Contributor Insights 日志组访问专用条件键

要在 Contributor Insights 中创建规则并查看其结果，用户必须具有 cloudwatch:PutInsightRule 权限。默认情况下，拥有该权限的用户可创建规则，对 CloudWatch Logs 内任意日志组进行分析并查看分析结果。结果中会包含对应日志组的贡献者洞察数据，这类数据可能含有敏感信息。

您可基于条件键编写 IAM 策略：仅授予用户针对指定日志组创建 Contributor Insights 规则的权限，同时禁止其访问其他日志组的数据。

有关 IAM 策略中 Condition 元素的更多信息，请参阅 IAM JSON 策略元素：条件。

了解 Contributor Insights 权限模型

Contributor Insights 相关操作使用 cloudwatch: IAM 权限命名空间。日志组相关操作使用 logs: 命名空间。Contributor Insights 在处理日志组数据时，不会校验、也不需要任何 logs: 开头的权限。

如果身份主体拥有 cloudwatch:PutInsightRule 与 cloudwatch:GetInsightRuleReport 权限，即可创建规则分析任意日志组并检索分析结果，即便该主体对这些日志组不具备任何 logs: 权限。

跨账户访问场景说明：若源账户已配置 AWS Organizations 链接用于共享日志组访问，监控账户内的身份主体仅需配置 cloudwatch:PutInsightRule 权限，即可创建指向源账户日志组的洞察规则。

限制 Contributor Insights 仅访问指定日志组

使用以下条件键，可限定身份主体创建 Contributor Insights 规则时能够指定的日志组范围：

下方策略仅允许针对名为 AllowedLogGroup 的日志组、名称前缀为 AllowedWildCard 的日志组创建 Contributor Insights 规则。禁止针对其余任意日志组新建规则。

JSON

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Sid": "AllowCertainLogGroups",
            "Effect": "Allow",
            "Action": "cloudwatch:PutInsightRule",
            "Resource": "arn:aws:cloudwatch:*:*:insight-rule/*",
            "Condition": {
                "ForAllValues:StringLike": {
                    "cloudwatch:requestInsightRuleLogGroups": [
                        "AllowedLogGroup",
                        "AllowedWildcard*"
                    ]
                }
            }
        }
    ]
}

下述策略默认允许为任意日志组创建洞察规则，但会显式禁止针对名为 ExplicitlyDeniedLogGroup 的日志组新建规则。

JSON

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Sid": "AllowInsightRulesOnLogGroupsByDefault",
            "Effect": "Allow",
            "Action": "cloudwatch:PutInsightRule",
            "Resource": "arn:aws:cloudwatch:*:*:insight-rule/*"
          
        },
        {
            "Sid": "ExplicitDenySomeLogGroups",
            "Effect": "Deny",
            "Action": "cloudwatch:PutInsightRule",
            "Resource": "arn:aws:cloudwatch:*:*:insight-rule/*",
            "Condition": {
                "ForAllValues:StringEqualsIgnoreCase": {
                    "cloudwatch:requestInsightRuleLogGroups": [
                        "/test/alpine/ExplicitlyDeniedLogGroup"
                    ]
                }
            }
        }
    ]
}

另一策略会拒绝所有目标日志组 ARN 路径包含 /production/ 的规则创建操作。

{
    "Version": "",
    "Statement": [
        {
            "Sid": "DenyProductionLogGroupsByARN",
            "Effect": "Deny",
            "Action": "cloudwatch:PutInsightRule",
            "Resource": "*",
            "Condition": {
                "ForAnyValue:StringLike": {
                    "cloudwatch:requestInsightRuleLogGroupARNs": [
                        "arn:aws:logs:*:*:log-group:*/production/*"
                    ]
                }
            }
        }
    ]
}

Contributor Insights 安全最佳实践

请遵循以下安全最佳实践，保障 Contributor Insights 配置安全。