Acciones Tipos de recurso Claves de condición

Claves de condición, recursos y acciones de Amazon CloudWatch Logs

Amazon CloudWatch Logs (prefijo de servicio:logs) proporciona los siguientes recursos, acciones y claves de contexto de condición específicos del servicio para su uso en las políticas de permisos de IAM.

Referencias:

Obtenga información para configurar este servicio.
Vea una lista de las operaciones de API disponibles para este servicio.
Obtenga información sobre cómo proteger este servicio y sus recursos mediante las políticas de permisos de IAM.

Temas

Acciones definidas por Amazon CloudWatch Logs
Tipos de recursos definidos por Amazon CloudWatch Logs
Claves de condición de Amazon CloudWatch Logs

Acciones definidas por Amazon CloudWatch Logs

Puede especificar las siguientes acciones en el elemento Action de una declaración de política de IAM. Utilice políticas para conceder permisos para realizar una operación en AWS. Cuando utiliza una acción en una política, normalmente permite o deniega el acceso a la operación de la API o comandos de la CLI con el mismo nombre. No obstante, en algunos casos, una sola acción controla el acceso a más de una operación. Asimismo, algunas operaciones requieren varias acciones diferentes.

La columna Nivel de acceso de la tabla Acciones describe cómo se clasifica la acción (lista, lectura, administración de permisos o etiquetado). Esta clasificación puede ayudarle a entender el nivel de acceso que una acción concede cuando se utiliza en una política. Para obtener más información sobre los niveles de acceso, consulte Niveles de acceso en los resúmenes de políticas.

La columna Tipos de recurso de la tabla de Acción indica si cada acción admite permisos de nivel de recursos. Si no hay ningún valor para esta columna, debe especificar todos los recursos ("*") a los que aplica la política en el elemento Resource de la instrucción de su política. Si la columna incluye un tipo de recurso, puede especificar un ARN de ese tipo en una instrucción con dicha acción. Si la acción tiene uno o más recursos necesarios, la persona que llama debe tener permiso para usar la acción con esos recursos. Los recursos necesarios se indican en la tabla con un asterisco (*). Si limita el acceso a los recursos con el elemento Resource de una política de IAM, debe incluir un ARN o patrón para cada tipo de recurso requerido. Algunas acciones admiten varios tipos de recursos. Si el tipo de recurso es opcional (no se indica como obligatorio), puede elegir utilizar uno de los tipos de recursos opcionales.

La columna Claves de condición de la tabla Acciones incluye claves que puede especificar en el elemento Condition de la instrucción de una política. Para obtener más información sobre las claves de condición asociadas a los recursos del servicio, consulte la columna Claves de condición de la tabla Tipos de recursos.

La columna Acciones dependientes de la tabla Acciones muestra los permisos adicionales que pueden ser necesarios para llamar a una acción correctamente. Es posible que estos permisos sean necesarios además del permiso para la acción en sí. Cuando una acción especifica acciones dependientes, esas dependencias pueden aplicarse a los recursos adicionales definidos para esa acción, no solo al primer recurso de la tabla.

nota

Las claves de condición de recursos se enumeran en la tabla Tipos de recursos. Encontrará un enlace al tipo de recurso que se aplica a una acción en la columna Tipos de recursos (*obligatorio) de la tabla Acciones. El tipo de recurso de la tabla Tipos de recursos incluye la columna Claves de condición, que son las claves de condición del recurso que se aplican a una acción de la tabla Acciones.

Para obtener información detallada sobre las columnas de la siguiente tabla, consulte Tabla Acciones.

Acciones	Descripción	Nivel de acceso	Tipos de recursos (*necesarios)	Claves de condición	Acciones dependientes
AssociateKmsKey	Otorga permiso para asociar la AWS clave maestra del cliente (CMK) del Servicio de administración de claves (AWS KMS) especificada al grupo de registros especificado	Escritura	log-group*
AssociateSourceToS3TableIntegration	Otorga permiso para asociar una fuente de registro a una integración de S3 Tables	Escritura
CancelExportTask	Otorga permiso para cancelar una tarea de exportación si se encuentra en estado PENDING (Pendiente) o RUNNING (En ejecución)	Escritura
CancelImportTask	Otorga permiso para cancelar una importación de CloudTrail Lake a CloudWatch	Escritura
CreateDelivery	Concede permiso para crear una entrega que conecte una fuente de entrega a un destino de entrega	Escritura	delivery*
			delivery-destination*
			delivery-source*
				aws:TagKeys aws:RequestTag/${TagKey}
CreateExportTask	Otorga permiso para crear un ExportTask que le permite exportar datos de manera eficiente desde un grupo de registros a su bucket de Amazon S3	Escritura	log-group*
CreateImportTask	Otorga permiso para iniciar un proceso asíncrono de importación de datos de un almacén de datos de eventos de CloudTrail Lake a un grupo de registros administrado en CloudWatch	Escritura
CreateLogAnomalyDetector	Otorga permiso para crear un detector de anomalías de registro	Escritura	log-group*
CreateLogAnomalyDetector		Escritura		aws:TagKeys aws:RequestTag/${TagKey}
CreateLogDelivery [solo permiso]	Otorga permiso para crear la entrega de registros	Escritura
CreateLogGroup	Otorga permiso para crear un nuevo grupo de registro con el nombre especificado	Escritura	log-group*
CreateLogGroup		Escritura		aws:TagKeys aws:RequestTag/${TagKey}
CreateLogStream	Otorga permiso para crear un nuevo flujo de registro con el nombre especificado	Escritura	log-stream*
CreateScheduledQuery	Otorga permiso para crear una consulta programada	Escritura	scheduled-query*
CreateScheduledQuery	Otorga permiso para crear una consulta programada	Escritura		aws:TagKeys aws:RequestTag/${TagKey}
DeleteAccountPolicy	Concede permiso para eliminar una política de cuenta.	Escritura
DeleteDataProtectionPolicy	Otorga permiso para eliminar una política de protección de datos adjunta a un grupo de registro	Escritura	log-group*
DeleteDelivery	Concede permiso para eliminar una entrega	Escritura	delivery*
DeleteDeliveryDestination	Concede permiso para eliminar un destino de entrega una vez que se eliminen todas las entregas asociadas	Escritura	delivery-destination*
DeleteDeliveryDestinationPolicy	Concede permiso para eliminar una política de destino de entrega asociada a un destino de entrega	Escritura	delivery-destination*
DeleteDeliverySource	Concede permiso para eliminar un origen de entrega una vez que se eliminen todos los envíos asociados	Escritura	delivery-destination*
DeleteDestination	Otorga permiso para eliminar el destino con el nombre especificado	Escritura	destination*
DeleteIndexPolicy	Concede permiso para eliminar una política de indexación adjunta a un grupo de registro.	Escritura
DeleteIntegration	Concede permiso para eliminar la integración.	Escritura
DeleteLogAnomalyDetector	Otorga permiso para eliminar un detector de anomalías de registro	Escritura	anomaly-detector*
DeleteLogDelivery [solo permiso]	Otorga permiso para eliminar la información de entrega de registros de la entrega de registros especificada	Escritura
DeleteLogGroup	Otorga permiso para eliminar el grupo de registro con el nombre especificado	Escritura	log-group*
DeleteLogStream	Otorga permiso para eliminar un flujo de registro	Escritura	log-stream*
DeleteMetricFilter	Otorga permiso para eliminar un filtro de métricas asociado al grupo de registro especificado	Escritura	log-group*
DeletePipelineRule [solo permiso]	Otorga permiso para eliminar la canalización de telemetría	Escritura
DeleteQueryDefinition	Otorga permiso para eliminar una definición de consulta de CloudWatch Logs Insights guardada	Escritura
DeleteResourcePolicy	Otorga permiso para eliminar una política de recursos de esta cuenta	Administración de permisos
DeleteRetentionPolicy	Otorga permiso para eliminar la política de retención del grupo de registro especificado	Escritura	log-group*
DeleteScheduledQuery	Otorga permiso para eliminar una consulta programada	Escritura	scheduled-query*
DeleteSubscriptionFilter	Otorga permiso para eliminar un filtro de suscripción asociado al grupo de registro especificado	Escritura	log-group*
DeleteTransformer	Concede permiso para eliminar un transformador asociado al grupo de registro especificado.	Escritura	log-group*
DescribeAccountPolicies	Concede permiso para recuperar las políticas de la cuenta.	Enumeración
DescribeConfigurationTemplates	Concede permiso para recuperar una lista de plantillas de configuración de los tipos de registro disponibles	Enumeración
DescribeDeliveries	Concede permiso para recuperar una lista de entregas de una cuenta	Enumeración
DescribeDeliveryDestinations	Concede permisos para recuperar una lista de destinos de entrega dentro de una cuenta	Enumeración
DescribeDeliverySources	Concede permiso para recuperar una lista de origen de entrega en una cuenta	Enumeración
DescribeDestinations	Otorga permiso para devolver todos los destinos asociados a la Cuenta de AWS realización de la solicitud	Enumeración
DescribeExportTasks	Otorga permiso para devolver todas las tareas de exportación asociadas a la Cuenta de AWS realización de la solicitud	Enumeración
DescribeFieldIndexes	Concede permiso para devolver todos los atributos de indexación que están asociados a los grupos de registro.	Enumeración
DescribeImportTaskBatches	Otorga permiso para devolver información detallada sobre los lotes individuales de una tarea de importación, incluido el estado y cualquier error	Enumeración
DescribeImportTasks	Otorga permiso para devolver todas las tareas de importación asociadas a la Cuenta de AWS realización de la solicitud	Enumeración
DescribeIndexPolicies	Concede permiso para devolver todas las políticas de indexación que están asociadas a los grupos de registro.	Enumeración
DescribeLogGroups	Otorga permiso para devolver todos los grupos de registros asociados a la Cuenta de AWS realización de la solicitud	Enumeración
DescribeLogStreams	Otorga permiso para devolver todos los flujos de registro que están asociados al grupo de registro especificado	Enumeración	log-group*
DescribeMetricFilters	Otorga permiso para devolver todos los filtros de métricas asociados al grupo de registro especificado	Enumeración	log-group*
DescribeQueries	Otorga permiso para devolver una lista de las consultas de CloudWatch Logs Insights que están programadas, en ejecución o que se han ejecutado recientemente en esta cuenta	Enumeración
DescribeQueryDefinitions	Otorga permiso para devolver una lista paginada de las definiciones de consultas de CloudWatch Logs Insights guardadas	Enumeración
DescribeResourcePolicies	Otorga permiso para devolver todas las políticas de recursos en esta cuenta	Enumeración
DescribeSubscriptionFilters	Otorga permiso para devolver todos los filtros de suscripción asociados al grupo de registro especificado	Enumeración	log-group*
DisassociateKmsKey	Otorga permiso para desasociar la AWS clave maestra del cliente (CMK) del Servicio de administración de claves (AWS KMS) asociada del grupo de registros especificado	Escritura	log-group*
DisassociateSourceFromS3TableIntegration	Otorga permiso para desasociar una fuente de registro de una integración de S3 Tables	Escritura
FilterLogEvents	Otorga permiso para recuperar los eventos de registro, que se filtran de forma opcional por un patrón de filtro del grupo de registro especificado	Lectura	log-group*
GetDataProtectionPolicy	Otorga permiso para recuperar una política de protección de datos adjunta a un grupo de registro	Lectura	log-group*
GetDelivery	Concede permiso para recuperar una entrega única	Lectura	delivery*
GetDeliveryDestination	Concede permiso para recuperar un único destino de entrega	Lectura	delivery-destination*
GetDeliveryDestinationPolicy	Concede permiso para recuperar una política de destino de entrega adjunta a un destino de entrega	Lectura	delivery-destination*
GetDeliverySource	Concede permiso para recuperar un origen de entrega única	Lectura	delivery-source*
GetIntegration	Concede permiso para recuperar una integración única.	Lectura
GetLogAnomalyDetector	Otorga permiso para obtener una lista de detectores de anomalías de registro	Lectura	anomaly-detector*
GetLogDelivery [solo permiso]	Otorga permiso para obtener la información de entrega de registros de la entrega de registros especificada	Lectura
GetLogEvents	Otorga permiso para recuperar los eventos de registro del flujo de registro especificado	Lectura	log-stream*
GetLogFields	Otorga permiso para recuperar una lista de campos de registro para una fuente de datos	Lectura
GetLogGroupFields	Otorga permiso para devolver una lista de los campos que se incluyen en los eventos de registro en el grupo de registro especificado, junto con el porcentaje de eventos de registro que contiene cada campo	Lectura	log-group*
GetLogRecord	Otorga permiso para recuperar todos los campos y valores de un único evento de registro	Lectura	log-group*
GetQueryResults	Otorga permiso para devolver los resultados de la consulta especificada	Lectura	log-group*
GetScheduledQuery	Otorga permiso para recuperar información sobre una consulta programada específica	Lectura	scheduled-query*
GetScheduledQueryHistory	Otorga permiso para devolver el historial de ejecución de una consulta programada especificada	Lectura	scheduled-query*
GetTransformer	Concede permiso para devolver un transformador asociado al grupo de registro especificado.	Lectura	log-group*
IntegrateWithS3Table [solo permiso]	Otorga permiso para entregar los eventos de registro a las tablas de S3	Escritura	log-group*
Link [solo permiso]	Otorga permiso para compartir CloudWatch recursos con una cuenta de monitoreo	Escritura
ListAggregateLogGroupSummaries	Otorga permiso para devolver un resumen agregado de todos los grupos de registros de la región agrupados según las características específicas de la fuente de datos	Enumeración
ListAnomalies	Otorga permiso para enumerar todas las anomalías detectadas al realizar la solicitud Cuenta de AWS	Enumeración	anomaly-detector
ListEntitiesForLogGroup [solo permiso]	Concede permiso para recuperar todas las entidades asociadas al grupo de registro.	Enumeración
ListIntegrations	Otorga permiso para enumerar todas las integraciones asociadas a la presentación de la solicitud Cuenta de AWS	Enumeración
ListLogAnomalyDetectors	Otorga permiso para devolver todos los detectores de anomalías asociados a la Cuenta de AWS solicitud	Enumeración	anomaly-detector
ListLogDeliveries [solo permiso]	Otorga permiso para enumerar todas las entregas de registros de una fuente de and/or registro de cuentas específica	Enumeración
ListLogGroups	Otorga permiso para devolver todos los grupos de registros asociados Cuenta de AWS a la solicitud	Enumeración
ListLogGroupsForEntity [solo permiso]	Concede permiso para recuperar todos los grupos de registro asociados con la entidad.	Enumeración
ListLogGroupsForQuery	Concede permiso para devolver todos los grupos de registro asociados con la consulta especificada.	Enumeración
ListScheduledQueries	Otorga permiso para devolver todas las consultas programadas asociadas a la Cuenta de AWS realización de la solicitud	Enumeración
ListSourcesForS3TableIntegration	Otorga permiso para devolver todas las fuentes de registro asociadas a una integración de S3 Tables	Enumeración
ListTagsForResource	Otorga permiso para enumerar las etiquetas del recurso especificado	Enumeración	anomaly-detector
			delivery
			delivery-destination
			delivery-source
			destination
			log-group
ListTagsLogGroup	Otorga permiso para enumerar las etiquetas para el grupo de registro especificado	Enumeración	log-group*
ProcessWithPipeline [solo permiso]	Otorga permiso para procesar y transformar los eventos de registro mediante transformadores de canalización antes del almacenamiento	Escritura	log-group*
PutAccountPolicy	Concede permiso para adjuntar una política de cuenta.	Escritura
PutDataProtectionPolicy	Otorga permiso para adjuntar una política de protección de datos para detectar y eliminar información confidencial de los eventos de registro	Escritura	log-group*
PutDeliveryDestination	Otorga permiso a create/update un destino de entrega	Escritura	delivery-destination*
PutDeliveryDestination	Otorga permiso a create/update un destino de entrega	Escritura		aws:TagKeys aws:RequestTag/${TagKey} logs:DeliveryDestinationResourceArn
PutDeliveryDestinationPolicy	Concede permiso para adjuntar una política de destino de entrega a un destino de entrega	Escritura	delivery-destination*
PutDeliverySource	Otorga permiso a create/update una fuente de entrega	Escritura	delivery-source*
PutDeliverySource	Otorga permiso a create/update una fuente de entrega	Escritura		aws:TagKeys aws:RequestTag/${TagKey} logs:LogGeneratingResourceArns
PutDestination	Otorga permiso para crear o actualizar un destino	Escritura	destination*		iam:PassRole
PutDestination	Otorga permiso para crear o actualizar un destino	Escritura		aws:TagKeys aws:RequestTag/${TagKey}
PutDestinationPolicy	Otorga permiso para crear o actualizar una política de acceso asociada a un destino existente	Escritura	destination*
PutIndexPolicy	Concede permiso para adjuntar una política de indexación a nivel de grupo de registro y optimizar la búsqueda y las consultas.	Escritura
PutIntegration	Concede permiso para crear una integración entre los registros de CloudWatch y OpenSearch.	Escritura
PutLogEvents	Otorga permiso para cargar un lote de eventos de registro en el flujo de registro especificado	Escritura	log-stream*
PutLogGroupDeletionProtection	Otorga permiso para habilitar o deshabilitar la protección contra la eliminación para el grupo de registros especificado	Escritura	log-group*
PutMetricFilter	Otorga permiso para crear o actualizar un filtro de métricas y lo asocia al grupo de registro especificado	Escritura	log-group*
PutPipelineRule [solo permiso]	Otorga permiso para crear una canalización de telemetría	Escritura
PutQueryDefinition	Otorga permiso para crear o actualizar una definición de consulta	Escritura
PutResourcePolicy	Otorga permiso para crear o actualizar una política de recursos que permita a otros AWS servicios colocar los eventos de registro en esta cuenta	Administración de permisos
PutRetentionPolicy	Otorga permiso para configurar la retención del grupo de registro especificado	Escritura	log-group*
PutSubscriptionFilter	Otorga permiso para crear o actualizar un filtro de suscripciones y lo asocia al grupo de registro especificado	Escritura	log-group*		iam:PassRole
PutSubscriptionFilter		Escritura	destination
PutTransformer	Concede permiso para crear o actualizar un transformador y asociarlo al grupo de registro especificado.	Escritura	log-group*
StartLiveTail	Otorga permiso para iniciar una sesión de Live Tail en CloudWatch Logs	Lectura	log-group*
StartQuery	Otorga permiso para programar una consulta de un grupo de CloudWatch registros mediante Logs Insights	Lectura	log-group*
StopLiveTail [solo permiso]	Concede permiso para detener una sesión de Live Tail que está en curso	Lectura
StopQuery	Otorga permiso para detener una consulta de CloudWatch Logs Insights que está en curso	Lectura
TagLogGroup	Otorga permiso para agregar o actualizar las etiquetas especificadas del grupo de registro especificado	Etiquetado	log-group*
TagLogGroup		Etiquetado		aws:TagKeys aws:RequestTag/${TagKey}
TagResource	Otorga permiso para agregar o actualizar las etiquetas especificadas para el recurso especificado	Etiquetado	anomaly-detector
			delivery
			delivery-destination
			delivery-source
			destination
			log-group
			scheduled-query
				aws:TagKeys aws:RequestTag/${TagKey}
TestMetricFilter	Otorga permiso para probar el patrón de filtro de un filtro de métricas y compararlo con una muestra de los mensajes de eventos de registro	Lectura
TestTransformer	Concede permiso para probar el transformador y compararlo con una muestra de los mensajes de evento de registro.	Lectura
Unmask [solo permiso]	Otorga permiso para recuperar eventos de registro desenmascarados que se han eliminado con una política de protección de datos	Lectura	log-group*
UntagLogGroup	Otorga permiso para quitar las etiquetas especificadas del grupo de registro especificado	Etiquetado	log-group*
UntagLogGroup		Etiquetado		aws:TagKeys
UntagResource	Otorga permiso para quitar las etiquetas especificadas de los recursos especificados	Etiquetado	anomaly-detector
			delivery
			delivery-destination
			delivery-source
			destination
			log-group
			scheduled-query
				aws:TagKeys
UpdateAnomaly	Otorga permiso para actualizar una anomalía informada por un detector de anomalías de registro	Escritura	anomaly-detector*
UpdateDeliveryConfiguration	Concede permiso para actualizar la configuración relacionada con una entrega	Escritura	delivery*
			delivery-destination*
			delivery-source*
				aws:TagKeys aws:RequestTag/${TagKey}
UpdateLogAnomalyDetector	Otorga permiso para actualizar un detector de anomalías de registro	Escritura	anomaly-detector*
UpdateLogDelivery [solo permiso]	Otorga permiso para actualizar la información de entrega de registros de la entrega de registros especificada	Escritura
UpdateScheduledQuery	Otorga permiso para actualizar una consulta programada	Escritura	scheduled-query*

Tipos de recursos definidos por Amazon CloudWatch Logs

Los siguientes tipos de recurso están definidos por este servicio y se pueden utilizar en el elemento Resource de las instrucciones de política de permisos de IAM. Cada acción de la tabla Acciones identifica los tipos de recursos que se pueden especificar con dicha acción. Un tipo de recurso también puede definir qué claves de condición se pueden incluir en una política. Estas claves se muestran en la última columna de la tabla Tipos de recursos. Para obtener información detallada sobre las columnas de la siguiente tabla, consulte Tabla Tipos de recurso.

Tipos de recurso	ARN	Claves de condición
log-group	`arn:${Partition}:logs:${Region}:${Account}:log-group:${LogGroupName}`	aws:ResourceTag/${TagKey}
log-stream	`arn:${Partition}:logs:${Region}:${Account}:log-group:${LogGroupName}:log-stream:${LogStreamName}`	aws:ResourceTag/${TagKey}
destination	`arn:${Partition}:logs:${Region}:${Account}:destination:${DestinationName}`	aws:ResourceTag/${TagKey}
delivery-source	`arn:${Partition}:logs:${Region}:${Account}:delivery-source:${DeliverySourceName}`	aws:ResourceTag/${TagKey}
delivery	`arn:${Partition}:logs:${Region}:${Account}:delivery:${DeliveryName}`	aws:ResourceTag/${TagKey}
delivery-destination	`arn:${Partition}:logs:${Region}:${Account}:delivery-destination:${DeliveryDestinationName}`	aws:ResourceTag/${TagKey}
anomaly-detector	`arn:${Partition}:logs:${Region}:${Account}:anomaly-detector:${DetectorId}`	aws:ResourceTag/${TagKey}
scheduled-query	`arn:${Partition}:logs:${Region}:${Account}:scheduled-query:${ScheduledQueryId}`	aws:ResourceTag/${TagKey}

Claves de condición de Amazon CloudWatch Logs

Amazon CloudWatch Logs define las siguientes claves de condición que se pueden utilizar en el Condition elemento de una política de IAM. Puede utilizar estas claves para ajustar más las condiciones en las que se aplica la instrucción de política. Para obtener información detallada sobre las columnas de la siguiente tabla, consulte Tabla de Claves de condición.

A fin de ver las claves de condición globales que están disponibles para todos los servicios, consulte AWS Claves de contexto de condición globales.

Claves de condición	Descripción	Tipo
aws:RequestTag/${TagKey}	Filtra el acceso por las etiquetas que se pasan en la solicitud	Cadena
aws:ResourceTag/${TagKey}	Filtra el acceso por las etiquetas asociadas al recurso	Cadena
aws:TagKeys	Filtra el acceso por las claves de etiquetas que se pasan en la solicitud	ArrayOfString
logs:DeliveryDestinationResourceArn	Filtra el acceso por el ARN de destino del registro que se incluye en la solicitud	ARN
logs:LogGeneratingResourceArns	Filtra el acceso por el recurso generador de registros ARNs introducido en la solicitud	ArrayOfARN

Aviso JavaScript está desactivado o no está disponible en su navegador.

Para utilizar la documentación de AWS, debe estar habilitado JavaScript. Para obtener más información, consulte las páginas de ayuda de su navegador.

Convenciones del documento

Amazon CloudWatch Internet Monitor

Monitor sintético CloudWatch de Amazon Network