로깅 권한

로깅 대상을 구성하는 데 사용되는 IAM 보안 주체에 로깅이 제대로 작동하려면 특정 권한이 있어야 합니다. 아래에서 각 로깅 대상에 필요한 권한을 확인할 수 있습니다.

로그로 전송하려면: CloudWatch

• 확인된 액세스 인스턴스에서 ec2:ModifyVerifiedAccessInstanceLoggingConfiguration

• 모든 리소스에서 logs:CreateLogDelivery, logs:DeleteLogDelivery, logs:GetLogDelivery, logs:ListLogDeliveries, 및 logs:UpdateLogDelivery

• 대상 로그 그룹에서 logs:DescribeLogGroups, logs:DescribeResourcePolicies, 및 logs:PutResourcePolicy

Amazon S3로 전송하려면:

• 확인된 액세스 인스턴스에서 ec2:ModifyVerifiedAccessInstanceLoggingConfiguration

• 모든 리소스에서 logs:CreateLogDelivery, logs:DeleteLogDelivery, logs:GetLogDelivery, logs:ListLogDeliveries, 및 logs:UpdateLogDelivery

• 그리고 대상 버킷에서 s3:GetBucketPolicy 및 s3:PutBucketPolicy

Firehose로 배송하는 경우:

• 확인된 액세스 인스턴스에서 ec2:ModifyVerifiedAccessInstanceLoggingConfiguration

• 모든 리소스에서 firehose:TagDeliveryStream

• 모든 리소스에서 iam:CreateServiceLinkedRole

• 모든 리소스에서 logs:CreateLogDelivery, logs:DeleteLogDelivery, logs:GetLogDelivery, logs:ListLogDeliveries, 및 logs:UpdateLogDelivery