¿Por qué no puedo encontrar mis registros de tareas de DataSync en el grupo de registros de CloudWatch?

Resolución

Confirme que CloudWatch Logs tenga una política de recursos que permita a DataSync cargar registros. Siga estos pasos para revisar las políticas de recursos de CloudWatch Logs en la región de AWS de su agente de DataSync:

Nota: Si recibe errores al ejecutar los comandos de AWS CLI, asegúrese de utilizar la versión más reciente de AWS CLI.

1.    Ejecute el comando describe-resource-policies mediante la Interfaz de la línea de comandos de AWS (AWS CLI):

aws logs describe-resource-policies --region us-east-1

Nota: Cada cuenta de AWS puede incluir hasta 10 políticas de recursos por región para CloudWatch Logs. Si supera este límite, entonces recibirá un mensaje de error al crear la política de recursos.

2.    Revise el resultado del comando. Si no se ha configurado una política de recursos, el resultado es similar al siguiente:

{
  "resourcePolicies": []
}

Importante: Confirme que la política de recursos de DataSync esté habilitada en la región de AWS correcta. La política debe estar en la misma región que el agente de DataSync que esté utilizando.

Siga estos pasos para crear una política de recursos que otorgue permisos a DataSync para cargar registros:

1.    Cree un archivo JSON que otorgue a DataSync los permisos mínimos para cargar registros:

{
  "Statement": [
    {
      "Sid": "DataSyncLogsToCloudWatchLogs",
      "Effect": "Allow",
      "Action": [
        "logs:PutLogEvents",
        "logs:CreateLogStream"
      ],
      "Principal": {
        "Service": "datasync.amazonaws.com"
      },
      "Resource": "*"
    }
  ],
  "Version": "2012-10-17"
}

Puede asignar al archivo el nombre policy.json.

2.    Ejecute el comando put-resource-policy mediante AWS CLI para crear una política de recursos mediante el archivo JSON:

aws logs put-resource-policy --policy-name trustDataSync --policy-document file://policy.json --region <Region>

Importante: Defina la región de AWS de su agente DataSync como el valor de --region.

3.    Ejecute el comando describe-resource-policies para confirmar que se creó la política de recursos:

aws logs describe-resource-policies --region <Region>

Nota: Cada cuenta de AWS puede incluir hasta 10 políticas de recursos por región para CloudWatch Logs. Si supera este límite, recibirá un mensaje de error al crear la política de recursos. Use el comando put-resource-policy para comprobar si ha alcanzado el límite.

4.    Tras crear la política de recursos, el resultado del comando es similar al siguiente:

{
  "resourcePolicies": [
    {
      "policyName": "trustDataSync",
      "policyDocument": "{\"Version\":\"2012-10-17\",\"Statement\":[{\"Sid\":\"DataSyncLogsToCloudWatchLogs\",\"Effect\":\"Allow\",\"Principal\":{\"Service\":\"datasync.amazonaws.com\"},\"Action\":[\"logs:PutLogEvents\",\"logs:CreateLogStream\"],\"Resource\":\"*\"}]}",
      "lastUpdatedTime": 1577448776606
    }
  ]
}

5.    Para probar la política de recursos, ejecute una tarea de DataSync. Unos minutos después de que se ejecute la tarea, confirme que está viendo el flujo de registro del grupo de registro de CloudWatch correspondiente.

---

Información relacionada

Información general sobre la administración de permisos de acceso a los recursos de CloudWatch Logs