¿Cómo puedo restaurar o impedir la eliminación de registros o grupos de registro en CloudWatch?

Descripción corta

De forma predeterminada, Registros de Amazon CloudWatch almacena los registros de forma indefinida y nunca vencen. Sin embargo, si modificas la configuración del periodo de retención, Registros de CloudWatch almacena los datos solo hasta el periodo de retención. Tras el periodo de retención, Registros de CloudWatch elimina los datos del grupo de registro. Puedes modificar la configuración de retención y elegir un periodo de retención de entre un día y 10 años, o conservar los registros indefinidamente.

Nota: No puedes recuperar los registros que eliminaste o vencieron mediante la política de retención. AWS tampoco puede recuperar los registros.

Resolución

Para controlar quién puede eliminar grupos de registros y exportar registros para su almacenamiento a largo plazo, sigue los procedimientos siguientes.

Modificación de los permisos de IAM para los grupos de registro de CloudWatch

Sigue estos pasos:

1. Abre la consola de AWS Identity and Access Management (IAM).
2. A continuación, en el panel de navegación, elige Usuarios o roles.
3. En la lista, selecciona el usuario o rol de IAM cuya política deseas modificar.
4. Selecciona la pestaña Permisos y, a continuación, selecciona Agregar permisos.
5. Elige Crear política insertada y, a continuación, introduce la siguiente instrucción de política para establecer las acciones DeleteLogGroup, DeleteLogStream y PutRetentionPolicy en Deny:

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Sid": "VisualEditor0",
         "Effect": "Deny",
         "Action": [
           "logs:DeleteLogGroup",
           "logs:DeleteLogStream",
           "logs:PutRetentionPolicy"
         ],
         "Resource": "*"
       }
     ]
   }

   Nota: Tras aplicar esta política de IAM, los usuarios de IAM no pueden eliminar los datos de registro ni cambiar la configuración de retención en todos los grupos de registro. Para obtener más información, consulta Uso de políticas basadas en la identidad (políticas de IAM) y Referencia de permisos de Registros de CloudWatch.

(Opcional) Activación de la protección contra la eliminación

De forma predeterminada, la protección contra la eliminación está desactivada. Activa la protección contra la eliminación para evitar la eliminación accidental de grupos de registro.

Exportación de registros de CloudWatch a un bucket de Amazon S3

Exporta los datos de registro de CloudWatch a un bucket de Amazon Simple Storage Service (Amazon S3) para almacenamiento a largo plazo, copias de seguridad y análisis personalizados de los datos de registro.