CloudWatch Logs のリソースベースポリシーを確認する方法を教えてください

CloudWatch Logs のリソースベースポリシーを確認する方法を教えてください

Clock Icon2025.01.06

困っていた内容

CloudWatch Logs のリソースベースポリシーを確認したいです。
マネジメントコンソールを確認しましたが方法が不明です。確認方法を教えてください。

どう対応すればいいの?

AWS CLI のdescribe-resource-policiesを実行してください。

実行例
$ aws logs describe-resource-policies
{
  "resourcePolicies": [
    {
      "policyName": "TrustEventsToStoreLogEvents",
      "policyDocument": "{\"Version\":\"2012-10-17\",\"Statement\":[{\"Sid\":\"TrustEventsToStoreLogEvent\",\"Effect\":\"Allow\",\"Principal\":{\"Service\":[\"events.amazonaws.com\",\"delivery.logs.amazonaws.com\"]},\"Action\":[\"logs:CreateLogStream\",\"logs:PutLogEvents\"],\"Resource\":\"arn:aws:logs:ap-northeast-1:123456789012:log-group:/aws/events/*:*\"}]}",
      "lastUpdatedTime": 1704038461001
    }
  ]
}

CloudWatch Logs のリソースベースポリシーは AWS CLI のdescribe-resource-policiesから確認できます。

具体的なポリシーはpolicyDocumentの値を確認しますが、エスケープされているためオプションを追加すると視認性が高まります。

※ポリシー名(TrustEventsToStoreLogEvents)は必要に応じて修正してください

実行例
$ aws logs describe-resource-policies \
    --query 'resourcePolicies[?policyName==`TrustEventsToStoreLogEvents`].policyDocument' \
    --output text | jq .
{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "TrustEventsToStoreLogEvent",
      "Effect": "Allow",
      "Principal": {
        "Service": [
          "delivery.logs.amazonaws.com",
          "events.amazonaws.com"
        ]
      },
      "Action": [
        "logs:CreateLogStream",
        "logs:PutLogEvents"
      ],
      "Resource": "arn:aws:logs:ap-northeast-1:123456789012:log-group:/aws/events/*:*"
    }
  ]
}

なお、2025年1月時点で、CloudWatch コンソール(AWS マネジメントコンソール)から CloudWatch Logs のリソースベースポリシーは確認できませんでした。
リソースベースポリシーを確認する場合は AWS CLI をご利用ください。

なお、AWS ではマネジメントコンソールから AWS CLI などのコマンドが実行できるブラウザーベースのシェル環境が用意されています。適宜ご利用ください。

参考資料

Share this article

facebook logohatena logotwitter logo

© Classmethod, Inc. All rights reserved.