¿Cómo puedo restringir el acceso a Registros de CloudWatch para un usuario o servicio de AWS específico?

Descripción corta

Para restringir el acceso a tus grupos de registro, utiliza las políticas de AWS Identity and Access Management (IAM) basadas en identidades para los usuarios y los roles vinculados a servicios para los servicios de AWS.

Nota: Para configurar los permisos de IAM, utiliza la consola de administración de AWS. Para administrar las políticas basadas en recursos de Registros de CloudWatch, utiliza las operaciones de API.

Resolución

Aplicación de la política de IAM para conceder los permisos mínimos requeridos

La siguiente política de IAM proporciona permisos de acceso detallados para un grupo de registro específico que permite a los usuarios enumerar, describir, ver y consultar los eventos del registro.

Usa la siguiente política de IAM para conceder los permisos mínimos requeridos a los usuarios:

{
   "Version": "2012-10-17",
   "Statement": [
      {
         "Action": [
            "logs:Describe*",
            "logs:Get*",
            "logs:List*",
            "logs:StartQuery",
            "logs:StopQuery",
            "logs:TestMetricFilter",
            "logs:FilterLogEvents",
            "logs:StartLiveTail",
            "logs:StopLiveTail",
            "cloudwatch:GenerateQuery"
         ],
         "Effect": "Allow",
         "Resource": "arn:aws:logs:example-region:123456789012:log-group:example-log-group:*"
      },
      {
         "Effect": "Allow",
         "Action": "logs:DescribeLogGroups",
         "Resource": "*"
      }
   ]
}

Nota: Sustituye example-region por tu región de AWS y example-log-group por el nombre de tu grupo de registro.

Si un usuario se conecta a CloudWatch a través de un punto de enlace de la VPC, utiliza una política de IAM para restringir sus acciones en el punto de enlace de VPC.

Nota: Un mensaje similar al siguiente ejemplo muestra que el usuario no tiene permisos para realizar la acción que especifica el mensaje:

"(AccessDeniedException) when calling the PutLogEvents operation: User: arn:aws:sts::accountID:assumed-role/CWEC2Role/ec2-id is not authorized to perform: logs:PutLogEvents on resource: arn:aws:logs:us-east-1:accountID:log-group:test.log:log-stream:test because no VPC endpoint policy allows the action"

La siguiente política de IAM permite a los usuarios realizar acciones de lectura solo en grupos de registro y transmisiones en el punto de enlace:

{
   "Statement": [
      {
         "Action": [
            "logs:Describe*",
            "logs:Get*",
            "logs:List*"
         ],
         "Effect": "Allow",
         "Principal": "*",
         "Resource": "*"
      }
   ]
}

Para obtener más información sobre el uso de puntos de enlace de VPC para CloudWatch, consulta Uso de CloudWatch registros con puntos finales de VPC de interfaz.

Nota: Para controlar más permisos, usa las acciones, los recursos y las claves de condición de tus políticas de IAM.

Configuración del acceso a Registros de CloudWatch para los servicios de AWS

Para conceder a los servicios de AWS los permisos necesarios para interactuar con Registros de CloudWatch, utiliza roles vinculados a servicios. CloudWatch crea automáticamente roles vinculados a servicios cuando configuras un servicio con Registros de CloudWatch con los permisos necesarios.