Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.
# Menggunakan kebijakan berbasis identitas (kebijakan IAM) untuk Log CloudWatch
Topik ini memberikan contoh kebijakan berbasis identitas di mana administrator akun dapat melampirkan kebijakan izin ke identitas IAM (yaitu, pengguna, grup, dan peran).
**penting**
Kami menyarankan Anda terlebih dahulu meninjau topik pengantar yang menjelaskan konsep dasar dan opsi yang tersedia bagi Anda untuk mengelola akses ke sumber daya CloudWatch Log Anda. Untuk informasi selengkapnya, lihat [Ikhtisar mengelola izin akses ke sumber daya CloudWatch Log Anda](iam-access-control-overview-cwl.md).
Topik ini mencakup hal-hal berikut:
+ [Izin diperlukan untuk menggunakan konsol CloudWatch](#console-permissions-cwl)
+ [AWS kebijakan terkelola (standar) untuk CloudWatch Log](#managed-policies-cwl)
+ [Contoh kebijakan yang dikelola pelanggan](#customer-managed-policies-cwl)
Berikut ini adalah contoh kebijakan izin:
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"logs:CreateLogGroup",
"logs:CreateLogStream",
"logs:PutLogEvents",
"logs:DescribeLogStreams"
],
"Resource": [
"arn:aws:logs:*:*:*"
]
}
]
}
```
------
Kebijakan ini memiliki satu pernyataan yang memberikan izin untuk membuat grup log dan pengaliran log, untuk mengunggah log acara ke pengaliran log, dan daftar detail tentang pengaliran log.
Karakter wildcard (\$1) di akhir nilai `Resource` berarti bahwa pernyataan memungkinkan izin untuk tindakan `logs:CreateLogGroup`, `logs:CreateLogStream`, `logs:PutLogEvents`, dan `logs:DescribeLogStreams` di setiap grup log. Untuk membatasi izin ini ke grup log tertentu, ganti karakter wildcard (\$1) di ARN sumber daya dengan ARN grup log tertentu. Untuk informasi selengkapnya tentang bagian-bagian dalam pernyataan kebijakan IAM, lihat [Referensi Elemen Kebijakan IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/AccessPolicyLanguage_ElementDescriptions.html) dalam *Panduan Pengguna IAM*. Untuk daftar yang menampilkan semua tindakan CloudWatch Log, lihat[CloudWatch Referensi izin log](permissions-reference-cwl.md).
## Izin diperlukan untuk menggunakan konsol CloudWatch
Agar pengguna dapat bekerja dengan CloudWatch Log di CloudWatch konsol, pengguna tersebut harus memiliki seperangkat izin minimum yang memungkinkan pengguna mendeskripsikan AWS sumber daya lain di AWS akun mereka. Untuk menggunakan CloudWatch Log di CloudWatch konsol, Anda harus memiliki izin dari layanan berikut:
+ CloudWatch
+ CloudWatch Log
+ OpenSearch Layanan
+ IAM
+ Kinesis
+ Lambda
+ Amazon S3
Jika Anda membuat kebijakan IAM yang lebih ketat dari izin minimum yang diperlukan, konsol tidak akan berfungsi sebagaimana dimaksudkan untuk pengguna dengan kebijakan IAM tersebut. Untuk memastikan bahwa pengguna tersebut masih dapat menggunakan CloudWatch konsol, lampirkan juga kebijakan `CloudWatchReadOnlyAccess` terkelola ke pengguna, seperti yang dijelaskan dalam[AWS kebijakan terkelola (standar) untuk CloudWatch Log](#managed-policies-cwl).
Anda tidak perlu mengizinkan izin konsol minimum untuk pengguna yang melakukan panggilan hanya ke AWS CLI atau API CloudWatch Log.
Set lengkap izin yang diperlukan untuk bekerja dengan CloudWatch konsol untuk pengguna yang tidak menggunakan konsol untuk mengelola langganan log adalah:
+ jam tangan awan: GetMetricData
+ jam tangan awan: ListMetrics
+ log: CancelExportTask
+ log: CreateExportTask
+ log: CreateLogGroup
+ log: CreateLogStream
+ log: DeleteLogGroup
+ log: DeleteLogStream
+ log: DeleteMetricFilter
+ log: DeleteQueryDefinition
+ log: DeleteRetentionPolicy
+ log: DeleteSubscriptionFilter
+ log: DescribeExportTasks
+ log: DescribeLogGroups
+ log: DescribeLogStreams
+ log: DescribeMetricFilters
+ log: DescribeQueryDefinitions
+ log: DescribeQueries
+ log: DescribeSubscriptionFilters
+ log: FilterLogEvents
+ log: GetLogEvents
+ log: GetLogGroupFields
+ log: GetLogRecord
+ log: GetQueryResults
+ log: PutMetricFilter
+ log: PutQueryDefinition
+ log: PutRetentionPolicy
+ log: StartQuery
+ log: StopQuery
+ log: PutSubscriptionFilter
+ log: TestMetricFilter
Untuk pengguna yang juga akan menggunakan konsol untuk mengelola langganan log, izin berikut juga diperlukan:
+ es: DescribeElasticsearchDomain
+ es: ListDomainNames
+ saya: AttachRolePolicy
+ saya: CreateRole
+ saya: GetPolicy
+ saya: GetPolicyVersion
+ saya: GetRole
+ saya: ListAttachedRolePolicies
+ saya: ListRoles
+ kinesis: DescribeStreams
+ kinesis: ListStreams
+ lambda: AddPermission
+ lambda: CreateFunction
+ lambda: GetFunctionConfiguration
+ lambda: ListAliases
+ lambda: ListFunctions
+ lambda: ListVersionsByFunction
+ lambda: RemovePermission
+ s3: ListBuckets
## AWS kebijakan terkelola (standar) untuk CloudWatch Log
AWS mengatasi banyak kasus penggunaan umum dengan menyediakan kebijakan IAM mandiri yang dibuat dan dikelola oleh. AWS Kebijakan terkelola memberikan izin yang diperlukan untuk kasus penggunaan umum sehingga Anda tidak perlu menyelidiki izin apa yang diperlukan. Untuk informasi selengkapnya, lihat [Kebijakan Terkelola AWS](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_managed-vs-inline.html#aws-managed-policies) dalam *Panduan Pengguna IAM*.
Kebijakan AWS terkelola berikut, yang dapat Anda lampirkan ke pengguna dan peran di akun Anda, khusus untuk CloudWatch Log:
+ **CloudWatchLogsFullAccess**— Memberikan akses penuh ke CloudWatch Log.
+ **CloudWatchLogsReadOnlyAccess**— Memberikan akses hanya-baca ke Log. CloudWatch
### CloudWatchLogsFullAccess
**CloudWatchLogsFullAccess**Kebijakan ini memberikan akses penuh ke CloudWatch Log. Kebijakan ini menyertakan `cloudwatch:GenerateQueryResultsSummary` izin `cloudwatch:GenerateQuery` dan, sehingga pengguna dengan kebijakan ini dapat menghasilkan string kueri [Wawasan CloudWatch Log](https://docs.aws.amazon.com/AmazonCloudWatch/latest/logs/AnalyzingLogData.html) dari prompt bahasa alami. Untuk melihat isi lengkap kebijakan, lihat [CloudWatchLogsFullAccess](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/CloudWatchLogsFullAccess.html)di *Panduan Referensi Kebijakan AWS Terkelola*.
### CloudWatchLogsReadOnlyAccess
**CloudWatchLogsReadOnlyAccess**Kebijakan ini memberikan akses hanya-baca ke Log. CloudWatch Ini menyertakan `cloudwatch:GenerateQuery` dan `cloudwatch:GenerateQueryResultsSummary` izin, sehingga pengguna dengan kebijakan ini dapat menghasilkan string kueri [Wawasan CloudWatch Log](https://docs.aws.amazon.com/AmazonCloudWatch/latest/logs/AnalyzingLogData.html) dari prompt bahasa alami. Untuk melihat isi lengkap kebijakan, lihat [CloudWatchLogsReadOnlyAccess](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/CloudWatchLogsReadOnlyAccess.html)di *Panduan Referensi Kebijakan AWS Terkelola*.
### CloudWatchOpenSearchDashboardsFullAccess
**CloudWatchOpenSearchDashboardsFullAccess**Kebijakan ini memberikan akses untuk membuat, mengelola, dan menghapus integrasi dengan OpenSearch Service, dan untuk membuat hapus dan mengelola dasbor log vended dalam integrasi tersebut. Untuk informasi selengkapnya, lihat [Analisis dengan Amazon OpenSearch Service](CloudWatchLogs-OpenSearch-Dashboards.md).
Untuk melihat isi lengkap kebijakan, lihat [CloudWatchOpenSearchDashboardsFullAccess](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/CloudWatchOpenSearchDashboardsFullAccess.html)di *Panduan Referensi Kebijakan AWS Terkelola*.
### CloudWatchOpenSearchDashboardAccess
**CloudWatchOpenSearchDashboardAccess**Kebijakan ini memberikan akses untuk melihat dasbor log vended yang dibuat dengan analitik. Amazon OpenSearch Service Untuk informasi selengkapnya, lihat [Analisis dengan Amazon OpenSearch Service](CloudWatchLogs-OpenSearch-Dashboards.md).
**penting**
Selain memberikan kebijakan ini, agar peran atau pengguna dapat melihat dasbor log penjual otomatis, Anda juga harus menentukannya saat membuat integrasi dengan Layanan. OpenSearch Untuk informasi selengkapnya, lihat [Langkah 1: Buat integrasi dengan OpenSearch Layanan](OpenSearch-Dashboards-Integrate.md).
Untuk melihat isi lengkap kebijakan, lihat [CloudWatchOpenSearchDashboardAccess](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/CloudWatchOpenSearchDashboardAccess.html)di *Panduan Referensi Kebijakan AWS Terkelola*.
#### CloudWatchLogsCrossAccountSharingConfiguration
**CloudWatchLogsCrossAccountSharingConfiguration**Kebijakan ini memberikan akses untuk membuat, mengelola, dan melihat tautan Pengelola Akses Observabilitas untuk berbagi sumber CloudWatch Log antar akun. Untuk informasi lebih lanjut, lihat [ CloudWatch observabilitas lintas akun](https://docs.aws.amazon.com/AmazonCloudWatch/latest/monitoring/CloudWatch-Unified-Cross-Account.html).
Untuk melihat isi lengkap kebijakan, lihat [CloudWatchLogsCrossAccountSharingConfiguration](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/CloudWatchLogsCrossAccountSharingConfiguration.html)di *Panduan Referensi Kebijakan AWS Terkelola*.
#### CloudWatchLogsAPIKeyAkses
Kebijakan **CloudWatchLogsAPIKeyAccess** memungkinkan otentikasi kunci CloudWatch Logs API dan konsumsi log terenkripsi. Kebijakan ini memberikan izin untuk mengautentikasi menggunakan token pembawa dan menulis peristiwa log ke Log, dengan AWS KMS izin tambahan untuk mendekripsi dan membuat kunci data saat CloudWatch log dienkripsi.
Kebijakan ini memberikan izin berikut:
+ `logs`— Memungkinkan prinsipal untuk mengautentikasi melalui token pembawa kunci API dan menulis peristiwa log ke aliran Log. CloudWatch
+ `kms`— Memungkinkan prinsipal membaca metadata kunci, menghasilkan AWS KMS kunci data untuk enkripsi, dan mendekripsi data. Izin ini mendukung CloudWatch Log terenkripsi dengan memungkinkan layanan mengenkripsi data log menggunakan kunci yang dikelola pelanggan. AWS KMS Akses dibatasi untuk operasi yang dipanggil melalui layanan CloudWatch Log.
Untuk melihat detail selengkapnya tentang kebijakan, termasuk versi terbaru dari dokumen kebijakan JSON, lihat [CloudWatchLogsAPIKeyAkses](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/CloudWatchLogsAPIKeyAccess.html) di *Panduan Referensi Kebijakan AWS Terkelola*.
### CloudWatch Log pembaruan ke kebijakan AWS terkelola
Lihat detail tentang pembaruan kebijakan AWS terkelola untuk CloudWatch Log sejak layanan ini mulai melacak perubahan ini. Untuk peringatan otomatis tentang perubahan pada halaman ini, berlangganan umpan RSS di halaman riwayat Dokumen CloudWatch Log.
| Ubah | Deskripsi | Date |
| --- | --- | --- |
| [CloudWatchLogsAPIKeyAkses](#managed-policies-cwl-CloudWatchLogsAPIKeyAccess) — Kebijakan baru. | CloudWatch Log menambahkan **CloudWatchLogsAPIKeyAccess** kebijakan terkelola baru. Kebijakan ini memungkinkan otentikasi kunci API CloudWatch Log dan konsumsi log terenkripsi, memberikan izin untuk mengautentikasi menggunakan token pembawa dan menulis peristiwa log ke Log. CloudWatch | Februari 17, 2026 |
| [CloudWatchLogsFullAccess](#managed-policies-cwl-CloudWatchLogsFullAccess)— Perbarui ke kebijakan yang ada. | CloudWatch Log menambahkan izin ke **CloudWatchLogsFullAccess**. Izin untuk tindakan administrasi observabilitas ditambahkan untuk memungkinkan akses hanya-baca ke pipeline telemetri dan integrasi tabel S3. | Desember 02, 2025 |
| [CloudWatchLogsReadOnlyAccess](#managed-policies-cwl-CloudWatchLogsReadOnlyAccess)— Perbarui ke kebijakan yang ada. | CloudWatch Log menambahkan izin ke **CloudWatchLogsReadOnlyAccess**. Izin untuk tindakan administrasi observabilitas ditambahkan untuk memungkinkan akses hanya-baca ke pipeline telemetri dan integrasi tabel S3. | Desember 02, 2025 |
| [CloudWatchLogsFullAccess](#managed-policies-cwl-CloudWatchLogsFullAccess)— Perbarui ke kebijakan yang ada. | CloudWatch Log menambahkan izin ke **CloudWatchLogsFullAccess**. Izin untuk `cloudwatch:GenerateQueryResultsSummary` ditambahkan untuk memungkinkan pembuatan ringkasan bahasa alami dari hasil kueri. | Mei 20, 2025 |
| [CloudWatchLogsReadOnlyAccess](#managed-policies-cwl-CloudWatchLogsReadOnlyAccess)— Perbarui ke kebijakan yang ada. | CloudWatch Log menambahkan izin ke **CloudWatchLogsReadOnlyAccess**. Izin untuk `cloudwatch:GenerateQueryResultsSummary` ditambahkan untuk memungkinkan pembuatan ringkasan bahasa alami dari hasil kueri. | Mei 20, 2025 |
| [CloudWatchLogsFullAccess](#managed-policies-cwl-CloudWatchLogsFullAccess)— Perbarui ke kebijakan yang ada. | CloudWatch Log menambahkan izin ke **CloudWatchLogsFullAccess**. Izin untuk Amazon OpenSearch Service dan IAM ditambahkan, untuk mengaktifkan integrasi CloudWatch Log dengan OpenSearch Layanan untuk beberapa fitur. | Desember 1, 2024 |
| [CloudWatchOpenSearchDashboardsFullAccess](#managed-policies-cwl-CloudWatchOpenSearchDashboardsFullAccess)— Kebijakan IAM baru. | CloudWatch Log menambahkan kebijakan IAM baru, **CloudWatchOpenSearchDashboardsFullAccess**.- Kebijakan ini memberikan akses untuk membuat, mengelola, dan menghapus integrasi dengan OpenSearch Layanan, dan untuk membuat, mengelola, dan menghapus dasbor log vended dalam integrasi tersebut. Untuk informasi selengkapnya, lihat [Analisis dengan Amazon OpenSearch Service](CloudWatchLogs-OpenSearch-Dashboards.md). | Desember 1, 2024 |
| [CloudWatchOpenSearchDashboardAccess](#managed-policies-cwl-CloudWatchOpenSearchDashboardAccess)— Kebijakan IAM baru. | CloudWatch Log menambahkan kebijakan IAM baru, **CloudWatchOpenSearchDashboardAccess**.- Kebijakan ini memberikan akses untuk melihat dasbor log vended yang didukung oleh. Amazon OpenSearch Service Untuk informasi selengkapnya, lihat [Analisis dengan Amazon OpenSearch Service](CloudWatchLogs-OpenSearch-Dashboards.md). | Desember 1, 2024 |
| [CloudWatchLogsFullAccess](#managed-policies-cwl-CloudWatchLogsFullAccess)— Perbarui ke kebijakan yang ada. | CloudWatch Log menambahkan izin ke **CloudWatchLogsFullAccess**. `cloudwatch:GenerateQuery`Izin ditambahkan, sehingga pengguna dengan kebijakan ini dapat menghasilkan string kueri [Wawasan CloudWatch Log](https://docs.aws.amazon.com/AmazonCloudWatch/latest/logs/AnalyzingLogData.html) dari prompt bahasa alami. | 27 November 2023 |
| [CloudWatchLogsReadOnlyAccess](#managed-policies-cwl-CloudWatchLogsReadOnlyAccess)— Perbarui ke kebijakan yang ada. | CloudWatch menambahkan izin untuk **CloudWatchLogsReadOnlyAccess**. `cloudwatch:GenerateQuery`Izin ditambahkan, sehingga pengguna dengan kebijakan ini dapat menghasilkan string kueri [Wawasan CloudWatch Log](https://docs.aws.amazon.com/AmazonCloudWatch/latest/logs/AnalyzingLogData.html) dari prompt bahasa alami. | 27 November 2023 |
| [CloudWatchLogsReadOnlyAccess](#managed-policies-cwl-CloudWatchLogsReadOnlyAccess) – Pembaruan ke kebijakan yang ada | CloudWatch Log menambahkan izin ke **CloudWatchLogsReadOnlyAccess**. Izin `logs:StartLiveTail` dan `logs:StopLiveTail` izin ditambahkan sehingga pengguna dengan kebijakan ini dapat menggunakan konsol untuk memulai dan menghentikan sesi ekor langsung CloudWatch Log. Untuk informasi selengkapnya, silakan lihat [ Menggunakan live tail untuk melihat log mendekati waktu nyata](https://docs.aws.amazon.com/AmazonCloudWatch/latest/logs/CloudWatchLogs_LiveTail.html). | 6 Juni 2023 |
| [CloudWatchLogsCrossAccountSharingConfiguration](#managed-policies-cwl-CloudWatchLogsCrossAccountSharingConfiguration) – Kebijakan baru | CloudWatch Log menambahkan kebijakan baru untuk memungkinkan Anda mengelola tautan pengamatan CloudWatch lintas akun yang berbagi grup CloudWatch log Log. Untuk informasi lebih lanjut, lihat [ CloudWatch observabilitas lintas akun](https://docs.aws.amazon.com/AmazonCloudWatch/latest/monitoring/CloudWatch-Unified-Cross-Account.html) | 27 November 2022 |
| [CloudWatchLogsReadOnlyAccess](#managed-policies-cwl-CloudWatchLogsReadOnlyAccess) – Pembaruan ke kebijakan yang ada | CloudWatch Log menambahkan izin ke **CloudWatchLogsReadOnlyAccess**. Izin `oam:ListSinks` dan `oam:ListAttachedLinks` izin ditambahkan sehingga pengguna dengan kebijakan ini dapat menggunakan konsol untuk melihat data yang dibagikan dari akun sumber dalam pengamatan CloudWatch lintas akun. | 27 November 2022 |
### Contoh kebijakan yang dikelola pelanggan
Anda dapat membuat kebijakan IAM kustom Anda sendiri untuk mengizinkan izin untuk tindakan dan sumber CloudWatch daya Log. Anda dapat menyematkan kebijakan khusus ini untuk pengguna atau grup yang memerlukan izin tersebut.
Di bagian ini, Anda dapat menemukan contoh kebijakan pengguna yang memberikan izin untuk berbagai tindakan CloudWatch Log. Kebijakan ini berfungsi saat Anda menggunakan CloudWatch Logs API, AWS SDKs, atau file AWS CLI.
**Topics**
+ [Contoh 1: Izinkan akses penuh ke CloudWatch Log](#w2aac59c15c15c23c19b9)
+ [Contoh 2: Izinkan akses hanya-baca ke Log CloudWatch](#w2aac59c15c15c23c19c11)
+ [Contoh 3: Izinkan akses ke satu grup log](#w2aac59c15c15c23c19c13)
#### Contoh 1: Izinkan akses penuh ke CloudWatch Log
Kebijakan berikut memungkinkan pengguna mengakses semua tindakan CloudWatch Log.
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Action": [
"logs:*"
],
"Effect": "Allow",
"Resource": "*"
}
]
}
```
------
#### Contoh 2: Izinkan akses hanya-baca ke Log CloudWatch
AWS menyediakan **CloudWatchLogsReadOnlyAccess**kebijakan yang memungkinkan akses hanya-baca ke data CloudWatch Log. Kebijakan ini mencakup izin berikut.
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Action": [
"logs:Describe*",
"logs:Get*",
"logs:List*",
"logs:StartQuery",
"logs:StopQuery",
"logs:TestMetricFilter",
"logs:FilterLogEvents",
"logs:StartLiveTail",
"logs:StopLiveTail",
"cloudwatch:GenerateQuery"
],
"Effect": "Allow",
"Resource": "*"
}
]
}
```
------
#### Contoh 3: Izinkan akses ke satu grup log
Kebijakan berikut mengizinkan pengguna untuk membaca dan menulis log acara dalam satu grup log tertentu.
**penting**
`:*`Di akhir nama grup log di `Resource` baris diperlukan untuk menunjukkan bahwa kebijakan berlaku untuk semua aliran log di grup log ini. Jika Anda menghilangkan`:*`, kebijakan tidak akan diberlakukan.
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement":[
{
"Action": [
"logs:CreateLogStream",
"logs:DescribeLogStreams",
"logs:PutLogEvents",
"logs:GetLogEvents"
],
"Effect": "Allow",
"Resource": "arn:aws:logs:us-west-2:123456789012:log-group:SampleLogGroupName:*"
}
]
}
```
------
### Menggunakan penandaan dan kebijakan IAM untuk mengendalikan di tingkat grup log
Anda dapat memberi pengguna akses ke grup log tertentu serta mencegah mereka mengakses grup log lainnya. Untuk melakukannya, beri tanda grup log Anda dan gunakan kebijakan IAM yang merujuk ke tanda tersebut. Untuk menerapkan tag ke grup log, Anda harus memiliki `logs:TagLogGroup` izin `logs:TagResource` atau izin. Ini berlaku baik jika Anda menetapkan tag ke grup log saat Anda membuatnya. atau menetapkannya nanti.
Untuk informasi selengkapnya tentang penandaan grup log, lihat [Tandai grup log di Amazon CloudWatch Logs](Working-with-log-groups-and-streams.md#log-group-tagging).
Ketika Anda menandai grup log, Anda kemudian dapat memberikan kebijakan IAM kepada pengguna untuk mengizinkan akses hanya ke grup log dengan tanda tertentu. Sebagai contoh, pernyataan kebijakan berikut ini memberikan akses ke hanya grup log dengan nilai `Green` untuk kunci tanda `Team`.
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Action": [
"logs:*"
],
"Effect": "Allow",
"Resource": "*",
"Condition": {
"StringLike": {
"aws:ResourceTag/Team": "Green"
}
}
}
]
}
```
------
Operasi **StopLiveTail**API **StopQuery**dan tidak berinteraksi dengan AWS sumber daya dalam pengertian tradisional. Mereka tidak mengembalikan data apa pun, memasukkan data apa pun, atau memodifikasi sumber daya dengan cara apa pun. Sebaliknya, mereka hanya beroperasi pada sesi ekor langsung tertentu atau kueri Wawasan CloudWatch Log tertentu, yang tidak dikategorikan sebagai sumber daya. Akibatnya, ketika Anda menentukan `Resource` bidang dalam kebijakan IAM untuk operasi ini, Anda harus menetapkan nilai `Resource` bidang sebagai`*`, seperti pada contoh berikut.
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement":
[ {
"Effect": "Allow",
"Action": [
"logs:StopQuery",
"logs:StopLiveTail"
],
"Resource": "*"
}
]
}
```
------
Untuk informasi selengkapnya tentang menggunakan pernyataan kebijakan IAM, lihat [Mengendalikan Akses Menggunakan Kebijakan](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_controlling.html) dalam *Panduan Pengguna IAM*.
# CloudWatch Referensi izin log
Ketika Anda mengatur [Kontrol akses](auth-and-access-control-cwl.md#access-control-cwl) dan menulis kebijakan izin yang dapat Anda lampirkan ke identitas IAM (kebijakan berbasis identitas), Anda dapat menggunakan tabel berikut sebagai referensi. Tabel mencantumkan setiap operasi API CloudWatch Log dan tindakan terkait yang dapat Anda berikan izin untuk melakukan tindakan. Anda menentukan tindakan di bidang `Action` kebijakan. Untuk `Resource` bidang, Anda dapat menentukan ARN grup log atau aliran log, atau menentukan `*` untuk mewakili semua sumber CloudWatch Log.
Anda dapat menggunakan kunci kondisi AWS-wide dalam kebijakan CloudWatch Log Anda untuk menyatakan kondisi. Untuk daftar lengkap kunci AWS-wide, lihat [Kunci Konteks Kondisi AWS Global dan IAM di Panduan](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_condition-keys.html) Pengguna *IAM*.
**catatan**
Untuk menentukan tindakan, gunakan awalan `logs:` diikuti dengan nama operasi API. Misalnya:`logs:CreateLogGroup`,`logs:CreateLogStream`, atau `logs:*` (untuk semua tindakan CloudWatch Log).
**CloudWatch Log operasi API dan izin yang diperlukan untuk tindakan**
| CloudWatch Log operasi API | Izin yang diperlukan (tindakan API) |
| --- | --- |
| [CancelExportTask](https://docs.aws.amazon.com/AmazonCloudWatchLogs/latest/APIReference/API_CancelExportTask.html) | `logs:CancelExportTask` Diperlukan untuk membatalkan tugas ekspor yang tertunda atau berjalan. |
| [CreateExportTask](https://docs.aws.amazon.com/AmazonCloudWatchLogs/latest/APIReference/API_CreateExportTask.html) | `logs:CreateExportTask` Diperlukan untuk mengekspor data dari grup log ke buket Amazon S3. |
| [CreateLogGroup](https://docs.aws.amazon.com/AmazonCloudWatchLogs/latest/APIReference/API_CreateLogGroup.html) | `logs:CreateLogGroup` Diperlukan untuk membuat grup log baru. |
| [CreateLogStream](https://docs.aws.amazon.com/AmazonCloudWatchLogs/latest/APIReference/API_CreateLogStream.html) | `logs:CreateLogStream` Diperlukan untuk membuat aliran log baru dalam grup log. |
| [DeleteDestination](https://docs.aws.amazon.com/AmazonCloudWatchLogs/latest/APIReference/API_DeleteDestination.html) | `logs:DeleteDestination` Diperlukan untuk menghapus tujuan log dan menonaktifkan penyaring berlangganan apa pun. |
| [DeleteLogGroup](https://docs.aws.amazon.com/AmazonCloudWatchLogs/latest/APIReference/API_DeleteLogGroup.html) | `logs:DeleteLogGroup` Diperlukan untuk menghapus grup log dan semua peristiwa log yang diarsipkan yang terkait. |
| [DeleteLogStream](https://docs.aws.amazon.com/AmazonCloudWatchLogs/latest/APIReference/API_DeleteLogStream.html) | `logs:DeleteLogStream` Diperlukan untuk menghapus aliran log dan peristiwa log yang diarsipkan yang terkait. |
| [DeleteMetricFilter](https://docs.aws.amazon.com/AmazonCloudWatchLogs/latest/APIReference/API_DeleteMetricFilter.html) | `logs:DeleteMetricFilter` Diperlukan untuk menghapus penyaring metrik yang terkait dengan grup log. |
| [DeleteQueryDefinition](https://docs.aws.amazon.com/AmazonCloudWatchLogs/latest/APIReference/API_DeleteQueryDefinition.html) | `logs:DeleteQueryDefinition` Diperlukan untuk menghapus definisi kueri yang disimpan di Wawasan CloudWatch Log. |
| [DeleteResourcePolicy](https://docs.aws.amazon.com/AmazonCloudWatchLogs/latest/APIReference/API_DeleteResourcePolicy.html) | `logs:DeleteResourcePolicy` Diperlukan untuk menghapus kebijakan sumber daya CloudWatch Log. |
| [DeleteRetentionPolicy](https://docs.aws.amazon.com/AmazonCloudWatchLogs/latest/APIReference/API_DeleteRetentionPolicy.html) | `logs:DeleteRetentionPolicy` Diperlukan untuk menghapus kebijakan penyimpanan grup log. |
| [DeleteSubscriptionFilter](https://docs.aws.amazon.com/AmazonCloudWatchLogs/latest/APIReference/API_DeleteSubscriptionFilter.html) | `logs:DeleteSubscriptionFilter` Diperlukan untuk menghapus penyaring berlangganan yang terkait dengan grup log. |
| [DescribeDestinations](https://docs.aws.amazon.com/AmazonCloudWatchLogs/latest/APIReference/API_DescribeDestinations.html) | `logs:DescribeDestinations` Diperlukan untuk melihat semua destinasi yang terkait dengan akun. |
| [DescribeExportTasks](https://docs.aws.amazon.com/AmazonCloudWatchLogs/latest/APIReference/API_DescribeExportTasks.html) | `logs:DescribeExportTasks` Diperlukan untuk melihat semua tugas ekspor yang terkait dengan akun. |
| [DescribeLogGroups](https://docs.aws.amazon.com/AmazonCloudWatchLogs/latest/APIReference/API_DescribeLogGroups.html) | `logs:DescribeLogGroups` Diperlukan untuk melihat semua grup log yang terkait dengan akun. |
| [DescribeLogStreams](https://docs.aws.amazon.com/AmazonCloudWatchLogs/latest/APIReference/API_DescribeLogStreams.html) | `logs:DescribeLogStreams` Diperlukan untuk melihat semua aliran log yang terkait dengan grup log. |
| [DescribeMetricFilters](https://docs.aws.amazon.com/AmazonCloudWatchLogs/latest/APIReference/API_DescribeMetricFilters.html) | `logs:DescribeMetricFilters` Diperlukan untuk melihat semua metrik yang terkait dengan grup log. |
| [DescribeQueryDefinitions](https://docs.aws.amazon.com/AmazonCloudWatchLogs/latest/APIReference/API_DescribeQueryDefinitions.html) | `logs:DescribeQueryDefinitions` Diperlukan untuk melihat daftar definisi kueri yang disimpan di Wawasan CloudWatch Log. |
| [DescribeQueries](https://docs.aws.amazon.com/AmazonCloudWatchLogs/latest/APIReference/API_DescribeQueries.html) | `logs:DescribeQueries` Diperlukan untuk melihat daftar kueri Wawasan CloudWatch Log yang dijadwalkan, dijalankan, atau baru-baru ini dikeluarkan. |
| [DescribeResourcePolicies](https://docs.aws.amazon.com/AmazonCloudWatchLogs/latest/APIReference/API_DescribeResourcePolicies.html) | `logs:DescribeResourcePolicies` Diperlukan untuk melihat daftar kebijakan sumber daya CloudWatch Log. |
| [DescribeSubscriptionFilters](https://docs.aws.amazon.com/AmazonCloudWatchLogs/latest/APIReference/API_DescribeSubscriptionFilters.html) | `logs:DescribeSubscriptionFilters` Diperlukan untuk melihat semua penyaring berlangganan yang terkait dengan grup log. |
| [FilterLogEvents](https://docs.aws.amazon.com/AmazonCloudWatchLogs/latest/APIReference/API_FilterLogEvents.html) | `logs:FilterLogEvents` Diperlukan untuk mengurutkan peristiwa log berdasarkan pola penyaringan grup log. |
| [GetLogEvents](https://docs.aws.amazon.com/AmazonCloudWatchLogs/latest/APIReference/API_GetLogEvents.html) | `logs:GetLogEvents` Diperlukan untuk mengambil kejadian log dari aliran log. |
| [GetLogGroupFields](https://docs.aws.amazon.com/AmazonCloudWatchLogs/latest/APIReference/API_GetLogGroupFields.html) | `logs:GetLogGroupFields` Diperlukan untuk mengambil daftar kolom yang disertakan dalam peristiwa log di grup log. |
| [GetLogRecord](https://docs.aws.amazon.com/AmazonCloudWatchLogs/latest/APIReference/API_GetLogRecord.html) | `logs:GetLogRecord` Diperlukan untuk mengambil rincian dari satu peristiwa log. |
| [GetLogObject](https://docs.aws.amazon.com/AmazonCloudWatchLogs/latest/APIReference/API_GetLogObject.html) | `logs:GetLogRecord` Diperlukan untuk mengambil konten sebagian besar peristiwa log yang telah dicerna melalui API. PutOpenTelemetryLogs |
| [GetQueryResults](https://docs.aws.amazon.com/AmazonCloudWatchLogs/latest/APIReference/API_GetQueryResults.html) | `logs:GetQueryResults` Diperlukan untuk mengambil hasil kueri Wawasan CloudWatch Log. |
| ListEntitiesForLogGroup (CloudWatch izin khusus konsol) | `logs:ListEntitiesForLogGroup` Diperlukan untuk menemukan entitas yang terkait dengan grup log. Diperlukan untuk menjelajahi log terkait di dalam CloudWatch konsol. |
| ListLogGroupsForEntity (CloudWatch izin khusus konsol) | `logs:ListLogGroupsForEntity` Diperlukan untuk menemukan grup log yang terkait dengan entitas. Diperlukan untuk menjelajahi log terkait di dalam CloudWatch konsol. |
| [ListTagsLogGroup](https://docs.aws.amazon.com/AmazonCloudWatchLogs/latest/APIReference/API_ListTagsLogGroup.html) | `logs:ListTagsLogGroup` Diperlukan untuk membuat daftar tanda yang terkait dengan grup log. |
| [ListLogGroups](https://docs.aws.amazon.com/AmazonCloudWatch/latest/APIReference/API_API_ListLogGroups.html) | `logs:DescribeLogGroups` Diperlukan untuk melihat semua grup log yang terkait dengan akun. |
| [PutDestination](https://docs.aws.amazon.com/AmazonCloudWatchLogs/latest/APIReference/API_PutDestination.html) | `logs:PutDestination` Diperlukan untuk membuat atau memperbarui aliran log tujuan (seperti aliran Kinesis). |
| [PutDestinationPolicy](https://docs.aws.amazon.com/AmazonCloudWatchLogs/latest/APIReference/API_PutDestinationPolicy.html) | `logs:PutDestinationPolicy` Diperlukan untuk membuat atau memperbarui kebijakan akses yang terkait dengan tujuan log yang sudah ada. |
| [PutLogEvents](https://docs.aws.amazon.com/AmazonCloudWatchLogs/latest/APIReference/API_PutLogEvents.html) | `logs:PutLogEvents` Diperlukan untuk mengunggah kumpulan peristiwa log ke aliran log. |
| [PutMetricFilter](https://docs.aws.amazon.com/AmazonCloudWatchLogs/latest/APIReference/API_PutMetricFilter.html) | `logs:PutMetricFilter` Diperlukan untuk membuat atau memperbarui penyaring metrik dan mengaitkannya dengan grup log. |
| [PutQueryDefinition](https://docs.aws.amazon.com/AmazonCloudWatchLogs/latest/APIReference/API_PutQueryDefinition.html) | `logs:PutQueryDefinition` Diperlukan untuk menyimpan kueri di Wawasan CloudWatch Log, termasuk kueri tersimpan dengan parameter. |
| [PutResourcePolicy](https://docs.aws.amazon.com/AmazonCloudWatchLogs/latest/APIReference/API_PutResourcePolicy.html) | `logs:PutResourcePolicy` Diperlukan untuk membuat kebijakan sumber daya CloudWatch Log. |
| [PutRetentionPolicy](https://docs.aws.amazon.com/AmazonCloudWatchLogs/latest/APIReference/API_PutRetentionPolicy.html) | `logs:PutRetentionPolicy` Diperlukan untuk mengatur jumlah hari untuk menyimpan peristiwa (penyimpanan) log dalam grup log. |
| [PutSubscriptionFilter](https://docs.aws.amazon.com/AmazonCloudWatchLogs/latest/APIReference/API_PutSubscriptionFilter.html) | `logs:PutSubscriptionFilter` Diperlukan untuk membuat atau memperbarui penyaring berlangganan dan mengaitkannya dengan grup log. |
| [StartQuery](https://docs.aws.amazon.com/AmazonCloudWatchLogs/latest/APIReference/API_StartQuery.html) | `logs:StartQuery` Diperlukan untuk memulai kueri Wawasan CloudWatch Log. Untuk menjalankan kueri yang disimpan dengan parameter, Anda juga perlu`logs:DescribeQueryDefinitions`. |
| [StopQuery](https://docs.aws.amazon.com/AmazonCloudWatchLogs/latest/APIReference/API_StopQuery.html) | `logs:StopQuery` Diperlukan untuk menghentikan kueri Wawasan CloudWatch Log yang sedang berlangsung. |
| [TagLogGroup](https://docs.aws.amazon.com/AmazonCloudWatchLogs/latest/APIReference/API_TagLogGroup.html) | `logs:TagLogGroup` Perlu menambahkan atau memperbarui tag grup log. |
| [TestMetricFilter](https://docs.aws.amazon.com/AmazonCloudWatchLogs/latest/APIReference/API_TestMetricFilter.html) | `logs:TestMetricFilter` Diperlukan untuk menguji pola penyaringan terhadap sampel pesan peristiwa log. |
# Menggunakan peran terkait layanan untuk Log CloudWatch
Amazon CloudWatch Logs menggunakan AWS Identity and Access Management peran [terkait layanan](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html) (IAM). Peran terkait layanan adalah jenis unik peran IAM yang ditautkan langsung ke Log. CloudWatch Peran terkait layanan telah ditentukan sebelumnya oleh CloudWatch Log dan menyertakan semua izin yang diperlukan layanan untuk memanggil AWS layanan lain atas nama Anda.
Peran terkait layanan membuat pengaturan CloudWatch Log lebih efisien karena Anda tidak diharuskan menambahkan izin yang diperlukan secara manual. CloudWatch Log mendefinisikan izin peran terkait layanan, dan kecuali ditentukan lain, hanya CloudWatch Log yang dapat mengambil peran tersebut. Izin yang ditentukan mencakup kebijakan kepercayaan dan kebijakan izin. Kebijakan izin itu tidak dapat dilampirkan ke entitas IAM lainnya.
Untuk informasi tentang layanan lain yang mendukung peran yang terhubung dengan layanan, lihat [AWS Layanan yang Bekerja dengan IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html). Cari layanan yang memiliki **Yes **di kolom **Service-Linked Role**. Pilih **Ya** dengan sebuah tautan untuk melihat dokumentasi peran terkait layanan untuk layanan tersebut.
## Izin peran terkait layanan untuk Log CloudWatch
CloudWatch Log menggunakan nama peran terkait layanan. **AWSServiceRoleForLogDelivery** CloudWatch Log menggunakan peran terkait layanan ini untuk menulis log langsung ke Firehose. Untuk informasi selengkapnya, lihat [Aktifkan pencatatan dari AWS layanan](AWS-logs-and-resource-policy.md).
Peran tertaut layanan **AWSServiceRoleForLogDelivery** memercayai layanan berikut untuk mengambil peran tersebut:
+ `logs.amazonaws.com`
Kebijakan izin peran memungkinkan CloudWatch Log untuk menyelesaikan tindakan berikut pada sumber daya yang ditentukan:
+ Tindakan: `firehose:PutRecord` dan `firehose:PutRecordBatch` pada semua aliran Firehose yang memiliki tag dengan `LogDeliveryEnabled` kunci dengan nilai. `True` Tag ini secara otomatis dilampirkan ke aliran Firehose saat Anda membuat langganan untuk mengirimkan log ke Firehose.
Anda harus mengonfigurasi izin untuk mengizinkan entitas IAM untuk membuat, mengedit, atau menghapus peran yang terhubung dengan layanan. Entitas ini dapat berupa pengguna, grup, atau peran. Untuk informasi lebih lanjut, lihat [Izin Peran yang Terhubung dengan Layanan](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#service-linked-role-permissions) di *Panduan Pengguna IAM*.
## Membuat peran terkait layanan untuk Log CloudWatch
Anda tidak perlu membuat peran yang terhubung dengan layanan secara manual. Saat Anda menyiapkan log untuk dikirim langsung ke aliran Firehose di Konsol Manajemen AWS, the, atau AWS API AWS CLI, CloudWatch Log akan membuat peran terkait layanan untuk Anda.
Jika Anda menghapus peran terkait layanan ini, dan ingin membuatnya lagi, Anda dapat mengulangi proses yang sama untuk membuat kembali peran tersebut di akun Anda. Saat Anda mengatur kembali log untuk dikirim langsung ke aliran Firehose, CloudWatch Log akan membuat peran terkait layanan untuk Anda lagi.
## Mengedit peran terkait layanan untuk Log CloudWatch
CloudWatch Log tidak memungkinkan Anda untuk mengedit **AWSServiceRoleForLogDelivery**, atau peran terkait layanan lainnya, setelah Anda membuatnya. Anda tidak dapat mengubah nama peran karena berbagai entitas mungkin mereferensikan peran tersebut. Namun, Anda dapat menyunting penjelasan peran menggunakan IAM. Untuk informasi selengkapnya, lihat [Mengedit Peran Tertaut Layanan](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#edit-service-linked-role) dalam *Panduan Pengguna IAM*.
## Menghapus peran terkait layanan untuk Log CloudWatch
Jika Anda tidak perlu lagi menggunakan fitur atau layanan yang memerlukan peran terkait layanan, sebaiknya hapus peran tersebut. Dengan begitu, Anda tidak memiliki entitas yang tidak digunakan yang tidak dipantau atau dipelihara secara aktif. Tetapi, Anda harus membersihkan sumber daya peran yang terhubung dengan layanan sebelum menghapusnya secara manual.
**catatan**
Jika layanan CloudWatch Log menggunakan peran saat Anda mencoba menghapus sumber daya, penghapusan mungkin gagal. Jika hal itu terjadi, tunggu beberapa menit dan coba mengoperasikannya lagi.
**Untuk menghapus sumber daya CloudWatch Log yang digunakan oleh **AWSServiceRoleForLogDelivery**peran terkait layanan**
+ Berhenti mengirim log langsung ke aliran Firehose.
**Untuk menghapus peran tertaut layanan secara manual menggunakan IAM**
Gunakan konsol IAM, the AWS CLI, atau AWS API untuk menghapus peran **AWSServiceRoleForLogDelivery**terkait layanan. Untuk informasi selengkapnya, lihat [Menghapus Peran yang Terhubung dengan Layanan](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#delete-service-linked-role)
### Wilayah yang Didukung untuk CloudWatch peran terkait layanan Log
CloudWatch Log mendukung penggunaan peran terkait layanan di semua AWS Wilayah tempat layanan tersedia. Untuk informasi selengkapnya, lihat [CloudWatch Logs Regions and Endpoints](https://docs.aws.amazon.com/general/latest/gr/rande.html#cwl_region).
# CloudWatch Memutakhirkan log ke peran terkait AWS layanan
Lihat detail tentang pembaruan peran terkait AWS layanan untuk CloudWatch Log sejak layanan ini mulai melacak perubahan ini. Untuk peringatan otomatis tentang perubahan pada halaman ini, berlangganan umpan RSS di halaman riwayat Dokumen CloudWatch Log.
| Ubah | Deskripsi | Date |
| --- | --- | --- |
| [AWSServiceRoleForLogDelivery kebijakan peran terkait layanan — Pembaruan ke kebijakan](AWS-logs-infrastructure-Firehose.md) yang ada | CloudWatch Log mengubah izin dalam kebijakan IAM yang terkait dengan peran terkait **AWSServiceRoleForLogDelivery**layanan. Perubahan berikut dibuat: [\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/id_id/AmazonCloudWatch/latest/logs/cwl-slrpolicy-updates.html) | 15 Juli 2021 |
| CloudWatch Log mulai melacak perubahan | CloudWatch Log mulai melacak perubahan untuk kebijakan AWS terkelolanya. | 10 Juni 2021 |