如何限制特定用户或 AWS 服务对 CloudWatch Logs 的访问权限？

简短描述

要限制对日志组的访问权限，请对用户使用基于身份的 AWS Identity and Access Management (IAM) 策略，对 AWS 服务使用服务关联的角色。

解决方法

应用 IAM 策略以授予所需的最低权限

以下 IAM 策略提供了对于特定日志组的详细访问权限，允许用户列出、描述、查看和查询日志事件。

使用以下 IAM 策略向用户授予所需的最低权限：

{
   "Version": "2012-10-17",
   "Statement": [
      {
         "Action": [
            "logs:Describe*",
            "logs:Get*",
            "logs:List*",
            "logs:StartQuery",
            "logs:StopQuery",
            "logs:TestMetricFilter",
            "logs:FilterLogEvents",
            "logs:StartLiveTail",
            "logs:StopLiveTail",
            "cloudwatch:GenerateQuery"
         ],
         "Effect": "Allow",
         "Resource": "arn:aws:logs:example-region:123456789012:log-group:example-log-group:*"
      },
      {
         "Effect": "Allow",
         "Action": "logs:DescribeLogGroups",
         "Resource": "*"
      }
   ]
}

**注意：**请将 example-region 替换为您的 AWS 区域，将 example-log-group 替换为您的日志组名称。

为 AWS 服务配置 CloudWatch Logs 访问权限

要向 AWS 服务授予与 CloudWatch Logs 交互所需的权限，请使用服务相关角色。服务相关角色会在您通过 CloudWatch Logs 设置服务时自动生成，且包含必要的权限。

**注意：**要配置 IAM 权限，请使用 AWS 管理控制台。要管理基于资源的 CloudWatch Logs 策略，请使用 API 调用。