Comment puis-je créer un groupe de journaux CloudWatch à utiliser comme cible pour une règle EventBridge ?

Brève description

Lorsque vous créez une règle EventBridge, vous devez spécifier la cible où les événements correspondant à la règle sont envoyés. Pour obtenir la liste des cibles disponibles pour EventBridge, consultez Cibles disponibles dans la console EventBridge. L'une des cibles que vous pouvez ajouter à la règle EventBridge est un groupe de journaux CloudWatch.

Résolution

Remarque : Si vous recevez des erreurs lors de l'exécution de commandes AWS Command Line Interface (AWS CLI), assurez-vous d'utiliser la version la plus récente de l'AWS CLI.

Procédez comme suit pour configurer un groupe de journaux CloudWatch à utiliser comme cible pour une règle EventBridge :

1.    Ouvrez la console EventBridge et choisissez la région dans laquelle vous souhaitez créer une règle.

2.    Choisissez Create rule (Créer une règle), puis renseignez tous les détails relatifs à cette règle, comme le modèle d'événement ou les détails calendaires.

3.    Sur la page Select target (Sélectionner la cible), choisissez CloudWatch comme cible.

Remarque : Pour ajouter un groupe de journaux CloudWatch en tant que cible, vous pouvez :

• Créer un groupe de journaux
• Utiliser un groupe de journaux existant

Assurez-vous que le groupe de journaux que vous utilisez comme cible pour la règle EventBridge commence par /aws/events. Si vous créez un groupe de journaux à l'aide de la console lors de la création d'une règle, EventBridge crée automatiquement le groupe de journaux pour vous. Si vous souhaitez ajouter un groupe de journaux existant, sachez que seuls les groupes de journaux commençant par /aws/events figurent dans la liste déroulante.

4.    Pour fournir les données d'événements au groupe de journaux cible, vous devez autoriser EventBridge à y accéder. Cette autorisation permet de créer des flux de journaux et envoyer des événements vers ces flux de journaux. Pour les groupes de journaux CloudWatch, EventBridge utilise une politique basée sur les ressources pour accéder au groupe de journaux.

Si vous ajoutez des groupes de journaux à une règle EventBridge à l'aide de la console, la politique basée sur les ressources de votre groupe de journaux est automatiquement mise à jour. Toutefois, si vous utilisez AWS SDK/API/CDK/CLI, vous devez mettre à jour manuellement la politique basée sur les ressources du groupe de journaux. Cet exemple de document de politique illustre les autorisations que vous devez définir dans la politique basée sur les ressources de votre groupe de journaux :

{
  "Statement": [
    {
      "Action": [
        "logs:CreateLogStream",
        "logs:PutLogEvents"
      ],
      "Effect": "Allow",
      "Principal": {
        "Service": [
          "events.amazonaws.com",
          "delivery.logs.amazonaws.com"
        ]
      },
      "Resource": "arn:aws:logs:region:account:log-group:/aws/events/*:*",
      "Sid": "TrustEventsToStoreLogEvent"
    }
  ],
  "Version": "2012-10-17"
}

Vous ne pouvez pas configurer la politique basée sur les ressources d'un groupe de journaux à l'aide de la console. Pour ajouter ces autorisations à une politique basée sur les ressources, utilisez l'appel d'API PutResourcePolicy. Ensuite, utilisez la commande describe-resource-policies pour vérifier que votre politique s'applique correctement.

Remarque : La limite actuelle est de 10 politiques par région et par compte. Si vous atteignez cette limite, supprimez toutes les politiques inutilisées ou combinez plusieurs politiques.

5.    Le service EventBridge utilise la commande CLI PutRule pour la création de règles. Il utilise ensuite l'API PutTargets ou la commande CLI put-targets pour l'ajout de cibles à une règle EventBridge. Ainsi, lorsque vous utilisez le kit SDK, le CDK ou le CLI AWS, vous devez utiliser l'API PutTargets ou la commande CLI put-targets pour ajouter le groupe de journaux à votre règle EventBridge.

Informations connexes

Autorisations de CloudWatch Logs