Ações, recursos e chaves de condição para Amazon CloudWatch Logs

O Amazon CloudWatch Logs (prefixo do serviço:logs) fornece os seguintes recursos, ações e chaves de contexto de condição específicos do serviço para uso em IAM políticas de permissão.

Referências:

• Saiba como configurar este serviço.

• Veja uma lista das APIoperações disponíveis para esse serviço.

• Saiba como proteger esse serviço e seus recursos usando políticas de IAM permissão.

Ações definidas pelo Amazon CloudWatch Logs

Você pode especificar as seguintes ações no Action elemento de uma declaração de IAM política. Use políticas para conceder permissões para executar uma operação na AWS. Quando você usa uma ação em uma política, geralmente permite ou nega acesso à API operação ou ao CLI comando com o mesmo nome. No entanto, em alguns casos, uma única ação controla o acesso a mais de uma operação. Como alternativa, algumas operações exigem várias ações diferentes.

A coluna Tipos de recursos na tabela Ações indica se cada ação é compatível com permissões no nível do recurso. Se não houver valor para essa coluna, você deverá especificar todos os recursos ("*") aos quais a política se aplica no elemento Resource de sua declaração de política. Se a coluna incluir um tipo de recurso, você poderá especificar um ARN desse tipo em uma declaração com essa ação. Se a ação tiver um ou mais recursos necessários, o chamador deverá ter permissão para usar a ação com esses recursos. Os recursos obrigatórios são indicados na tabela com um asterisco (*). Se você limitar o acesso aos recursos com o Resource elemento em uma IAM política, deverá incluir um padrão ARN ou para cada tipo de recurso necessário. Algumas ações oferecem suporte a vários tipos de recursos. Se o tipo de recurso for opcional (não indicado como obrigatório), você poderá optar por usar um dos tipos de recurso opcionais.

A coluna Chaves de condição na tabela Ações inclui chaves que você pode especificar em um elemento Condition da declaração de política. Para obter mais informações sobre as chaves de condição associadas aos recursos do serviço, consulte a coluna Chaves de condição da tabela Tipos de recursos.

nota

As chaves de condição do recurso estão listadas na tabela Tipos de recursos. Você pode encontrar um link para o tipo de recurso que se aplica a uma ação na coluna Tipos de recursos (*obrigatório) da tabela Ações. O tipo de recurso na tabela Tipos de recursos inclui a coluna Chaves de condição, que são as chaves de condição do recurso que se aplicam a uma ação na tabela Ações.

Para obter detalhes sobre as colunas na tabela a seguir, consulte Tabela de ações.

Ações	Descrição	Nível de acesso	Tipos de recursos (*necessários)	Chaves de condição	Ações dependentes
AssociateKmsKey	Concede permissão para associar a AWS chave mestra do cliente (AWS KMS) especificada do Serviço de Gerenciamento de Chaves (CMK) ao grupo de registros especificado	Escrever	log-group*
CancelExportTask	Concede permissão para cancelar uma tarefa de exportação se ela estiver em PENDING ou RUNNING estado	Escrever
CreateDelivery	Concede permissão para criar uma entrega conectando uma fonte de entrega a um destino de entrega	Escrever	delivery*
			delivery-destination*
			delivery-source*
				aws:TagKeys aws:RequestTag/${TagKey}
CreateExportTask	Concede permissão para criar um ExportTask que permite exportar com eficiência dados de um grupo de registros para seu bucket do Amazon S3	Escrever	log-group*
CreateLogAnomalyDetector	Concede permissão para criar um detector de anomalias de logs	Escrever	log-group*
				aws:TagKeys aws:RequestTag/${TagKey}
CreateLogDelivery [somente permissão]	Concede permissão para criar a entrega de logs	Escrever
CreateLogGroup	Concede permissão para criar um novo grupo de logs com o nome especificado	Escrever	log-group*
				aws:TagKeys aws:RequestTag/${TagKey}
CreateLogStream	Concede permissões para criar um novo fluxo de logs com o nome especificado	Escrever	log-stream*
DeleteAccountPolicy	Concede permissão para excluir uma política de proteção de dados anexada a uma conta	Escrever
DeleteDataProtectionPolicy	Concede permissão para excluir uma política de proteção de dados anexada a um grupo de logs	Escrever	log-group*
DeleteDelivery	Concede permissão para excluir uma entrega	Escrever	delivery*
DeleteDeliveryDestination	Concede permissão para excluir um destino de entrega depois que todas as entregas associadas forem excluídas	Escrever	delivery-destination*
DeleteDeliveryDestinationPolicy	Concede permissão para excluir uma política de destino de entrega associada a um destino de entrega	Escrever	delivery-destination*
DeleteDeliverySource	Concede permissão para excluir uma origem de entrega depois que todas as entregas associadas forem excluídas	Escrever	delivery-destination*
DeleteDestination	Concede permissão para excluir o destino com o nome especificado	Escrever	destination*
DeleteLogAnomalyDetector	Concede permissão para excluir um detector de anomalias de logs	Escrever	anomaly-detector*
DeleteLogDelivery [somente permissão]	Concede permissão para excluir as informações de entrega de log para a entrega de log especificada	Escrever
DeleteLogGroup	Concede permissão para excluir o grupo de logs com o nome especificado	Escrever	log-group*
DeleteLogStream	Concede permissão para excluir um fluxo de logs	Escrever	log-stream*
DeleteMetricFilter	Concede permissão para excluir um filtro de métricas associado ao grupo de logs especificado	Escrever	log-group*
DeleteQueryDefinition	Concede permissão para excluir uma definição de consulta salva do CloudWatch Logs Insights	Escrever
DeleteResourcePolicy	Concede permissão para excluir uma política de recursos desta conta	Gerenciamento de permissões
DeleteRetentionPolicy	Concede permissão para excluir a política de retenção do grupo de logs especificado	Escrever	log-group*
DeleteSubscriptionFilter	Concede permissão para excluir um filtro de assinaturas associado ao grupo de logs especificado	Escrever	log-group*
DescribeAccountPolicies	Concede permissão para recuperar uma política de proteção de dados anexada a uma conta	Listar
DescribeConfigurationTemplates	Concede permissão para recuperar uma lista de modelos de configuração dos tipos de log disponíveis	Listar
DescribeDeliveries	Concede permissão para recuperar uma lista de entregas em uma conta	Listar
DescribeDeliveryDestinations	Concede permissão para recuperar uma lista de destinos de entregas em uma conta	Listar
DescribeDeliverySources	Concede permissão para recuperar uma lista de origens de entregas em uma conta	Listar
DescribeDestinations	Concede permissão para retornar todos os destinos associados Conta da AWS à solicitação	Listar
DescribeExportTasks	Concede permissão para retornar todas as tarefas de exportação Conta da AWS associadas à solicitação	Listar
DescribeLogGroups	Concede permissão para retornar todos os grupos de registros Conta da AWS associados à solicitação	Listar
DescribeLogStreams	Concede permissão para retornar todos os fluxos de logs associados ao grupo de logs especificado	Listar	log-group*
DescribeMetricFilters	Concede permissão para retornar todos os filtros de métricas associados ao grupo de logs especificado	Listar	log-group*
DescribeQueries	Concede permissão para retornar uma lista de consultas do CloudWatch Logs Insights que estão agendadas, em execução ou que foram executadas recentemente nesta conta	Listar
DescribeQueryDefinitions	Concede permissão para retornar uma lista paginada de suas definições de consulta salvas do CloudWatch Logs Insights	Listar
DescribeResourcePolicies	Concede permissão para retornar todas as políticas de recursos nesta conta	Listar
DescribeSubscriptionFilters	Concede permissão para retornar todos os filtros de assinaturas associados ao grupo de logs especificado	Listar	log-group*
DisassociateKmsKey	Concede permissão para desassociar a AWS chave mestra do cliente (AWS KMS) associada do Serviço de Gerenciamento de Chaves (CMK) do grupo de registros especificado	Escrever	log-group*
FilterLogEvents	Concede permissão para recuperar os eventos de logs, opcionalmente filtrados por um padrão de filtro do grupo de logs especificado	Leitura	log-group*
GetDataProtectionPolicy	Concede permissão para recuperar uma política de proteção de dados anexada a um grupo de logs	Leitura	log-group*
GetDelivery	Concede permissão para recuperar uma única entrega	Leitura	delivery*
GetDeliveryDestination	Concede permissão para recuperar um único destino de entrega	Leitura	delivery-destination*
GetDeliveryDestinationPolicy	Concede permissão para recuperar uma política de destino de entrega anexada a um destino de entrega	Leitura	delivery-destination*
GetDeliverySource	Concede permissão para recuperar a origem de uma única entrega	Leitura	delivery-source*
GetLogAnomalyDetector	Concede permissão para obter um detector de anomalias de logs	Leitura	anomaly-detector*
GetLogDelivery [somente permissão]	Concede permissão para obter as informações de entrega de log para a entrega de log especificada	Leitura
GetLogEvents	Concede permissão para recuperar os eventos de logs do fluxo de logs especificado	Leitura	log-stream*
GetLogGroupFields	Concede permissão para retornar uma lista dos campos que estão incluídos em eventos de logs no grupo de logs especificado, junto com a porcentagem de eventos de logs que contêm cada campo	Leitura	log-group*
GetLogRecord	Concede permissão para recuperar todos os campos e valores de um único evento de logs	Leitura	log-group*
GetQueryResults	Concede permissão para retornar os resultados da consulta especificada	Leitura	log-group*
Link [somente permissão]	Concede permissão para compartilhar CloudWatch recursos com uma conta de monitoramento	Escrever
ListAnomalies	Concede permissão para listar todas as anomalias detectadas ao Conta da AWS fazer a solicitação	Listar	anomaly-detector
ListLogAnomalyDetectors	Concede permissão para retornar todos os detectores de anomalias associados à Conta da AWS solicitação	Listar	log-group
ListLogDeliveries [somente permissão]	Concede permissão para listar todas as entregas de log para a conta especificada e/ou origem de log	Listar
ListTagsForResource	Concede permissão para listar as etiquetas para o recurso especificado	Listar	anomaly-detector
			delivery
			delivery-destination
			delivery-source
			destination
			log-group
ListTagsLogGroup	Concede permissão para listar as etiquetas para o grupo de logs especificado	Listar	log-group*
PutAccountPolicy	Concede permissão para anexar uma política de proteção de dados em nível de conta para detectar e editar informações confidenciais de eventos de logs	Escrever
PutDataProtectionPolicy	Concede permissão para anexar uma política de proteção de dados para detectar e editar informações confidenciais de eventos de logs	Escrever	log-group*
PutDeliveryDestination	Concede permissão para criar/atualizar um destino de entrega	Escrever	delivery-destination*
				aws:TagKeys aws:RequestTag/${TagKey} logs:DeliveryDestinationResourceArn
PutDeliveryDestinationPolicy	Concede permissão para anexar uma política de destino de entrega a um destino de entrega	Escrever	delivery-destination*
PutDeliverySource	Concede permissão para criar/atualizar a origem de uma entrega	Escrever	delivery-source*
				aws:TagKeys aws:RequestTag/${TagKey} logs:LogGeneratingResourceArns
PutDestination	Concede permissão para criar ou atualizar um destino	Escrever	destination*		iam:PassRole
				aws:TagKeys aws:RequestTag/${TagKey}
PutDestinationPolicy	Concede permissão para criar ou atualizar uma política de acesso associada a um destino existente	Escrever	destination*
PutLogEvents	Concede permissão para fazer upload de lotes de eventos de logs no fluxo de logs especificado	Escrever	log-stream*
PutMetricFilter	Concede permissão para criar ou atualizar um filtro de métricas e associá-lo ao grupo de logs especificado	Escrever	log-group*
PutQueryDefinition	Concede permissão para criar ou atualizar uma definição de consulta	Escrever
PutResourcePolicy	Concede permissão para criar ou atualizar uma política de recursos, permitindo que outros AWS serviços coloquem eventos de log nessa conta	Gerenciamento de permissões
PutRetentionPolicy	Concede permissão para definir a retenção do grupo de logs especificado	Escrever	log-group*
PutSubscriptionFilter	Concede permissão para criar ou atualizar um filtro de assinaturas e associá-o ao grupo de logs especificado	Escrever	log-group*		iam:PassRole
			destination
StartLiveTail	Concede permissão para iniciar uma sessão do Live Tail no CloudWatch Logs	Leitura	log-group*
StartQuery	Concede permissão para agendar uma consulta de um grupo de CloudWatch registros usando o Logs Insights	Leitura	log-group*
StopLiveTail [somente permissão]	Concede permissão para interromper uma sessão Live Tail em andamento	Leitura
StopQuery	Concede permissão para interromper uma consulta do CloudWatch Logs Insights que está em andamento	Leitura
TagLogGroup	Concede permissão para adicionar ou atualizar as etiquetas especificadas para o grupo de logs especificado	Tags	log-group*
				aws:TagKeys aws:RequestTag/${TagKey}
TagResource	Concede permissão para adicionar ou atualizar as etiquetas especificadas no recurso especificado	Tags	anomaly-detector
			delivery
			delivery-destination
			delivery-source
			destination
			log-group
				aws:TagKeys aws:RequestTag/${TagKey}
TestMetricFilter	Concede permissão para testar o padrão de filtro de um filtro de métricas em relação a um exemplo de mensagens de eventos de log	Leitura
Unmask [somente permissão]	Concede permissão para buscar eventos de logs não mascarados que foram editados com uma política de proteção de dados	Leitura	log-group*
UntagLogGroup	Concede permissão para remover as etiquetas especificadas do grupo de logs especificado	Tags	log-group*
				aws:TagKeys
UntagResource	Concede permissão para remover as etiquetas especificadas do recurso especificado	Tags	anomaly-detector
			delivery
			delivery-destination
			delivery-source
			destination
			log-group
				aws:TagKeys
UpdateAnomaly	Concede permissão para atualizar uma anomalia relatada por um detector de anomalias de logs	Escrever	anomaly-detector*
UpdateDeliveryConfiguration	Concede permissão para atualizar a configuração relacionada a uma entrega	Escrever	delivery*
			delivery-destination*
			delivery-source*
				aws:TagKeys aws:RequestTag/${TagKey}
UpdateLogAnomalyDetector	Concede permissão para atualizar um detector de anomalias de logs	Escrever	anomaly-detector*
UpdateLogDelivery [somente permissão]	Concede permissão para atualizar as informações de entrega de log para a entrega de log especificada	Escrever

Tipos de recursos definidos pelo Amazon CloudWatch Logs

Os seguintes tipos de recursos são definidos por esse serviço e podem ser usados no Resource elemento das declarações de política de IAM permissão. Cada ação na Tabela de ações identifica os tipos de recursos que podem ser especificados com essa ação. Um tipo de recurso também pode definir quais chaves de condição você pode incluir em uma política. Essas chaves são exibidas na última coluna da tabela Tipos de recursos. Para obter detalhes sobre as colunas na tabela a seguir, consulte Tabela de tipos de recursos.

Tipos de recursos	ARN	Chaves de condição
log-group	arn:${Partition}:logs:${Region}:${Account}:log-group:${LogGroupName}	aws:ResourceTag/${TagKey}
log-stream	arn:${Partition}:logs:${Region}:${Account}:log-group:${LogGroupName}:log-stream:${LogStreamName}	aws:ResourceTag/${TagKey}
destination	arn:${Partition}:logs:${Region}:${Account}:destination:${DestinationName}	aws:ResourceTag/${TagKey}
delivery-source	arn:${Partition}:logs:${Region}:${Account}:delivery-source:${DeliverySourceName}	aws:ResourceTag/${TagKey}
delivery	arn:${Partition}:logs:${Region}:${Account}:delivery:${DeliveryName}	aws:ResourceTag/${TagKey}
delivery-destination	arn:${Partition}:logs:${Region}:${Account}:delivery-destination:${DeliveryDestinationName}	aws:ResourceTag/${TagKey}
anomaly-detector	arn:${Partition}:logs:${Region}:${Account}:anomaly-detector:${DetectorId}	aws:ResourceTag/${TagKey}

Chaves de condição para Amazon CloudWatch Logs

O Amazon CloudWatch Logs define as seguintes chaves de condição que podem ser usadas no Condition elemento de uma IAM política. É possível usar essas chaves para refinar ainda mais as condições sob as quais a declaração de política se aplica. Para obter detalhes sobre as colunas na tabela a seguir, consulte Tabela de chaves de condição.

Para ver as chaves de condição globais que estão disponíveis para todos os serviços, consulte Chaves de condição globais disponíveis.

Chaves de condição	Descrição	Tipo
aws:RequestTag/${TagKey}	Filtra o acesso pelas etiquetas que são transmitidas na solicitação	Segmento
aws:ResourceTag/${TagKey}	Filtra o acesso pelas etiquetas associadas ao recurso	Segmento
aws:TagKeys	Filtra o acesso pelas chaves da etiqueta que são transmitidas na solicitação	ArrayOfString
logs:DeliveryDestinationResourceArn	Filtra o acesso pelo destino do registro ARN passado na solicitação	ARN
logs:LogGeneratingResourceArns	Filtra o acesso pelo recurso gerador de log ARNs passado na solicitação	ArrayOfARN