View a markdown version of this page

Configurar o registro em log do CloudWatch para APIs REST no API Gateway - Amazon API Gateway
Permissões para registro em log do CloudWatch

Configurar o registro em log do CloudWatch para APIs REST no API Gateway

Para ajudar a depurar problemas relacionados à execução de solicitação ou ao acesso do cliente à sua API, é possível permitir que o Amazon CloudWatch Logs registre chamadas de API em log. Para obter mais informações sobre o CloudWatch, consulte Monitorar a execução da API REST com métricas do Amazon CloudWatch.

Há dois tipos de registro em log de API no CloudWatch:

  • Registro em log de execução: o API Gateway registra em log as ações realizadas para processar as solicitações de API, incluindo erros e rastreamentos de execução. Você também pode configurar a entrega do Amazon CloudWatch Logs para rotear os logs de execução a seus próprios destinos.

  • Registro em log de acesso: você registra quem acessou sua API e como. Você cria seu próprio grupo de logs, escolhe um formato de log e especifica quais variáveis $context incluir.

Você pode permitir o registro em log de execução e o de acesso independentemente um do outro.

Permissões para registro em log do CloudWatch

Para habilitar o CloudWatch Logs, é necessário conceder permissão ao API Gateway para ler e gravar logs no CloudWatch para sua conta. A política gerenciada AmazonAPIGatewayPushToCloudWatchLogs tem todas as permissões necessárias.

nota

O API Gateway chama o AWS Security Token Service para assumir a função do IAM. Portanto, certifique-se de que o AWS STS esteja habilitado para a região. Para obter mais informações, consulte Gerenciar o AWS STS em uma região da AWS.

Para conceder essas permissões à sua conta, crie uma função do IAM com apigateway.amazonaws.com como entidade confiável, anexe a política anterior à função do IAM e defina o ARN da função do IAM na propriedade cloudWatchRoleArn em sua conta. Você deve definir a propriedade CloudWatchroLearn separadamente para cada região da AWS na qual deseja habilitar o CloudWatch Logs.

Se você receber um erro ao definir o ARN da função do IAM, verifique as configurações da sua conta da AWS Security Token Service para garantir que o AWS STS esteja habilitado na região que você está usando. Para obter mais informações sobre como ativar o AWS STS, consulte Gerenciar o AWS STS em uma região da AWS no Guia do usuário do IAM.

Tópicos