Cloudtrail to Cloudwatch to other account

Question

나는 4 aws 계정을 가지고 있고 보안 목적으로 모든 로그를 단일 계정으로 중앙 집중화하려고합니다.

의미는 prod, dev 및 perf 계정의 cloudwatch 로그를 logs라는 계정으로 수집합니다. 이상적으로 그들은 계정 로그의 cloudwatch에서 끝날 것이므로 ELK를 사용하여 쉽게 처리 할 수 ​​있습니다.

나는 여기에 대해 읽어 :

http://docs.aws.amazon.com/AmazonCloudWatch/latest/logs/CrossAccountSubscriptions.html

하지만 난 단순히 전체 스택을 설정하는 방법에 대한 자습서를 찾을 수 없습니다.

의견을 보내 주시면 감사하겠습니다.

Answer 1

다른 계정에서 CloudWatch 로그를 사용하는 것과 유일한 차이점은 사용할 자격 증명입니다.

나는 이렇게 할 것이다.

• 자극 CloudWatch를 로그에 로그를 작성하는 사용자 필요한 IAM 각 권한을 부여

를 규칙적

DEV : 당신의 로그 계정에, 3 IAM 사용자를 만듭니다. 또한 인증에 사용할 3 명의 사용자에 대한 AWS 자격 증명 세트를 작성하십시오.

그런 다음 애플리케이션에 어떤 스택이 있는지에 따라 CloudWatch 로그에 쓰기 위해 관련 자격 증명 (예 : Dev, Prod)을 사용하도록 코드를 구성합니다. 유일한 차이점은 코드에서 CloudWatch 로그 클라이언트를 만들 때마다 있어야합니다. "Logs"계정에서 관련 IAM 사용자의 자격 증명을 클라이언트에 전달해야합니다.

편집 :

당신이 CloudWatch를 로그 클라이언트를 사용하는 경우, 아이디어는 동일합니다. 사용자를 생성하고 클라이언트에게 관련 AWS 자격 증명을 제공하면됩니다. /etc/awslogs/awslogs.conf에서 로그 계정의 사용자에 대한 신임을 지정하십시오. 사용하는 자격 증명은 로그를 다른 계정의 CloudWatch로 보내는 것입니다. 당신이 따라야 할 과정은 기본적으로 문서화되어 있습니다 AWS docs