Permissões que a integração precisa

Se você criar uma função do IAM para ser usada pela integração, em vez de permitir que a CloudWatch Logs crie a função, ela deverá incluir as permissões e a política de confiança a seguir. Para obter mais informações sobre como criar uma função do IAM, consulte Criar uma função para delegar permissões a um AWS serviço.

JSON

{
  "Version": "2012-10-17",		 	 	 
  "Statement": [
    {
      "Sid": "CloudWatchLogsAccess",
      "Effect": "Allow",
      "Action": [
        "logs:StartQuery",
        "logs:GetLogGroupFields",
        "logs:GetQueryResults"
      ],
      "Resource": [
        "*"
      ]
    },
    {
      "Sid": "CloudWatchLogsDescribeLogGroupsAccess",
      "Effect": "Allow",
      "Action": [
        "logs:DescribeLogGroups"
      ],
      "Resource": "*"
    },
    {
        "Sid": "AmazonOpenSearchCollectionAccess",
        "Effect": "Allow",
        "Action": [
            "aoss:APIAccessAll"
        ],
        "Resource": "*",
        "Condition": {
            "StringLike": {
                "aoss:collection": "cloudwatch-logs-*"
            }
        }
    }
  ]
}

nota

A função anterior concede acesso à leitura de todos os grupos de registros na conta, para permitir que você crie painéis para qualquer conta de registro, incluindo grupos de registros entre contas. Se você quiser restringir o acesso a grupos de registros específicos e criar painéis somente para esses grupos de registros, você pode atualizar a primeira declaração dessa política para o seguinte:

{
      "Sid": "CloudWatchLogsAccess",
      "Effect": "Allow",
      "Action": [
        "logs:StartQuery",
        "logs:GetLogGroupFields",
        "logs:GetQueryResults"
      ],
      "Resource": [
        "arn:aws:logs:us-east-1:123456789012:log-group:myLogGroup:*",
        "arn:aws:logs:us-east-1:123456789012:log-group:myLogGroup"
      ]
}