Comment puis-je restreindre l'accès à CloudWatch Logs pour un utilisateur ou un service AWS spécifique ?

Brève description

Pour restreindre l'accès à vos groupes de journaux, utilisez des politiques de Gestion des identités et des accès AWS (AWS IAM) basées sur l'identité pour les utilisateurs et des rôles liés à un service pour les services AWS.

Résolution

Appliquer la politique IAM pour accorder les autorisations minimales requises

La politique IAM suivante fournit des autorisations d'accès détaillées pour un groupe de journaux spécifique qui permet aux utilisateurs de répertorier, de décrire, d'afficher et d'interroger les événements de journaux.

Utilisez la politique IAM suivante pour accorder les autorisations minimales requises aux utilisateurs :

{
   "Version": "2012-10-17",
   "Statement": [
      {
         "Action": [
            "logs:Describe*",
            "logs:Get*",
            "logs:List*",
            "logs:StartQuery",
            "logs:StopQuery",
            "logs:TestMetricFilter",
            "logs:FilterLogEvents",
            "logs:StartLiveTail",
            "logs:StopLiveTail",
            "cloudwatch:GenerateQuery"
         ],
         "Effect": "Allow",
         "Resource": "arn:aws:logs:example-region:123456789012:log-group:example-log-group:*"
      },
      {
         "Effect": "Allow",
         "Action": "logs:DescribeLogGroups",
         "Resource": "*"
      }
   ]
}

Remarque : Remplacez example-region par votre région AWS et example-log-group par le nom de votre groupe de journaux.

Configurer l'accès à CloudWatch Logs pour les services AWS

Pour accorder aux services AWS les autorisations nécessaires pour interagir avec CloudWatch Logs, utilisez des rôles liés aux services. Les rôles liés à un service sont automatiquement générés lorsque vous configurez un service avec CloudWatch Logs et incluent les autorisations nécessaires.

Remarque : Pour configurer les autorisations IAM, utilisez la console de gestion AWS. Pour gérer les stratégies basées sur les ressources de CloudWatch Logs, utilisez des appels d'API.