Permisos y políticas de IAM para canalizaciones de CloudWatch

En esta sección se describen los requisitos de IAM para las canalizaciones de CloudWatch. Los permisos varían según el origen de datos y el método de integración.

La siguiente tabla le ayuda a identificar qué secciones de IAM se aplican a su caso de uso.

Permisos para intermediarios que llaman a la API

La entidad principal de IAM que llama a CreateTelemetryPipeline necesita el permiso iam:PassRole para cualquier rol al que se haga referencia en la configuración de la canalización.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "PassRoleForPipelineSource",
            "Effect": "Allow",
            "Action": "iam:PassRole",
            "Resource": "arn:aws:iam::your-account-id:role/your-source-role",
            "Condition": {
                "StringEquals": {
                    "iam:PassedToService": [
                        "service-principal"
                    ],
                    "iam:AssociatedResourceARN": [
                        "arn:aws:observabilityadmin:your-region:your-account-id:telemetry-pipeline/*"
                    ]
                }
            }
        }
    ]
}

Sustituya service-principal por el valor de la siguiente tabla según su caso de uso.

Permisos de las reglas de canalización (solo para orígenes de Registros de CloudWatch)

Cuando se utiliza cloudwatch_logs como origen, quien realiza la llamada a la API también necesita permisos para las operaciones relacionadas con las reglas de canalización. El permiso logs:PutPipelineRule es necesario para las operaciones CreateTelemetryPipeline y UpdateTelemetryPipeline. El permiso logs:DeletePipelineRule es necesario para las operaciones DeleteTelemetryPipeline.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "PipelineRuleForCloudWatchLogs",
            "Effect": "Allow",
            "Action": [
                "logs:PutPipelineRule",
                "logs:DeletePipelineRule"
            ],
            "Resource": "*"
        }
    ]
}

Políticas del rol de origen

Cada canalización requiere un rol de IAM dedicado que el servicio asume para leer los datos. En las siguientes subsecciones se presentan las políticas de permisos y confianza completas para cada caso de uso.

Orígenes de terceros (extracción mediante API)

Esta sección se aplica a Microsoft Office 365, Microsoft Entra ID, Okta SSO, Palo Alto NGFW y otras integraciones con API de proveedores que almacenan credenciales en AWS Secrets Manager.

Política de permisos

La siguiente política permite que el rol recupere las credenciales de API almacenadas.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "secrets-manager-access",
            "Effect": "Allow",
            "Action": [
                "secretsmanager:GetSecretValue"
            ],
            "Resource": "arn:aws:secretsmanager:your-region:your-account-id:secret:your-secret-name*"
        },
        {
            "Sid": "kms-access",
            "Effect": "Allow",
            "Action": "kms:Decrypt",
            "Resource": "arn:aws:kms:your-region:your-account-id:key/your-key-id"
        }
    ]
}

Política de confianza

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "telemetry-pipelines.observabilityadmin.amazonaws.com"
            },
            "Action": "sts:AssumeRole"
        }
    ]
}

Configuración completa de IAM para canalizaciones de extracción mediante API

El siguiente ejemplo muestra todas las políticas de IAM necesarias para crear de principio a fin una canalización de extracción mediante una API de terceros.

Política de identidad de quien realiza la llamada: asóciela a la entidad principal que llama a CreateTelemetryPipeline:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "CreateApiPullPipeline",
            "Effect": "Allow",
            "Action": [
                "observabilityadmin:CreateTelemetryPipeline",
                "iam:PassRole"
            ],
            "Resource": "*"
        }
    ]
}

Política de permisos del rol de origen: asóciela al rol que asume la canalización:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "SecretsManagerAccess",
            "Effect": "Allow",
            "Action": [
                "secretsmanager:GetSecretValue"
            ],
            "Resource": "arn:aws:secretsmanager:your-region:your-account-id:secret:your-secret-name*"
        }
    ]
}

Política de confianza del rol de origen:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "telemetry-pipelines.observabilityadmin.amazonaws.com"
            },
            "Action": "sts:AssumeRole"
        }
    ]
}

Orígenes de terceros (entrega a S3)

Esta sección se aplica a cualquier proveedor externo que entregue archivos de registro al bucket de S3 (por ejemplo, CrowdStrike Falcon, Wiz o Cisco Umbrella).

Política de permisos

La siguiente política permite que el rol lea objetos de S3 y consuma notificaciones de SQS.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "s3-access",
            "Effect": "Allow",
            "Action": [
                "s3:GetObject"
            ],
            "Resource": "arn:aws:s3:::your-bucket-name/*"
        },
        {
            "Sid": "sqs-access",
            "Effect": "Allow",
            "Action": [
                "sqs:ReceiveMessage",
                "sqs:DeleteMessage",
                "sqs:ChangeMessageVisibility"
            ],
            "Resource": "arn:aws:sqs:your-region:your-account-id:your-queue-name"
        },
        {
            "Sid": "kms-access",
            "Effect": "Allow",
            "Action": "kms:Decrypt",
            "Resource": "arn:aws:kms:your-region:your-account-id:key/your-key-id"
        }
    ]
}

Política de confianza

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "telemetry-pipelines.observabilityadmin.amazonaws.com"
            },
            "Action": "sts:AssumeRole"
        }
    ]
}

Configuración completa de IAM para canalizaciones de entrega a S3

El siguiente ejemplo muestra todas las políticas de IAM necesarias para crear de principio a fin una canalización de entrega a S3.

Política de identidad de quien realiza la llamada: asóciela a la entidad principal que llama a CreateTelemetryPipeline:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "CreateS3Pipeline",
            "Effect": "Allow",
            "Action": [
                "observabilityadmin:CreateTelemetryPipeline",
                "iam:PassRole"
            ],
            "Resource": "*"
        }
    ]
}

Política de permisos del rol de origen: asóciela al rol que asume la canalización:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "S3Access",
            "Effect": "Allow",
            "Action": [
                "s3:GetObject"
            ],
            "Resource": "arn:aws:s3:::your-bucket-name/*"
        },
        {
            "Sid": "SqsAccess",
            "Effect": "Allow",
            "Action": [
                "sqs:ReceiveMessage",
                "sqs:DeleteMessage",
                "sqs:ChangeMessageVisibility"
            ],
            "Resource": "arn:aws:sqs:your-region:your-account-id:your-queue-name"
        }
    ]
}

Política de confianza del rol de origen:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "telemetry-pipelines.observabilityadmin.amazonaws.com"
            },
            "Action": "sts:AssumeRole"
        }
    ]
}

Datos personalizados desde S3

Esta sección se aplica a aplicaciones o infraestructura propias que escriben archivos de registro en un bucket de S3.

La configuración de IAM es idéntica a Orígenes de terceros (entrega a S3). Utilice la misma política de permisos y la misma política de confianza. La canalización lee datos del bucket mediante notificaciones de eventos de SQS, independientemente de quién haya escrito los datos.

Datos personalizados desde Registros de CloudWatch

Esta sección se aplica a sus propias aplicaciones que envían registros a un grupo de registro de Registros de CloudWatch (por ejemplo, funciones de Lambda, contenedores de ECS o aplicaciones personalizadas en EC2).

Política de permisos

La siguiente política permite que el rol procese registros de los grupos de registro especificados.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "logs-processing-access",
            "Effect": "Allow",
            "Action": [
                "logs:processWithPipeline"
            ],
            "Resource": [
                "arn:aws:logs:your-region:your-account-id:log-group:your-log-group-01",
                "arn:aws:logs:your-region:your-account-id:log-group:your-log-group-02"
            ]
        }
    ]
}

Puede limitar el alcance de este permiso mediante las claves de condición logs:data_source_name ylogs:data_source_type para restringir qué orígenes de canalización pueden invocar transformaciones. El valor de logs:data_source_name corresponde a data_source_name en la configuración de la canalización y logs:data_source_type corresponde a data_source_type en la configuración de la canalización.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowProcessWithPipelineScopedDown",
            "Effect": "Allow",
            "Action": "logs:ProcessWithPipeline",
            "Resource": "arn:aws:logs:your-region:your-account-id:log-group:your-log-group-name",
            "Condition": {
                "StringEquals": {
                    "aws:ResourceAccount": "your-account-id",
                    "logs:data_source_name": "your-source-name",
                    "logs:data_source_type": "your-source-type"
                }
            }
        }
    ]
}

Política de confianza

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "logs.amazonaws.com"
            },
            "Action": "sts:AssumeRole"
        }
    ]
}

Configuración completa de IAM para canalizaciones de Registros de CloudWatch

El siguiente ejemplo muestra todas las políticas de IAM necesarias para crear de principio a fin una canalización de Registros de CloudWatch.

Política de identidad de quien realiza la llamada: asóciela a la entidad principal que llama a CreateTelemetryPipeline:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "CreateLogsPipeline",
            "Effect": "Allow",
            "Action": [
                "observabilityadmin:CreateTelemetryPipeline",
                "logs:PutPipelineRule",
                "logs:DeletePipelineRule",
                "iam:PassRole"
            ],
            "Resource": "*"
        }
    ]
}

Política de permisos del rol de origen: asóciela al rol que asume la canalización:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "LogsProcessing",
            "Effect": "Allow",
            "Action": [
                "logs:processWithPipeline"
            ],
            "Resource": [
                "arn:aws:logs:your-region:your-account-id:log-group:your-log-group"
            ]
        }
    ]
}

Política de confianza del rol de origen:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "logs.amazonaws.com"
            },
            "Action": "sts:AssumeRole"
        }
    ]
}

Registros de servicios proporcionados por AWS

Esta sección se aplica a los registros de servicios de AWS entregados a Registros de CloudWatch, como los registros de flujo de VPC, los registros de consultas de Route 53 y otros tipos de registros proporcionados por AWS.

La configuración de IAM es idéntica a Datos personalizados desde Registros de CloudWatch. Use la misma política de permisos (logs:processWithPipeline limitada al grupo de registro) y la misma política de confianza (logs.amazonaws.com).

Debido a que utiliza el tipo de origen cloudwatch_logs, quien realiza la llamada también necesita los permisos logs:PutPipelineRule y logs:DeletePipelineRule. Consulte Permisos de las reglas de canalización (solo para orígenes de Registros de CloudWatch).

Políticas de recursos

Las políticas de recursos de Registros de CloudWatch son necesarias para los orígenes basados en S3 y los orígenes basados en Secrets Manager (integraciones de terceros). No se requieren políticas de recursos para los orígenes de Registros de CloudWatch (datos personalizados o registros proporcionados).

Después de llamar a CreateTelemetryPipeline, recibirá un ARN de canalización. A continuación, debe llamar a logs:PutResourcePolicy para permitir que la entidad principal de servicio de las canalizaciones de CloudWatch escriba en el grupo de registro configurado.

{
    "policyName": "resourceArn=arn:aws:logs:your-region:your-account-id:log-group:your-log-group-name:*",
    "policyDocument": {
        "Version": "2012-10-17",
        "Statement": [
            {
                "Effect": "Allow",
                "Principal": {
                    "Service": "telemetry-pipelines.observabilityadmin.amazonaws.com"
                },
                "Action": [
                    "logs:CreateLogStream",
                    "logs:PutLogEvents"
                ],
                "Condition": {
                    "StringEquals": {
                        "aws:SourceArn": "arn:aws:observabilityadmin:your-region:your-account-id:telemetry-pipeline/your-pipeline-id"
                    }
                }
            }
        ]
    }
}

Administración de políticas de recursos

Utilice la CLI de AWS para crear o actualizar las políticas de recursos de Registros de CloudWatch para las canalizaciones de CloudWatch.

Para comprobar las políticas existentes

aws logs describe-resource-policies \
    --resource-arn arn:aws:logs:your-region:your-account-id:log-group:your-log-group-name:*

Creación de una nueva política de

aws logs put-resource-policy \
    --region your-region \
    --policy-name "resourceArn=arn:aws:logs:your-region:your-account-id:log-group:your-log-group-name:*" \
    --policy-document file://policy.json

Para combinar con una política existente

Si ya existe una política de recursos, agregue la nueva instrucción a la matriz Statement existente en el documento de política y, a continuación, vuelva a llamar a put-resource-policy con el archivo combinado.

Confirme que la política se haya creado o actualizado correctamente:

aws logs describe-resource-policies \
    --resource-arn arn:aws:logs:your-region:your-account-id:log-group:your-log-group-name:*

Reemplace los siguientes marcadores de posición:

Claves de condición de canalización

Las canalizaciones de CloudWatch admiten claves de condición de IAM que permiten restringir quién puede crear canalizaciones y qué cuentas pueden asumir roles de origen. Utilice estas claves de condición para aplicar políticas de gobernanza en toda su organización.

Condiciones de CreateTelemetryPipeline

Utilice estas claves de condición en las políticas de identidad para controlar qué canalizaciones puede crear una entidad principal.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowPipelineCreationForSpecificSourceType",
            "Effect": "Allow",
            "Action": "observabilityadmin:CreateTelemetryPipeline",
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "observabilityadmin:SourceType": "cloudwatch_logs"
                }
            }
        }
    ]
}

Condiciones de la política de confianza del rol de origen

Utilice estas claves de condición en la política de confianza del rol de origen para restringir qué cuenta puede asumir el rol. Esto ayuda a prevenir ataques de intermediario confundido, en los que el servicio podría actuar en nombre de una cuenta diferente.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "logs.amazonaws.com"
            },
            "Action": "sts:AssumeRole",
            "Condition": {
                "StringEquals": {
                    "aws:SourceAccount": "your-account-id"
                },
                "ArnLike": {
                    "aws:SourceArn": "arn:aws:logs:your-region:your-account-id:log-group:*"
                }
            }
        }
    ]
}

Permisos de la configuración de procesadores asistida por IA

Para usar la configuración de procesadores asistida por IA en la consola de canalizaciones de CloudWatch, la entidad principal de IAM debe tener el permiso logs:GeneratePipeline. Este permiso permite la generación de configuraciones de procesadores a partir de descripciones en lenguaje natural.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowGeneratePipeline",
            "Effect": "Allow",
            "Action": "logs:GeneratePipeline",
            "Resource": "*"
        }
    ]
}