Operationen Aktionen Permission-only Aktionen Ressourcentypen Bedingungsschlüssel

Aktionen, Ressourcen und Bedingungsschlüssel für Amazon CloudWatch Logs

Amazon CloudWatch Protokolle (Dienstpräfix: logs) stellt die folgenden dienstspezifischen Operationen, Ressourcen, Aktionen und Bedingungsschlüssel zur Verwendung in IAM-Berechtigungsrichtlinien bereit.

Referenzen:

Erfahren Sie, wie Sie diesen Service konfigurieren.
Zeigen Sie eine Liste der API-Operationen an, die für diesen Service verfügbar sind.
Erfahren Sie, wie Sie diesen Service und seine Ressourcen mithilfe von IAM-Berechtigungsrichtlinien schützen.
Sehen Sie sich das an Referenz zur programmatischen Serviceautorisierung für diesen Dienst.

Themen

Von Amazon definierte API-Operationen CloudWatch Logs
Von Amazon definierte Aktionen CloudWatch Logs
Permission-only Aktionen für Amazon CloudWatch Logs
Von Amazon definierte Ressourcentypen CloudWatch Logs
Bedingungsschlüssel für Amazon CloudWatch Logs

Von Amazon definierte API-Operationen CloudWatch Logs

In der folgenden Tabelle werden API-Operationen den IAM-Aktionen zugeordnet, die sie autorisieren. Es werden nur Bedingungsschlüssel aufgeführt, die statische Werte für die angegebene API und Aktion haben. Den vollständigen Satz der Bedingungsschlüssel, die von jeder Aktion unterstützt werden, finden Sie in der Tabelle „Aktionen“.

Operation	IAM-Aktion	Bedingungsschlüssel	Mögliche (n) Wert (e)	Zugriffsebene
AssociateKmsKey	logs:AssociateKmsKey			Schreiben
AssociateSourceToS3TableIntegration	logs:AssociateSourceToS3TableIntegration			Schreiben
CancelExportTask	logs:CancelExportTask			Schreiben
CancelImportTask	logs:CancelImportTask			Schreiben
CreateDelivery	logs:CreateDelivery			Schreiben
CreateDelivery	logs:TagResource			Taggen, Schreiben
CreateExportTask	logs:CreateExportTask			Schreiben
CreateImportTask	logs:CreateImportTask			Schreiben
CreateImportTask	iam:PassRole	iam:PassedToService	cloudtrail.amazonaws.com, logs.amazonaws.com	Schreiben
CreateLogAnomalyDetector	logs:CreateLogAnomalyDetector			Schreiben
CreateLogAnomalyDetector	logs:TagResource			Taggen, Schreiben
CreateLogGroup	logs:CreateLogGroup			Schreiben
	logs:TagLogGroup			Taggen, Schreiben
	logs:TagResource			Taggen, Schreiben
CreateLogStream	logs:CreateLogStream			Schreiben
CreateLookupTable	logs:CreateLookupTable			Schreiben
	logs:GetQueryResults			Lesen
	logs:TagResource			Taggen, Schreiben
CreateScheduledQuery	logs:CreateScheduledQuery			Schreiben
	logs:TagResource			Taggen, Schreiben
	iam:PassRole	iam:PassedToService	logs.amazonaws.com	Schreiben
DeleteAccountPolicy	logs:DeleteAccountPolicy			Schreiben
	logs:DeleteDataProtectionPolicy			Schreiben
	logs:DeleteIndexPolicy			Schreiben
	logs:DeleteRetentionPolicy			Schreiben
	logs:DeleteSubscriptionFilter			Schreiben
	logs:DeleteTransformer			Schreiben
DeleteDataProtectionPolicy	logs:DeleteDataProtectionPolicy			Schreiben
DeleteDelivery	logs:DeleteDelivery			Schreiben
DeleteDeliveryDestination	logs:DeleteDeliveryDestination			Schreiben
DeleteDeliveryDestinationPolicy	logs:DeleteDeliveryDestinationPolicy			Schreiben
DeleteDeliverySource	logs:DeleteDeliverySource			Schreiben
DeleteDestination	logs:DeleteDestination			Schreiben
DeleteIndexPolicy	logs:DeleteIndexPolicy			Schreiben
DeleteIntegration	logs:DeleteIntegration			Schreiben
DeleteLogAnomalyDetector	logs:DeleteLogAnomalyDetector			Schreiben
DeleteLogGroup	logs:DeleteLogGroup			Schreiben
DeleteLogStream	logs:DeleteLogStream			Schreiben
DeleteLookupTable	logs:DeleteLookupTable			Schreiben
DeleteMetricFilter	logs:DeleteMetricFilter			Schreiben
DeleteQueryDefinition	logs:DeleteQueryDefinition			Schreiben
DeleteResourcePolicy	logs:DeleteResourcePolicy			Verwaltung von Berechtigungen, Schreiben
DeleteRetentionPolicy	logs:DeleteRetentionPolicy			Schreiben
DeleteScheduledQuery	logs:DeleteScheduledQuery			Schreiben
DeleteSubscriptionFilter	logs:DeleteSubscriptionFilter			Schreiben
DeleteSyslogConfiguration	logs:DeleteSyslogConfiguration			Schreiben
DeleteTransformer	logs:DeleteTransformer			Schreiben
DescribeAccountPolicies	logs:DescribeAccountPolicies			Auflisten
DescribeConfigurationTemplates	logs:DescribeConfigurationTemplates			Auflisten
DescribeDeliveries	logs:DescribeDeliveries			Auflisten
DescribeDeliveryDestinations	logs:DescribeDeliveryDestinations			Auflisten
DescribeDeliverySources	logs:DescribeDeliverySources			Auflisten
DescribeDestinations	logs:DescribeDestinations			Auflisten
DescribeExportTasks	logs:DescribeExportTasks			Auflisten
DescribeFieldIndexes	logs:DescribeFieldIndexes			Auflisten
DescribeImportTaskBatches	logs:DescribeImportTaskBatches			Auflisten
DescribeImportTasks	logs:DescribeImportTasks			Auflisten
DescribeIndexPolicies	logs:DescribeIndexPolicies			Auflisten
DescribeLogGroups	logs:DescribeLogGroups			Auflisten
DescribeLogStreams	logs:DescribeLogStreams			Auflisten
DescribeLookupTables	logs:DescribeLookupTables			Auflisten
DescribeMetricFilters	logs:DescribeMetricFilters			Auflisten
DescribeQueries	logs:DescribeQueries			Auflisten
DescribeQueries	logs:FilterLogEvents			Lesen
DescribeQueryDefinitions	logs:DescribeQueryDefinitions			Auflisten
DescribeResourcePolicies	logs:DescribeResourcePolicies			Auflisten
DescribeSubscriptionFilters	logs:DescribeSubscriptionFilters			Auflisten
DisassociateKmsKey	logs:DisassociateKmsKey			Schreiben
DisassociateSourceFromS3TableIntegration	logs:DisassociateSourceFromS3TableIntegration			Schreiben
FilterLogEvents	logs:FilterLogEvents			Lesen
FilterLogEvents	logs:Unmask			Lesen
GetDataProtectionPolicy	logs:GetDataProtectionPolicy			Lesen
GetDelivery	logs:GetDelivery			Lesen
GetDeliveryDestination	logs:GetDeliveryDestination			Lesen
GetDeliveryDestinationPolicy	logs:GetDeliveryDestinationPolicy			Lesen
GetDeliverySource	logs:GetDeliverySource			Lesen
GetIntegration	logs:GetIntegration			Lesen
GetLogAnomalyDetector	logs:GetLogAnomalyDetector			Lesen
GetLogEvents	logs:GetLogEvents			Lesen
GetLogEvents	logs:Unmask			Lesen
GetLogFields	logs:GetLogFields			Lesen
GetLogGroupFields	logs:FilterLogEvents			Lesen
GetLogGroupFields	logs:GetLogGroupFields			Lesen
GetLogRecord	logs:FilterLogEvents			Lesen
	logs:GetLogRecord			Lesen
	logs:Unmask			Lesen
GetLookupTable	logs:GetLookupTable			Lesen
GetQueryResults	logs:FilterLogEvents			Lesen
	logs:GetQueryResults			Lesen
	logs:Unmask			Lesen
GetScheduledQuery	logs:GetScheduledQuery			Lesen
GetScheduledQueryHistory	logs:GetScheduledQueryHistory			Lesen
GetStorageTierPolicy	logs:GetStorageTierPolicy			Lesen
GetTransformer	logs:GetTransformer			Lesen
ListAggregateLogGroupSummaries	logs:ListAggregateLogGroupSummaries			Auflisten
ListAnomalies	logs:ListAnomalies			Auflisten
ListIntegrations	logs:ListIntegrations			Auflisten
ListLogAnomalyDetectors	logs:ListLogAnomalyDetectors			Auflisten
ListLogGroups	logs:DescribeLogGroups			Auflisten
ListLogGroups	logs:ListLogGroups			Auflisten
ListLogGroupsForQuery	logs:ListLogGroupsForQuery			Auflisten
ListScheduledQueries	logs:ListScheduledQueries			Auflisten
ListSourcesForS3TableIntegration	logs:ListSourcesForS3TableIntegration			Auflisten
ListSyslogConfigurations	logs:ListSyslogConfigurations			Auflisten
ListTagsForResource	logs:ListTagsForResource			Auflisten
ListTagsLogGroup	logs:ListTagsLogGroup			Auflisten
PutAccountPolicy	logs:PutAccountPolicy			Schreiben
	logs:PutDataProtectionPolicy			Schreiben
	logs:PutIndexPolicy			Schreiben
	logs:PutRetentionPolicy			Schreiben
	logs:PutSubscriptionFilter			Schreiben
	logs:PutTransformer			Schreiben
	iam:PassRole	iam:PassedToService	logs.amazonaws.com	Schreiben
PutBearerTokenAuthentication	logs:PutBearerTokenAuthentication			Schreiben
PutDataProtectionPolicy	logs:PutDataProtectionPolicy			Schreiben
PutDeliveryDestination	logs:PutDeliveryDestination			Schreiben
PutDeliveryDestination	logs:TagResource			Taggen, Schreiben
PutDeliveryDestinationPolicy	logs:PutDeliveryDestinationPolicy			Schreiben
PutDeliverySource	logs:PutDeliverySource			Schreiben
PutDeliverySource	logs:TagResource			Taggen, Schreiben
PutDestination	logs:PutDestination			Schreiben
	logs:TagResource			Taggen, Schreiben
	iam:PassRole	iam:PassedToService	logs.amazonaws.com	Schreiben
PutDestinationPolicy	logs:PutDestinationPolicy			Schreiben
PutIndexPolicy	logs:PutIndexPolicy			Schreiben
PutIntegration	logs:PutIntegration			Schreiben
PutLogEvents	logs:PutLogEvents			Schreiben
PutLogGroupDeletionProtection	logs:PutLogGroupDeletionProtection			Schreiben
PutMetricFilter	logs:PutMetricFilter			Schreiben
PutQueryDefinition	logs:PutQueryDefinition			Schreiben
PutResourcePolicy	logs:PutResourcePolicy			Verwaltung von Berechtigungen, Schreiben
PutRetentionPolicy	logs:PutRetentionPolicy			Schreiben
PutStorageTierPolicy	logs:PutStorageTierPolicy			Schreiben
PutSubscriptionFilter	logs:PutSubscriptionFilter			Schreiben
PutSubscriptionFilter	iam:PassRole	iam:PassedToService	logs.amazonaws.com	Schreiben
PutSyslogConfiguration	logs:PutSyslogConfiguration			Schreiben
PutTransformer	logs:PutTransformer			Schreiben
StartQuery	logs:DescribeLogGroups			Auflisten
	logs:DescribeQueryDefinitions			Auflisten
	logs:FilterLogEvents			Lesen
	logs:StartQuery			Lesen
	logs:Unmask			Lesen
StopQuery	logs:FilterLogEvents			Lesen
StopQuery	logs:StopQuery			Lesen
TagLogGroup	logs:TagLogGroup			Taggen, Schreiben
TagResource	logs:TagResource			Taggen, Schreiben
TestMetricFilter	logs:TestMetricFilter			Lesen
TestTransformer	logs:TestTransformer			Lesen
UntagLogGroup	logs:UntagLogGroup			Taggen, Schreiben
UntagResource	logs:UntagResource			Taggen, Schreiben
UpdateAnomaly	logs:UpdateAnomaly			Schreiben
UpdateDeliveryConfiguration	logs:UpdateDeliveryConfiguration			Schreiben
UpdateLogAnomalyDetector	logs:UpdateLogAnomalyDetector			Schreiben
UpdateLookupTable	logs:GetQueryResults			Lesen
UpdateLookupTable	logs:UpdateLookupTable			Write (Schreiben)
UpdateScheduledQuery	logs:UpdateScheduledQuery			Schreiben
UpdateScheduledQuery	iam:PassRole	iam:PassedToService	logs.amazonaws.com	Schreiben

Von Amazon definierte Aktionen CloudWatch Logs

Sie können die folgenden Aktionen im Element Action einer IAM-Richtlinienanweisung angeben. Für jede Aktion sind in der Tabelle die Ressourcentypen und Bedingungsschlüssel aufgeführt, die von dieser Aktion unterstützt werden. Verwenden Sie Richtlinien, um Berechtigungen zum Ausführen einer Operation in AWS zu erteilen. Wenn Sie eine Aktion in einer Richtlinie verwenden, erlauben oder verweigern Sie in der Regel den Zugriff auf die API-Operation oder den CLI-Befehl mit demselben Namen. Dabei kann es mitunter vorkommen, dass eine einzige Aktion den Zugriff auf mehr als eine Operation steuert. Alternativ erfordern einige Vorgänge mehrere verschiedene Aktionen.

Aktionen	Description	Ressourcentypen (*erforderlich)	Bedingungsschlüssel	Zugriffsebene
AssociateKmsKey	Erteilt die Berechtigung, das angegebene Objekt zuzuordnen AWS Schlüsselverwaltungsdienst (AWS KMS), Kundenhauptschlüssel (CMK) mit der angegebenen Protokollgruppe	log-group*	aws:ResourceTag/${TagKey}	Schreiben
AssociateSourceToS3TableIntegration	Erteilt die Berechtigung, einer S3-Tables-Integration eine Protokollquelle zuzuordnen			Schreiben
CancelExportTask	Gewährt die Berechtigung zum Abbrechen einer Exportaufgabe, wenn diese den Status PENDING oder RUNNING hat			Schreiben
CancelImportTask	Erteilt die Erlaubnis, einen Import von abzubrechen CloudTrail See bis CloudWatch			Schreiben
CreateDelivery	Gewährt die Berechtigung zum Erstellen einer Sendung, die eine Zustellquelle mit einem Zustellziel verbindet	delivery*	aws:RequestTag/${TagKey} aws:ResourceTag/${TagKey} aws:TagKeys	Schreiben
		delivery-destination*	aws:RequestTag/${TagKey} aws:ResourceTag/${TagKey} aws:TagKeys
		delivery-source*	aws:RequestTag/${TagKey} aws:ResourceTag/${TagKey} aws:TagKeys
CreateExportTask	Erteilt die Erlaubnis zur Erstellung eines ExportTask wodurch Sie Daten aus einer Log-Gruppe effizient in Ihren Amazon S3-Bucket exportieren können	log-group*	aws:ResourceTag/${TagKey}	Schreiben
CreateImportTask	Erteilt die Erlaubnis, einen asynchronen Prozess zum Importieren von Daten aus einem zu starten CloudTrail Speichert die Ereignisdaten in einer verwalteten Protokollgruppe in CloudWatch			Schreiben
CreateLogAnomalyDetector	Gewährt die Berechtigung zum Erstellen eines Protokollanomalie-Detektors	log-group*	aws:RequestTag/${TagKey} aws:ResourceTag/${TagKey} aws:TagKeys	Schreiben
CreateLogGroup	Gewährt die Berechtigungen zum Erstellen einer neuen Protokollgruppe mit dem angegebenen Namen	log-group*	aws:RequestTag/${TagKey} aws:ResourceTag/${TagKey} aws:TagKeys	Schreiben
CreateLogStream	Gewährt die Berechtigung zum Erstellen eines neuen Protokoll-Streams mit dem angegebenen Namen	log-stream*	aws:ResourceTag/${TagKey}	Schreiben
CreateLookupTable	Erteilt die Erlaubnis, eine Nachschlagetabelle zu erstellen	lookup-table*	aws:RequestTag/${TagKey} aws:ResourceTag/${TagKey} aws:TagKeys	Schreiben
CreateScheduledQuery	Erteilt die Erlaubnis, eine geplante Abfrage zu erstellen	scheduled-query*	aws:RequestTag/${TagKey} aws:ResourceTag/${TagKey} aws:TagKeys	Schreiben
DeleteAccountPolicy	Erteilt die Erlaubnis, eine Kontorichtlinie zu löschen			Schreiben
DeleteDataProtectionPolicy	Gewährt die Berechtigung zum Löschen einer Datenschutzrichtlinie, die einer Protokollgruppe zugeordnet ist	log-group*	aws:ResourceTag/${TagKey}	Schreiben
DeleteDelivery	Gewährt die Berechtigung zum Löschen einer Zustellung	delivery*	aws:ResourceTag/${TagKey}	Schreiben
DeleteDeliveryDestination	Gewährt die Berechtigung zum Löschen eines Zustellziels, nachdem alle zugehörigen Sendungen gelöscht wurden	delivery-destination*	aws:ResourceTag/${TagKey}	Schreiben
DeleteDeliveryDestinationPolicy	Gewährt die Berechtigung zum Löschen einer Zustellziel-Richtlinie, die einem Zustellziel zugeordnet ist	delivery-destination*	aws:ResourceTag/${TagKey}	Schreiben
DeleteDeliverySource	Gewährt die Berechtigung zum Löschen einer Zustellungsquelle, nachdem alle zugehörigen Sendungen gelöscht wurden	delivery-destination*	aws:ResourceTag/${TagKey}	Schreiben
DeleteDestination	Gewährt die Berechtigung zum Löschen des Ziels mit dem angegebenen Namen	destination*	aws:ResourceTag/${TagKey}	Schreiben
DeleteIndexPolicy	Erteilt die Berechtigung zum Löschen einer Indexrichtlinie, die an eine Protokollgruppe angehängt ist			Schreiben
DeleteIntegration	Erteilt die Erlaubnis, die Integration zu löschen			Schreiben
DeleteLogAnomalyDetector	Gewährt die Berechtigung zum Löschen eines Protokollanomalie-Detektors	anomaly-detector*	aws:ResourceTag/${TagKey}	Schreiben
DeleteLogGroup	Gewährt die Berechtigung zum Löschen der Protokollgruppe mit dem angegebenen Namen	log-group*	aws:ResourceTag/${TagKey}	Schreiben
DeleteLogStream	Gewährt die Berechtigung zum Löschen eines Protokollstreams	log-stream*	aws:ResourceTag/${TagKey}	Schreiben
DeleteLookupTable	Erteilt die Erlaubnis, eine Nachschlagetabelle zu löschen	lookup-table*	aws:ResourceTag/${TagKey}	Schreiben
DeleteMetricFilter	Gewährt die Berechtigung zum Löschen eines Kennzahlenfilters mit der angegebenen Protokollgruppe	log-group*	aws:ResourceTag/${TagKey}	Schreiben
DeleteQueryDefinition	Erteilt die Erlaubnis, eine gespeicherte Datei zu löschen CloudWatch Logs & Insights-Abfragedefinition			Schreiben
DeleteResourcePolicy	Gewährt die Berechtigung zum Löschen von Ressourcenrichtlinien von diesem Konto			Verwaltung von Berechtigungen, Schreiben
DeleteRetentionPolicy	Gewährt die Berechtigung zum Löschen der Aufbewahrungsrichtlinie der angegebenen Protokollgruppe	log-group*	aws:ResourceTag/${TagKey}	Schreiben
DeleteScheduledQuery	Erteilt die Erlaubnis, eine geplante Abfrage zu löschen	scheduled-query*	aws:ResourceTag/${TagKey}	Schreiben
DeleteSubscriptionFilter	Gewährt die Berechtigung zum Löschen eines Abonnementfilters mit der angegebenen Protokollgruppe	log-group*	aws:ResourceTag/${TagKey}	Schreiben
DeleteSyslogConfiguration	Erteilt die Berechtigung zum Löschen der Syslog-Konfiguration für die angegebene Protokollgruppe	log-group*	aws:ResourceTag/${TagKey}	Schreiben
DeleteTransformer	Erteilt die Erlaubnis, einen Transformator zu löschen, der der angegebenen Protokollgruppe zugeordnet ist	log-group*	aws:ResourceTag/${TagKey}	Schreiben
DescribeAccountPolicies	Erteilt die Berechtigung zum Abrufen von Kontorichtlinien			Auflisten
DescribeConfigurationTemplates	Erteilt die Erlaubnis, eine Liste von Konfigurationsvorlagen verfügbarer Protokolltypen abzurufen			Auflisten
DescribeDeliveries	Gewährt die Berechtigung zum Abrufen einer Liste von Zustellungen eines Kontos			Auflisten
DescribeDeliveryDestinations	Gewährt die Berechtigung zum Abrufen einer Liste der Zustellziele eines Kontos			Auflisten
DescribeDeliverySources	Gewährt die Berechtigung zum Abrufen einer Liste der Zustellquellen in einem Konto			Auflisten
DescribeDestinations	Erteilt die Berechtigung, alle Ziele zurückzugeben, die mit dem verknüpft sind AWS-Konto stellt die Anfrage			Auflisten
DescribeExportTasks	Erteilt die Erlaubnis, alle Exportaufgaben zurückzugeben, die mit dem verknüpft sind AWS-Konto stellt die Anfrage			Auflisten
DescribeFieldIndexes	Erteilt die Berechtigung, alle Indexierungsattribute zurückzugeben, die den Protokollgruppen zugeordnet sind			Auflisten
DescribeImportTaskBatches	Erteilt die Berechtigung, detaillierte Informationen zu den einzelnen Batches innerhalb einer Importaufgabe zurückzugeben, einschließlich Status und eventueller Fehler			Auflisten
DescribeImportTasks	Erteilt die Erlaubnis, alle Importaufgaben zurückzugeben, die mit dem verknüpft sind AWS-Konto stellt die Anfrage			Auflisten
DescribeIndexPolicies	Erteilt die Erlaubnis, alle Indexrichtlinien zurückzugeben, die den Protokollgruppen zugeordnet sind			Auflisten
DescribeLogGroups	Erteilt die Berechtigung, alle Protokollgruppen zurückzugeben, die dem zugeordnet sind AWS-Konto stellt die Anfrage			Auflisten
DescribeLogStreams	Gewährt die Berechtigung zum Zurückgeben von allen Protokoll-Streams, die der angegebenen Protokollgruppe zugeordnet sind	log-group*	aws:ResourceTag/${TagKey}	Auflisten
DescribeLookupTables	Erteilt die Erlaubnis, alle Nachschlagetabellen zurückzugeben			Auflisten
DescribeMetricFilters	Gewährt die Berechtigung zum Zurückgeben von allen Kennzahlenfiltern, die der angegebenen Protokollgruppe zugeordnet sind	log-group*	aws:ResourceTag/${TagKey}	Auflisten
DescribeQueries	Erteilt die Erlaubnis, eine Liste von zurückzugeben CloudWatch Logs Insights-Abfragen, die in diesem Konto geplant sind, ausgeführt werden oder kürzlich ausgeführt wurden			Auflisten
DescribeQueryDefinitions	Erteilt die Erlaubnis, eine paginierte Liste Ihrer gespeicherten Daten zurückzugeben CloudWatch Logs Insights, Abfragedefinitionen			Auflisten
DescribeResourcePolicies	Gewährt die Berechtigung zum Zurückgeben von allen Ressourcenrichtlinien in diesem Konto			Auflisten
DescribeSubscriptionFilters	Gewährt die Berechtigung zum Zurückgeben von allen Abonnementfiltern, die der angegebenen Protokollgruppe zugeordnet sind	log-group*	aws:ResourceTag/${TagKey}	Auflisten
DisassociateKmsKey	Erteilt die Erlaubnis, die Verknüpfung mit dem Objekt aufzuheben AWS Schlüsselverwaltungsdienst (AWS KMS), Kundenhauptschlüssel (CMK) aus der angegebenen Protokollgruppe	log-group*	aws:ResourceTag/${TagKey}	Schreiben
DisassociateSourceFromS3TableIntegration	Erteilt die Berechtigung, eine Protokollquelle von einer S3-Tabelles-Integration zu trennen			Schreiben
FilterLogEvents	Gewährt die Berechtigung zum Abrufen von Protokollereignissen, optional gefiltert durch ein Filtermuster aus der angegebenen Protokollgruppe	log-group*	aws:ResourceTag/${TagKey}	Lesen
GetDataProtectionPolicy	Gewährt die Berechtigung zum Abrufen einer Datenschutzrichtlinie, die einer Protokollgruppe zugeordnet ist	log-group*	aws:ResourceTag/${TagKey}	Lesen
GetDelivery	Gewährt die Berechtigung zum Abrufen einer einzelnen Zustellung	delivery*	aws:ResourceTag/${TagKey}	Lesen
GetDeliveryDestination	Gewährt die Berechtigung zum Abrufen eines einzelnen Zustellziels	delivery-destination*	aws:ResourceTag/${TagKey}	Lesen
GetDeliveryDestinationPolicy	Gewährt die Berechtigung zum Abrufen einer Zustellziel-Richtlinie, die an ein Zustellziel angehängt ist	delivery-destination*	aws:ResourceTag/${TagKey}	Lesen
GetDeliverySource	Gewährt die Berechtigung zum Abrufen einer einzelnen Zustellquelle	delivery-source*	aws:ResourceTag/${TagKey}	Lesen
GetIntegration	Erteilt die Erlaubnis, eine einzelne Integration abzurufen			Lesen
GetLogAnomalyDetector	Gewährt die Berechtigung, eine Liste von Protokollanomalie-Detektors abzurufen	anomaly-detector*	aws:ResourceTag/${TagKey}	Lesen
GetLogEvents	Gewährt die Berechtigung zum Abrufen von Protokollereignissen aus dem angegebenen Protokollstream	log-stream*	aws:ResourceTag/${TagKey}	Lesen
GetLogFields	Erteilt die Erlaubnis, eine Liste von Protokollfeldern für eine Datenquelle abzurufen			Lesen
GetLogGroupFields	Gewährt die Berechtigung zum Zurückgeben einer Liste der Felder, die in Protokollereignissen der angegebenen Protokollgruppe enthalten sind, zusammen mit dem Prozentsatz der Protokollereignisse, die in den einzelnen Feldern eingeschlossen sind	log-group*	aws:ResourceTag/${TagKey}	Lesen
GetLogRecord	Gewährt die Berechtigung zum Abrufen von allen Feldern und Werten eines einzelnen Protokollereignisses	log-group*	aws:ResourceTag/${TagKey}	Lesen
GetLookupTable	Erteilt die Berechtigung zum Abrufen einer Nachschlagetabelle	lookup-table*	aws:ResourceTag/${TagKey}	Lesen
GetQueryResults	Gewährt die Berechtigung zum Zurückgeben von Ergebnissen aus der angegebenen Abfrage	log-group*	aws:ResourceTag/${TagKey}	Lesen
GetScheduledQuery	Erteilt die Erlaubnis, Informationen zu einer bestimmten geplanten Abfrage abzurufen	scheduled-query*	aws:ResourceTag/${TagKey}	Lesen
GetScheduledQueryHistory	Erteilt die Erlaubnis, den Ausführungsverlauf für eine angegebene geplante Abfrage zurückzugeben	scheduled-query*	aws:ResourceTag/${TagKey}	Lesen
GetStorageTierPolicy	Erteilt die Erlaubnis, die Speicherstufenrichtlinie für das Konto abzurufen			Lesen
GetTransformer	Erteilt die Erlaubnis, den Transformator zurückzugeben, der der angegebenen Protokollgruppe zugeordnet ist	log-group*	aws:ResourceTag/${TagKey}	Lesen
ListAggregateLogGroupSummaries	Erteilt die Berechtigung, eine Zusammenfassung aller Protokollgruppen in der Region zurückzugeben, gruppiert nach bestimmten Datenquellenmerkmalen			Auflisten
ListAnomalies	Erteilt die Erlaubnis, alle erkannten Anomalien in der aufzulisten AWS-Konto stellt die Anfrage	anomaly-detector	aws:ResourceTag/${TagKey}	Auflisten
ListIntegrations	Erteilt die Erlaubnis, alle Integrationen aufzulisten, die mit dem verknüpft sind AWS-Konto stellt die Anfrage			Auflisten
ListLogAnomalyDetectors	Erteilt die Erlaubnis, alle Anomaliedetektoren zurückzugeben, die dem zugeordnet sind AWS-Konto stellt die Anfrage	anomaly-detector	aws:ResourceTag/${TagKey}	Auflisten
ListLogGroups	Erteilt die Erlaubnis, alle Protokollgruppen zurückzugeben, die dem zugeordnet sind AWS-Konto stellt die Anfrage			Auflisten
ListLogGroupsForQuery	Erteilt die Erlaubnis, alle Protokollgruppen zurückzugeben, die der angegebenen Abfrage zugeordnet sind			Auflisten
ListScheduledQueries	Erteilt die Berechtigung, alle geplanten Abfragen zurückzugeben, die mit dem verknüpft sind AWS-Konto stellt die Anfrage			Auflisten
ListSourcesForS3TableIntegration	Erteilt die Erlaubnis, alle Protokollquellen zurückzugeben, die mit einer S3-Tabelles-Integration verknüpft sind			Auflisten
ListSyslogConfigurations	Erteilt die Erlaubnis, alle Syslog-Konfigurationen zurückzugeben, die mit dem verknüpft sind AWS-Konto stellt die Anfrage			Auflisten
ListTagsForResource	Gewährt die Berechtigung zum Auflisten der Tags für die angegebene Ressource	anomaly-detector	aws:ResourceTag/${TagKey}	Auflisten
		delivery	aws:ResourceTag/${TagKey}
		delivery-destination	aws:ResourceTag/${TagKey}
		delivery-source	aws:ResourceTag/${TagKey}
		destination	aws:ResourceTag/${TagKey}
		log-group	aws:ResourceTag/${TagKey}
		lookup-table	aws:ResourceTag/${TagKey}
ListTagsLogGroup	Gewährt die Berechtigung zum Auflisten der Tags für die spezifische Protokollgruppe	log-group*	aws:ResourceTag/${TagKey}	Auflisten
PutAccountPolicy	Erteilt die Erlaubnis, eine Kontorichtlinie beizufügen			Schreiben
PutBearerTokenAuthentication	Erteilt die Berechtigung, die auf einem Inhaber-Token basierende Authentifizierung für die angegebene Protokollgruppe zu aktivieren oder zu deaktivieren	log-group*	aws:ResourceTag/${TagKey}	Schreiben
PutDataProtectionPolicy	Gewährt die Berechtigung zum Anhängen einer Datenschutzrichtlinie, um vertrauliche Informationen aus Protokollereignissen zu erkennen und zu redigieren	log-group*	aws:ResourceTag/${TagKey}	Schreiben
PutDeliveryDestination	Erteilt die Erlaubnis für create/update ein Lieferziel	delivery-destination*	aws:RequestTag/${TagKey} aws:ResourceTag/${TagKey} aws:TagKeys logs:DeliveryDestinationResourceArn	Schreiben
PutDeliveryDestinationPolicy	Gewährt die Berechtigung zum Anhängen einer Zustellziel-Richtlinie für ein Zustellziel	delivery-destination*	aws:ResourceTag/${TagKey}	Schreiben
PutDeliverySource	Erteilt die Erlaubnis für create/update eine Lieferquelle	delivery-source*	aws:RequestTag/${TagKey} aws:ResourceTag/${TagKey} aws:TagKeys logs:LogGeneratingResourceArns	Schreiben
PutDestination	Gewährt die Berechtigung zum Erstellen oder Aktualisieren eines Ziels	destination*	aws:RequestTag/${TagKey} aws:ResourceTag/${TagKey} aws:TagKeys	Schreiben
PutDestinationPolicy	Gewährt die Berechtigung zum Erstellen und Aktualisieren einer Zugriffsrichtlinie, die einem bestehenden Ziel zugeordnet ist	destination*	aws:ResourceTag/${TagKey}	Schreiben
PutIndexPolicy	Erteilt die Erlaubnis, eine Indexrichtlinie auf Protokollgruppenebene anzuhängen, um Suche und Abfrage zu optimieren			Schreiben
PutIntegration	Erteilt die Erlaubnis, eine Integration zwischen Cloudwatch-Protokollen und Opensearch zu erstellen			Schreiben
PutLogEvents	Gewährt die Berechtigung zum Hochladen eines Batches von Protokollereignissen in den angegebenen Protokollstream	log-stream*	aws:ResourceTag/${TagKey}	Schreiben
PutLogGroupDeletionProtection	Erteilt die Erlaubnis, den Löschschutz für die angegebene Protokollgruppe zu aktivieren oder zu deaktivieren	log-group*	aws:ResourceTag/${TagKey}	Schreiben
PutMetricFilter	Gewährt die Berechtigung zum Erstellen oder Aktualisieren eines Kennzahlenfilters und ordnet ihn der angegebenen Protokollgruppe zu	log-group*	aws:ResourceTag/${TagKey}	Schreiben
PutQueryDefinition	Gewährt die Berechtigung zum Erstellen oder Aktualisieren einer Abfragedefinition			Schreiben
PutResourcePolicy	Erteilt die Erlaubnis, eine Ressourcenrichtlinie zu erstellen oder zu aktualisieren und ermöglicht anderen AWS Dienste, um Ereignisse in diesem Konto zu protokollieren			Verwaltung von Berechtigungen, Schreiben
PutRetentionPolicy	Gewährt die Berechtigung zum Festlegen der Aufbewahrungsdauer der angegebenen Protokollgruppe	log-group*	aws:ResourceTag/${TagKey}	Schreiben
PutStorageTierPolicy	Erteilt die Erlaubnis, die Speicherstufenrichtlinie für das Konto festzulegen			Schreiben
PutSubscriptionFilter	Gewährt die Berechtigung zum Erstellen oder Aktualisieren eines Abonnementfilter und ordnet es einer angegebenen Protokollgruppe zu	destination	aws:ResourceTag/${TagKey}	Schreiben
PutSubscriptionFilter		log-group*	aws:ResourceTag/${TagKey}	Schreiben
PutSyslogConfiguration	Erteilt die Berechtigung, eine Syslog-Konfiguration für die angegebene Protokollgruppe hinzuzufügen	log-group*	aws:ResourceTag/${TagKey}	Schreiben
PutTransformer	Erteilt die Berechtigung, einen Transformer zu erstellen oder zu aktualisieren und ordnet ihn der angegebenen Protokollgruppe zu	log-group*	aws:ResourceTag/${TagKey}	Schreiben
StartLiveTail	Erteilt die Erlaubnis, eine Live Tail-Sitzung zu starten in CloudWatch Loggt	log-group*	aws:ResourceTag/${TagKey}	Lesen
StartQuery	Erteilt die Erlaubnis, eine Abfrage einer Protokollgruppe mithilfe von CloudWatch Loggt Einblicke	log-group*	aws:ResourceTag/${TagKey}	Lesen
StopQuery	Erteilt die Erlaubnis, eine zu stoppen CloudWatch Logs Insights-Abfrage, die gerade ausgeführt wird			Lesen
TagLogGroup	Gewährt die Berechtigung zum Hinzufügen oder Aktualisieren der angegebenen Tags für die angegebene Protokollgruppe	log-group*	aws:RequestTag/${TagKey} aws:ResourceTag/${TagKey} aws:TagKeys	Taggen, Schreiben
TagResource	Gewährt die Berechtigung zum Hinzufügen oder Aktualisieren der angegebenen Tags zur angegebenen Ressource	anomaly-detector	aws:RequestTag/${TagKey} aws:ResourceTag/${TagKey} aws:TagKeys	Taggen, Schreiben
		delivery	aws:RequestTag/${TagKey} aws:ResourceTag/${TagKey} aws:TagKeys
		delivery-destination	aws:RequestTag/${TagKey} aws:ResourceTag/${TagKey} aws:TagKeys
		delivery-source	aws:RequestTag/${TagKey} aws:ResourceTag/${TagKey} aws:TagKeys
		destination	aws:RequestTag/${TagKey} aws:ResourceTag/${TagKey} aws:TagKeys
		log-group	aws:RequestTag/${TagKey} aws:ResourceTag/${TagKey} aws:TagKeys
		lookup-table	aws:RequestTag/${TagKey} aws:ResourceTag/${TagKey} aws:TagKeys
		scheduled-query	aws:RequestTag/${TagKey} aws:ResourceTag/${TagKey} aws:TagKeys
TestMetricFilter	Gewährt die Berechtigung zum Testen des Filtermuster eines Kennzahlenfilters anhand einer Stichprobe von Protokollereignismeldungen			Lesen
TestTransformer	Erteilt die Erlaubnis, den Transformator anhand einer Stichprobe von Protokollereignismeldungen zu testen			Lesen
UntagLogGroup	Gewährt die Berechtigung zum Entfernen der angegebenen Tags aus der angegebenen Protkollgruppe	log-group*	aws:ResourceTag/${TagKey} aws:TagKeys	Taggen, Schreiben
UntagResource	Gewährt die Berechtigung zum Entfernen der angegebenen Tags aus der angegebenen Ressource	anomaly-detector	aws:ResourceTag/${TagKey} aws:TagKeys	Taggen, Schreiben
		delivery	aws:ResourceTag/${TagKey} aws:TagKeys
		delivery-destination	aws:ResourceTag/${TagKey} aws:TagKeys
		delivery-source	aws:ResourceTag/${TagKey} aws:TagKeys
		destination	aws:ResourceTag/${TagKey} aws:TagKeys
		log-group	aws:ResourceTag/${TagKey} aws:TagKeys
		lookup-table	aws:ResourceTag/${TagKey} aws:TagKeys
		scheduled-query	aws:ResourceTag/${TagKey} aws:TagKeys
UpdateAnomaly	Gewährt die Berechtigung zum Aktualisieren einer Anomalie, die von einem Protokollanomalie-Detektor berichtet wurde	anomaly-detector*	aws:ResourceTag/${TagKey}	Schreiben
UpdateDeliveryConfiguration	Erteilt die Erlaubnis, die Konfiguration im Zusammenhang mit einer Lieferung zu aktualisieren	delivery*	aws:RequestTag/${TagKey} aws:ResourceTag/${TagKey} aws:TagKeys	Schreiben
		delivery-destination*	aws:RequestTag/${TagKey} aws:ResourceTag/${TagKey} aws:TagKeys
		delivery-source*	aws:RequestTag/${TagKey} aws:ResourceTag/${TagKey} aws:TagKeys
UpdateLogAnomalyDetector	Gewährt die Berechtigung, einen Protokollanomalie-Detektor zu aktualisieren	anomaly-detector*	aws:ResourceTag/${TagKey}	Schreiben
UpdateLookupTable	Erteilt die Erlaubnis, eine Nachschlagetabelle zu aktualisieren	lookup-table*	aws:ResourceTag/${TagKey}	Schreiben
UpdateScheduledQuery	Erteilt die Erlaubnis, eine geplante Abfrage zu aktualisieren	scheduled-query*	aws:ResourceTag/${TagKey}	Schreiben

Permission-only Aktionen für Amazon CloudWatch Logs

Die folgenden Aktionen werden von Amazon definiert CloudWatch Protokolle sind jedoch nicht direkt über einen API-Vorgang aufrufbar. Sie können nur in IAM-Richtlinienanweisungen verwendet werden, um Berechtigungen zu gewähren oder zu verweigern.

Aktionen	Description	Ressourcentypen (*erforderlich)	Bedingungsschlüssel	Zugriffsebene
CallWithBearerToken	Erteilt die Erlaubnis, Anfragen mithilfe des Bearer-Tokens zu authentifizieren			Schreiben
CreateLogDelivery	Gewährt die Berechtigung zum Erstellen einer Protokolllieferung			Schreiben
DeleteLogDelivery	Gewährt die Berechtigung zum Löschen von Protokollbereitstellungsinformationen über die angegebene Protokollbereitstellung			Schreiben
DeletePipelineRule	Erteilt die Erlaubnis, die Telemetriepipeline zu löschen			Schreiben
GetLogDelivery	Gewährt die Berechtigung zum Abrufen von Informationen über die angegebene Protokollbereitstellung			Lesen
IntegrateWithDataset	Erteilt die Berechtigung zum Spiegeln von Protokollgruppendaten in CloudWatch Datensatz	log-group*	aws:ResourceTag/${TagKey}	Schreiben
IntegrateWithS3Table	Erteilt die Erlaubnis, Protokollereignisse an S3-Tabellen zu übermitteln	log-group*	aws:ResourceTag/${TagKey} logs:data_source_name logs:data_source_type	Schreiben
Link	Erteilt die Erlaubnis zum Teilen CloudWatch Ressourcen mit einem Überwachungskonto			Schreiben
ListEntitiesForLogGroup	Erteilt die Berechtigung zum Abrufen aller Entitäten, die der Protokollgruppe zugeordnet sind			Auflisten
ListLogDeliveries	Erteilt die Berechtigung, alle Protokolllieferungen für das angegebene Konto aufzulisten and/or Quelle des Protokolls			Auflisten
ListLogGroupsForEntity	Erteilt die Berechtigung zum Abrufen aller Protokollgruppen, die der Entität zugeordnet sind			Auflisten
ProcessWithPipeline	Erteilt die Erlaubnis, Protokollereignisse vor der Speicherung durch Pipeline-Transformatoren zu verarbeiten und zu transformieren	log-group*	aws:ResourceTag/${TagKey} logs:data_source_name logs:data_source_type	Schreiben
PutPipelineRule	Erteilt die Erlaubnis, eine Telemetrie-Pipeline zu erstellen			Schreiben
StopLiveTail	Gewährt die Berechtigung zum Beenden einer Live-Tail-Sitzung in CloudWatch-Logs, die gerade ausgeführt wird			Lesen
Unmask	Gewährt die Berechtigung unmaskierte Protokollereignisse abzurufen, die mit einer Datenschutzrichtlinie redigiert wurden	log-group*	aws:ResourceTag/${TagKey}	Lesen
UpdateLogDelivery	Gewährt die Berechtigung zum Aktualisieren der Informationen über die angegebene Protokollbereitstellung			Schreiben

Von Amazon definierte Ressourcentypen CloudWatch Logs

Die folgenden Ressourcentypen werden von diesem Service definiert und können im Element Resource von IAM-Berechtigungsrichtlinienanweisungen verwendet werden.

Ressourcentypen	ARN	Bedingungsschlüssel
anomaly-detector	arn:${Partition}:logs:${Region}:${Account}:anomaly-detector:${DetectorId}	aws:ResourceTag/${TagKey}
delivery	arn:${Partition}:logs:${Region}:${Account}:delivery:${DeliveryName}	aws:ResourceTag/${TagKey}
delivery-destination	arn:${Partition}:logs:${Region}:${Account}:delivery-destination:${DeliveryDestinationName}	aws:ResourceTag/${TagKey}
delivery-source	arn:${Partition}:logs:${Region}:${Account}:delivery-source:${DeliverySourceName}	aws:ResourceTag/${TagKey}
destination	arn:${Partition}:logs:${Region}:${Account}:destination:${DestinationName}	aws:ResourceTag/${TagKey}
log-group	arn:${Partition}:logs:${Region}:${Account}:log-group:${LogGroupName}	aws:ResourceTag/${TagKey}
log-stream	arn:${Partition}:logs:${Region}:${Account}:log-group:${LogGroupName}:log-stream:${LogStreamName}	aws:ResourceTag/${TagKey}
lookup-table	arn:${Partition}:logs:${Region}:${Account}:lookup-table:${LookupTableName}	aws:ResourceTag/${TagKey}
scheduled-query	arn:${Partition}:logs:${Region}:${Account}:scheduled-query:${ScheduledQueryId}	aws:ResourceTag/${TagKey}

Bedingungsschlüssel für Amazon CloudWatch Logs

Amazon CloudWatch Logs definiert die folgenden Bedingungsschlüssel, die im Condition Element einer IAM-Richtlinie.

Bedingungsschlüssel	Beschreibung	Typ
aws:RequestTag/${TagKey}	Filtert den Zugriff durch die Tags, die in der Anfrage übergeben werden	String
aws:ResourceTag/${TagKey}	Filtert den Zugriff basierend auf den Tags, die der Ressource zugeordnet sind.	String
aws:TagKeys	Filtert den Zugriff basierend auf den Tag-Schlüssel, die in der Anfrage übergeben werden	ArrayOfString
logs:DeliveryDestinationResourceArn	Filtert den Zugriff durch den Logziel-ARN, der in der Anforderung übergeben wird	ARN
logs:LogGeneratingResourceArns	Filtert den Zugriff durch die ARNs der Protokollgenerierungsressource, die in der Anforderung übergeben werden	ArrayOfARN
logs:data_source_name	Filtert den Zugriff anhand des in der Anforderung übergebenen Datenquellennamens	String
logs:data_source_type	Filtert den Zugriff nach dem in der Anforderung übergebenen Datenquellentyp	String

Warnung JavaScript ist in Ihrem Browser nicht verfügbar oder deaktiviert.

Zur Nutzung der AWS-Dokumentation muss JavaScript aktiviert sein. Weitere Informationen finden auf den Hilfe-Seiten Ihres Browsers.

Dokumentkonventionen

Amazon CloudWatch Internetmonitor (internetmonitor)

Amazon CloudWatch Synthetischer Netzwerkmonitor (networkmonitor)