여주는 표는 CloudWatch Logs 권한 참조 섹션을 참조하세요.

정책에서 조건 지정

권한을 부여할 때 액세스 정책 언어를 사용하여 조건이 적용되는 조건을 지정할 수 있습니다. 예를 들어, 특정 날짜 이후에만 정책을 적용할 수 있습니다. 정책 언어에서의 조건 지정에 관한 자세한 내용은 IAM 사용 설명서의 조건을 참조하십시오.

조건을 표시하려면 미리 정의된 조건 키를 사용합니다. 각 AWS 서비스에서 지원하는 컨텍스트 키 목록과 AWS전체 정책 키 목록은 AWS 서비스 및 전역 조건 컨텍스트 키에 대한 작업, 리소스 AWS 및 조건 키를 참조하세요.

참고

태그를 사용하여 로그 그룹 및 대상을 비롯한 CloudWatch Logs 리소스에 대한 액세스를 제어할 수 있습니다. 로그 그룹과 로그 스트림 간의 계층적 관계로 인해 로그 스트림에 대한 액세스는 로그 그룹 수준에서 제어됩니다. 태그를 사용하여 액세스를 제어하는 방법에 대한 자세한 내용은 태그를 사용하여 Amazon Web Services 리소스에 대한 액세스 제어를 참조하세요.