Conceptos de centralización de datos Configuración de la centralización de registros Supervisión de reglas de centralización y solución de problemas

Cross-account Centralización de registros entre regiones

La centralización de datos de Amazon CloudWatch Logs AWS Organizations permite recopilar datos de registro de varias cuentas de miembros en un repositorio de datos mediante reglas de centralización entre cuentas y regiones. Usted define las reglas que replican automáticamente los datos de registro de varias cuentas y Regiones de AWS en una cuenta centralizada dentro de su organización. Esta capacidad optimiza la consolidación de registros para mejorar la supervisión, el análisis y el cumplimiento centralizados en toda la infraestructura. AWS

CloudWatch La centralización de los datos de registro ofrece flexibilidad de configuración para cumplir con los requisitos operativos y de seguridad, como la capacidad de configurar una región de respaldo durante la configuración de las reglas en la cuenta de destino para garantizar una mayor resiliencia. Además, tiene un control total sobre el comportamiento de cifrado de los grupos de registros copiados de las cuentas de origen para gestionar los datos cifrados originalmente con las claves de KMS administradas por el cliente.

nota

La función de centralización de CloudWatch registros solo procesa los nuevos datos de registro que llegan a las cuentas de origen después de crear la regla de centralización. Los datos de registro históricos (registros que existían antes de la creación de la regla) no están centralizados.

Conceptos de centralización de datos

Antes de empezar a utilizar la centralización de datos de CloudWatch Logs, familiarízate con los siguientes conceptos:

Regla de centralización

Una configuración que define cómo se replican los datos de registro de las cuentas y regiones de origen en una cuenta y región de destino. Las reglas especifican los criterios de origen y la configuración de destino.

Cuenta de origen

La AWS cuenta en la que se originan los datos de registro. Los eventos de registro de las cuentas de origen se replican en la cuenta de destino en función de las reglas de centralización que se definan.

Cuenta de destino

La AWS cuenta de destino donde se almacenan los datos de registro replicados. Esta cuenta sirve como ubicación centralizada para el análisis y la supervisión de los registros.

Región de respaldo

Una región secundaria opcional dentro de la cuenta de destino donde se pueden replicar los datos de registro para aumentar la resiliencia y la recuperación ante desastres.

Propagación de etiquetas

Una función opcional que propaga las etiquetas de recursos de los grupos de registros de origen a sus correspondientes grupos de registros de destino. La propagación de etiquetas utiliza una función de IAM administrada por el cliente en la cuenta de destino para agregar, actualizar y eliminar etiquetas en los grupos de registros de destino. La propagación de etiquetas se configura añadiendo un TagPropagationConfiguration bloque a la configuración de destino de la regla de centralización.

Cifrado en los registros CloudWatch

Los datos de los grupos de registros siempre se cifran en CloudWatch los registros. De forma predeterminada, CloudWatch Logs utiliza el cifrado del lado del servidor con el Galois/Counter modo estándar de cifrado avanzado (AES-GCM) de 256 bits para cifrar los datos de registro en reposo. Como alternativa, puedes usar el servicio de administración de AWS claves para este cifrado. Para obtener más información, consulte la documentación sobre el cifrado de CloudWatch registros.

Cómo funciona el cifrado durante la centralización: la centralización de CloudWatch los registros copia activamente los datos de registro en el momento de la transferencia de las cuentas de origen a las cuentas de destino. Durante este proceso, los datos permanecen cifrados en tránsito mediante una clave de servicio propia AWS . Los datos en reposo de los grupos de registros de origen y destino se cifran mediante el método de cifrado que elija (claves de KMS administradas o AWS propias del cliente). Si utiliza una clave de KMS administrada por el cliente en sus grupos de registros de destino, añada la etiqueta LogsManaged = true a la clave de KMS para que el servicio de centralización pueda acceder a ella.
Cuando se requieren permisos de KMS:
- Si utilizas claves de KMS administradas por el cliente en tus cuentas de origen, CloudWatch Logs requiere permisos de KMS en los siguientes casos de ejemplo:
  - Administración del rendimiento: cuando se alcanzan los límites de rendimiento de la centralización, los datos de registro se almacenan temporalmente cifrados con la clave de KMS administrada por el cliente hasta que haya ancho de banda disponible.
  - Protección y redacción de datos: cuando los grupos de registros de origen tienen habilitadas las políticas de protección de datos, CloudWatch Logs requiere permisos de descifrado para acceder a los datos de registro sin procesar y centralizarlos.

importante

Las reglas de centralización las administra la cuenta de administración de la AWS organización o el administrador delegado. Para excluir de la centralización los grupos de KMS-encrypted registros administrados por los clientes, configure las reglas de la siguiente manera: «No centralice los grupos de registros cifrados con la clave AWS KMS».

Configuración de la centralización de registros

Para configurar la centralización de CloudWatch registros, debe configurar reglas de centralización que definan cómo fluyen los datos de registro de los grupos de registro de las cuentas de origen a los grupos de registro de la cuenta de destino.

Una vez que la regla de centralización esté habilitada y los eventos de registro se estén replicando en la cuenta de destino, se pueden crear filtros de métricas, suscripciones y cuentas en los grupos de registros centralizados con capacidades de filtrado mejoradas. Estos filtros pueden centrarse en eventos de registro de cuentas y regiones de origen específicas, y pueden emitir información de cuentas y regiones de origen como dimensiones métricas. Para obtener más información, consulte Creación de métricas a partir de eventos de registro mediante filtros.

Requisitos previos

AWS Organizations debe configurarse y tanto la cuenta de origen como la de destino deben pertenecer a la organización.
El acceso confiable debe estar habilitado para CloudWatch la cuenta de administración y la cuenta de destino para proporcionar acceso a los datos de registro.

nota
Se recomienda habilitar el acceso de confianza a través de la consola, que crea automáticamente el rol vinculado al servicio (SLR) obligatorio. Si se habilita el acceso de confianza mediante otros métodos, será necesario crear el rol vinculado al servicio por separado.

Requisitos previos para la propagación de etiquetas

Para habilitar la propagación de etiquetas, debe completar la siguiente configuración adicional:

Cree una función de IAM gestionada por el cliente

Debe crear un rol de IAM administrado por el cliente en la cuenta de destino con la siguiente configuración:

Política de confianza

La política de confianza del rol debe permitir que el rol vinculado al servicio de centralización lo asuma. El siguiente ejemplo de política de confianza otorga al rol AWSServiceRoleForObservabilityAdmin_LogsCentralization vinculado al servicio permiso para asumir el rol de destino. <destination-account-id>Sustitúyalo por el identificador de la cuenta de destino y por <organization-id> el suyo. AWS Organizations


{
  "Version": "2012-10-17",
  "Statement": [{
    "Effect": "Allow",
    "Principal": {
      "AWS": "arn:aws:iam::<destination-account-id>:role/aws-service-role/logs-centralization.observabilityadmin.amazonaws.com/AWSServiceRoleForObservabilityAdmin_LogsCentralization"
    },
    "Action": "sts:AssumeRole",
    "Condition": {
      "StringEquals": {
        "sts:ExternalId": "<organization-id>"
      }
    }
  }]
}

Política de permisos

La política de permisos del rol debe permitir las operaciones de etiquetado en los grupos de registros de destino. El siguiente ejemplo otorga los permisos mínimos requeridos. <destination-account-id>Sustitúyalo por su valor. Puede Resource ampliar el alcance de los patrones ARN de grupos de registro específicos.


{
  "Version": "2012-10-17",
  "Statement": [{
    "Effect": "Allow",
    "Action": [
      "logs:ListTagsForResource",
      "logs:TagResource",
      "logs:UntagResource"
    ],
    "Resource": "arn:aws:logs:*:<destination-account-id>:log-group:*"
  }]
}

Objetivo de la concesión: permiso PassRole

Debes tener iam:PassRole permiso para el rol de destino y acceder al servicio de centralización mediante la iam:PassedToService clave de condición. En el siguiente ejemplo, se concede permiso para transferir el rol. Reemplace <destination-account-id> y <your-tag-role-name> con sus valores.

nota

Esta declaración se refiere a tu política de identidad (la persona principal que llama CreateCentralizationRuleForOrganization oUpdateCentralizationRuleForOrganization), no a la función de destino en sí.


{
  "Version": "2012-10-17",
  "Statement": [{
    "Effect": "Allow",
    "Action": "iam:PassRole",
    "Resource": "arn:aws:iam::<destination-account-id>:role/<your-tag-role-name>",
    "Condition": {
      "StringEquals": {
        "iam:PassedToService": "logs-centralization.observabilityadmin.amazonaws.com"
      }
    }
  }]
}

Personalización de los nombres de los grupos de registro de destino

Al crear una regla de centralización, puede personalizar la forma en que se estructuran los nombres de los grupos de registros de destino mediante atributos. Estos atributos se reemplazan automáticamente por valores reales cuando se crean los grupos de registros, lo que le permite organizar los registros jerárquicamente en su cuenta de destino. De forma predeterminada, solo se usa el ${source.logGroup} atributo, que combina todos los grupos de registros con el mismo nombre en la cuenta de destino. Si una variable no se puede resolver, hereda el valor de su variable principal en la jerarquía.

Atributos disponibles

Puede usar los siguientes atributos en el patrón de nombres del grupo de registros de destino:

Atributos del nombre del grupo de registros de destino
Atributo	Description (Descripción)
`${source.accountId}`	El ID AWS de la cuenta en la que se originó el registro.
`${source.region}`	El Región de AWS lugar donde se originó el registro.
`${source.logGroup}`	El nombre original del grupo de registros de la cuenta de origen.
`${source.org.id}`	Su AWS Organizations ID de la cuenta de origen.
`${source.org.ouId}`	El ID de la unidad organizativa de la cuenta de origen
`${source.org.rootId}`	El ID raíz de la organización
`${source.org.path}`	La ruta organizacional completa desde la cuenta hasta la raíz

Ejemplos

Conserve la estructura original del grupo de registros

Patrón: /centralized/${source.accountId}${source.logGroup}

Resultado: /centralized/123456789012/aws/lambda/my-function

Organice por cuenta y región

Patrón: /centralized/${source.accountId}/${source.region}

Resultado: /centralized/123456789012/us-east-1

Organice por estructura organizativa

Patrón: /logs/${source.org.id}/${source.org.ouId}/${source.accountId}

Resultado: /logs/o-abc123/ou-xyz-12345678/123456789012

Estructura plana simple

Patrón: /centralized-logs

Resultado: /centralized-logs

Prácticas recomendadas

Incluye el identificador de la cuenta de origen para identificar fácilmente de qué registros provienen.
Incluye la región de origen si vas a centralizar desde varias regiones.
Estructure los nombres de los grupos de registros de destino para que tengan menos de 512 caracteres. CloudWatch Logs impone una longitud máxima de 512 caracteres para los nombres de los grupos de registros.
Si habilita la propagación de etiquetas, el patrón debe contener los tres atributos: ${source.logGroup}${source.accountId}, y${source.region}. Esto garantiza que cada grupo de registros de origen se asigne a un grupo de registros de destino único.

Creación de una regla de centralización

Utilice el siguiente procedimiento para crear una regla de centralización que replique los datos de registro de las cuentas de origen a la cuenta de destino.

Creación de una regla de centralización

Diríjase a la CloudWatch consola de la cuenta de administración o administrador delegado de la organización.
Seleccione Configuración.
Navegue a la pestaña Organización.
Elija Configurar regla.
Especifique los detalles de la fuente mediante la configuración de los siguientes campos y, a continuación, seleccione Siguiente:
1. Nombre de regla de centralización: introduzca un nombre exclusivo para la regla de centralización.
2. Cuentas de origen: defina los criterios de selección de fuentes para seleccionar las cuentas a partir de las cuales se centralizarán los datos de telemetría. Los criterios de selección pueden incluir:
  - Una de la lista de las cuentas de miembros de la organización.
  - Una lista de las unidades organizativas de la organización.
  - Toda la organización.
  Se pueden proporcionar los criterios de selección de dos modos:
  - Builder: una experiencia basada en clics para generar los criterios de selección de la fuente
  - Editor: un cuadro de texto de formato libre para proporcionar los criterios de selección de la fuente
  Sintaxis compatible para los criterios de selección de fuentes:
  - Teclas compatibles: OrganizationId | OrganizationUnitId | AccountId | *
  - Operadores compatibles: = | IN | OR
3. Regiones de origen: seleccione una lista de regiones para buscar los datos de telemetría que desee centralizar.
Especifique los detalles de destino mediante la configuración de los siguientes campos y, a continuación, seleccione Siguiente:
1. Cuenta de destino: seleccione una cuenta de la organización que sirva de destino central para los datos de telemetría.
2. Región de destino: seleccione una región principal que almacene una copia de los datos de telemetría centralizados.
3. Región de respaldo: de manera opcional, seleccione una región que almacene una copia de los datos de telemetría centralizados.
Especifique los detalles de telemetría mediante la configuración de los siguientes campos y, a continuación, seleccione Siguiente:
1. Grupos de registro: elija una de las siguientes opciones:
  - Todos los grupos de registros: centralice los registros de todos los grupos de registros de las cuentas de origen.
  - Filtrar el grupo de registros: centralice los registros de un subconjunto de grupos de registros en las cuentas de origen, de acuerdo con los criterios de selección. Se pueden proporcionar los criterios de selección de dos modos:
    Builder: una experiencia basada en la elección para generar los criterios de selección
    
    Editor: un cuadro de texto de formato libre para proporcionar los criterios de selección
    Hay dos criterios de selección que puede usar para filtrar los registros:
    Criterios de selección de grupos de registros: los criterios de selección que especifican qué grupos de registros de origen se van a centralizar.
    
    Claves compatibles: LogGroupName | *
    
    Operadores compatibles: = | != | IN | NOT IN | AND | OR | LIKE | NOT LIKE
    
    Criterios de selección de fuentes de datos: criterios de selección que especifican qué fuentes de datos se van a centralizar.
    
    Claves compatibles: | DataSourceName DataSourceType
    
    Operadores compatibles: = | != | IN | NOT IN | AND | OR | LIKE | NOT LIKE
    Cuando se especifican tanto los criterios de selección de grupos de registros como los criterios de selección de fuentes de datos, un evento de registro debe cumplir ambos criterios para poder centralizarse.
2. Grupo de registros cifrados de KMS
  
  importante
  CloudWatch Las reglas de centralización no entregarán los registros de la cuenta de origen a los grupos de registros de destino si la clave de KMS proporcionada en la regla de centralización no permite que CloudWatch Logs la utilice. Si utiliza una clave KMS administrada por el cliente en sus grupos de registros de destino, añada la etiqueta LogsManaged = true a la clave kms. Para obtener más información, consulte Paso 2: establecer permisos en la clave de KMS.
  
  Elija una de las siguientes opciones:
  - Centralice los grupos de registro de origen cifrados con claves de KMS administradas por el cliente mediante una clave de KMS administrada por el cliente específica de un destino: centralice los eventos de registro de los grupos de registro de origen cifrados con claves de KMS administradas por el cliente en los grupos de registro de destino cifrados con una clave de KMS administrada por el cliente en la cuenta de destino.
    
    Cuando se selecciona esta opción, también se debe establecer lo siguiente:
    ARN de la clave de cifrado de destino: ARN de la clave de KMS administrada por el cliente en la cuenta de destino y la región de destino principal, que se asociará a los grupos de registros de destino recién creados.
    
    ARN de la clave de cifrado de destino de la copia de seguridad (si se selecciona la región de la copia de seguridad): ARN de la clave de KMS administrada por el cliente en la cuenta de destino y en la región de destino de la copia de seguridad, que se asociará a los grupos de registros de destino recién creados.
    
    Omita la centralización en grupos de registros de destino no cifrados (opcional): si ya existe un grupo de registros sin una clave de KMS administrada por el cliente, CloudWatch no puede actualizar su cifrado. Elija esta opción para omitir la centralización de los eventos de registro de los grupos de registros de origen cifrados con claves de KMS administradas por el cliente en grupos de registros de destino que no estén asociados a una clave de KMS administrada por el cliente.
  - Centralice los grupos de registro cifrados con claves de KMS administradas por el cliente en la cuenta de destino con AWS una clave de KMS propia: centralice los eventos de registro de los grupos de registro de origen cifrados con claves de KMS administradas por el cliente en grupos de registro de destino recién creados y cifrados con una clave de KMS propia AWS .
  - No centralice los grupos de registro cifrados con claves de KMS administradas por el cliente: omita la centralización de los eventos de registro de los grupos de registro de origen cifrados con claves de KMS administradas por el cliente.
Revise la regla de centralización, y de manera opcional, realice modificaciones de última hora y elija Crear política de centralización.

Modificación de una regla de centralización

Utilice el siguiente procedimiento para modificar una regla de centralización existente.

Modificación de una regla de centralización

Diríjase a la CloudWatch consola de la cuenta de administración o administrador delegado de la organización.
Seleccione Configuración.
Navegue a la pestaña Organización.
Elija Administrar reglas.
Seleccione la regla que se desea actualizar, y elija Editar.
Actualice la configuración de la regla según sea necesario y seleccione Siguiente para continuar con cada paso.
En el paso 4, Revisar y configurar, elija Actualizar la política de centralización.

Visualización de una regla de centralización

Utilice el siguiente procedimiento para ver una regla de centralización existente.

Visualización de una regla de centralización

Navegue hasta la CloudWatch consola de la cuenta de administración o administrador delegado de la organización.
Seleccione Configuración.
Navegue a la pestaña Organización.
Elija Administrar reglas.
Vea una lista de todas las reglas de centralización existentes y elija un nombre de regla específico para ver sus detalles.

Eliminación de una regla de centralización

Utilice el siguiente procedimiento para eliminar una regla de centralización existente.

Eliminación de una regla de centralización

Navegue hasta la CloudWatch consola de la cuenta de administración o administrador delegado de la organización.
Seleccione Configuración.
Navegue a la pestaña Organización.
Elija Administrar reglas.
Seleccione la regla que quiera eliminar y elija Eliminar.
Confirme la eliminación y elija Eliminar.

Supervisión de reglas de centralización y solución de problemas

Puede supervisar el estado y el rendimiento de sus reglas de centralización mediante las CloudWatch métricas, la consola de CloudWatch registros y AWS CloudTrail los registros. Esto ayuda a garantizar que los datos de registro se replican correctamente y a identificar cualquier problema con la configuración de centralización.

CloudWatch Logs proporciona:

Estado de las reglas por regla de centralización
1. Seleccione Configuración.
2. Navegue a la pestaña Organización.
3. Elija Administrar reglas.
Registra las llamadas a la API con AWS CloudTrail
CloudWatch también publica métricas para la centralización, incluidos los eventos de registro replicados, los errores y la limitación. Para obtener más información sobre estas métricas y sus dimensiones, consulteMétricas y dimensiones de centralización.

Estado de salud de la regla de centralización

Cada regla de centralización tiene un estado de salud que indica si funciona correctamente. Puede verificar el estado de las reglas desde la consola o mediante programación mediante la API.

Los estados de salud reglamentarios incluyen:

HEALTHY: la regla funciona con normalidad y replica los datos de registro según lo configurado
UNHEALTHY: la regla ha detectado problemas y es posible que no esté replicando los datos correctamente
PROVISIONING: la centralización de la organización está en proceso de creación.

Cuando una regla se marca como UNHEALTHY, el campo FailureReason proporciona detalles sobre el problema específico que debe abordarse.

Etiquete el estado de salud de la propagación

La propagación de etiquetas tiene su propio estado de salud (TagPropagationStatus), que es independiente del estado general RuleHealth para la entrega del registro. Si configuras mal el rol de destino, el estado general de las reglas no se ve afectado; solo la propagación de etiquetas se muestra como insegura.

Healthy: El intento de propagación de etiquetas más reciente se realizó correctamente.
Unhealthy: El intento de propagación de etiquetas más reciente falló. Compruebe el TagPropagationFailureReason campo para obtener más información. Consulta la sección de solución de problemas que aparece a continuación para ver los pasos de corrección.

Supervise las llamadas a la API de centralización con AWS CloudTrail

AWS CloudTrail registra las llamadas a la API realizadas al servicio de centralización, lo que le permite realizar un seguimiento de los cambios en la configuración y solucionar los problemas de las cuentas que son miembros de su cuenta. AWS Organizations

CloudTrail Los eventos clave para la centralización incluyen:

CreateCentralizationRuleForOrganization: cuando se crea una nueva regla de centralización
UpdateCentralizationRuleForOrganization: cuando se modifica una regla existente
DeleteCentralizationRuleForOrganization: cuando se elimina una regla
GetCentralizationRuleForOrganization: cuando se recuperan los detalles de la regla
ListCentralizationRulesForOrganization: cuando las reglas aparecen en la lista

Puede usar CloudTrail los registros para auditar los cambios en la configuración de la centralización y correlacionarlos con los problemas de rendimiento o los errores de replicación.

Recomendaciones de supervisión

Para garantizar que la centralización funcione correctamente, recomendamos configurar CloudWatch alarmas en las métricas clave de centralización que vendemos a Metrics. CloudWatch Esta supervisión proactiva le ayuda a detectar los problemas de forma temprana y a mantener una centralización de registros fiable en toda la organización.

Las métricas clave que se deben supervisar incluyen:

IncomingCopiedBytes: Supervise el volumen de datos de registro que se replican correctamente en su cuenta de destino. Una caída repentina o la ausencia de esta métrica pueden indicar problemas de centralización.
CentralizationError: Configure alarmas para detectar cualquier error en el proceso de centralización a fin de identificar y resolver los problemas rápidamente.
CentralizationThrottled: Supervise los eventos de limitación que podrían afectar al rendimiento de la replicación de registros.

Para obtener una lista completa de las métricas de centralización disponibles y sus dimensiones, consulte. Métricas y dimensiones de centralización

Si los registros no se centralizan como se esperaba, revise las siguientes situaciones comunes que pueden impedir la centralización de los registros.

Datos de registro históricos

Permisos de claves de KMS

Las reglas de centralización no entregarán los registros de la cuenta de origen a los grupos de registros de destino si la clave de KMS proporcionada en la regla de centralización no permite que CloudWatch Logs la utilice. Asegúrese de que la política de claves de KMS conceda los permisos necesarios a CloudWatch los registros. Para obtener más información, consulte Paso 2: establecer permisos en la clave de KMS.

Configuración de claves de KMS gestionada por el cliente

Si seleccionó No centralizar los grupos de registros cifrados con la clave KMS administrada por el cliente durante la creación de la regla, los eventos de registro de los grupos de registros de origen cifrados con la clave KMS administrada por el cliente se omitirán y no se centralizarán.

El cifrado de destino no coincide

Si el grupo de registros de destino ya existe con una configuración de cifrado de KMS diferente a la que especifica la regla de centralización y la resolución del conflicto se establece en OMITIR, se eliminarán los registros y se generará un DestinationEncryptionMismatch error. Por ejemplo, esto ocurre cuando el destino tiene un cifrado predeterminado, pero la regla especifica una clave de KMS administrada por el cliente.

El acceso de confianza no está habilitado

El acceso de confianza debe estar habilitado CloudWatch en AWS Organizations la cuenta de administración y en la cuenta de destino para proporcionar acceso a los datos de registro.

Criterios de selección de fuentes

Compruebe que los criterios de selección de fuentes de su regla de centralización estén configurados correctamente:

Cuentas y regiones: asegúrese de que las cuentas de origen y las regiones en las que se originan los registros estén incluidas en la regla. Los grupos de registros de cuentas o regiones no especificadas en la regla no se centralizarán.
Filtros de grupos de registros: si configuró los filtros de grupos de registros, solo se centralizarán los grupos de registros que coincidan con los criterios especificados. Verifique que sus criterios de selección de grupos de registros incluyan los grupos de registros que espera centralizar.
Pertenencia a la organización: tanto la cuenta de origen como la de destino deben pertenecer a la misma AWS Organizations organización. Las cuentas ajenas a la organización no pueden participar en la centralización.

Se ha alcanzado el límite de cuota del grupo de registros

Si la cuenta de destino ha alcanzado el límite de cuota del grupo de registros, no se pueden crear nuevos grupos de registros para la centralización. Compruebe que la cuenta de destino tenga una cuota suficiente para alojar grupos de registros centralizados de todas las cuentas de origen. Si es necesario, puede solicitar un aumento

Se ha superado el límite de longitud del nombre del flujo de registro

Los nombres de los flujos de registro tienen restricciones de longitud máxima. Cuando la centralización replica las secuencias de registros en la cuenta de destino, se agrega un sufijo al nombre de la secuencia de registros. Si el nombre del flujo de registro resultante supera la longitud máxima permitida, los registros se eliminarán y se emitirá un InvalidLogStream error en la cuenta del cliente.

Estado de salud de la regla

Comprueba el estado de las reglas de centralización en la consola o mediante la GetCentralizationRuleForOrganization API. Si la regla está marcada como NO SALUDABLE, revisa el FailureReason campo para obtener información específica sobre el problema.

Etiquete el estado de salud de la propagación

Si TagPropagationStatus apareceUnhealthy, compruebe el TagPropagationFailureReason campo:

RoleNotAssumable: El servicio no puede asumir la función de destino. Compruebe que la política de confianza del rol permite que el rol vinculado al servicio de centralización lo asuma y que sts:ExternalId coincide con el identificador de su organización.
RoleLacksPermissions: Se asumió la función, pero se denegó la llamada a la API de etiquetas. Asegúrese de que la política de permisos del rol otorga logs:ListTagsForResource y de logs:UntagResource los grupos de registros de destino. logs:TagResource

Para diagnosticar problemas de centralización, revise el estado de las reglas de centralización en la consola, compruebe si hay errores y limitaciones en CloudWatch las métricas y examine los AWS CloudTrail registros para ver si hay errores en las llamadas a la API. Para obtener más información sobre las métricas de centralización, consulte. Métricas y dimensiones de centralización

Aviso JavaScript está desactivado o no está disponible en su navegador.

Para utilizar la documentación de AWS, debe estar habilitado JavaScript. Para obtener más información, consulte las páginas de ayuda de su navegador.

Convenciones del documento

Solución de problemas con CloudWatch Logs Live Tail

Uso de grupos de registro y flujos de registros