Cloudtrail到Cloudwatch到其他帳戶

Question

我有4個新帳戶，我想將所有日誌集中到一個帳戶中用於安全目的。

含義收集帳戶產品，開發和性能的cloudwatch日誌到一個稱爲日誌的帳戶。理想情況下，他們最終會在帳戶日誌中的Cloudwatch中，所以我可以使用ELK輕鬆處理它們。

我讀到這裏：

http://docs.aws.amazon.com/AmazonCloudWatch/latest/logs/CrossAccountSubscriptions.html

但我無法找到如何設置簡單整個堆疊的教程。

任何建議，將不勝感激。

Answer 1

在另一個帳戶中使用CloudWatch Logs的唯一不同之處就是您需要使用的憑據。

我會這樣做;在你的日誌帳戶，創建3個IAM用戶：

• 督促
• 開發
• PERF

爲每個用戶提供必要的IAM的權限來寫日誌CloudWatch的日誌。另外，爲您將用於驗證的3個用戶創建一組AWS證書。

然後在您的應用程序中，根據您的入門級別，配置代碼以使用相關憑據（即Dev，Prod）寫入CloudWatch日誌。唯一的區別應該是您的代碼中創建CloudWatch日誌客戶端的任何位置。您應該從您的「日誌」帳戶向客戶端傳遞相關IAM用戶的憑證。

編輯：

如果您正在使用CloudWatch的日誌客戶端，這個想法是一樣的。您可以創建用戶，而只需向客戶端提供相關的AWS憑據。您可以在/etc/awslogs/awslogs.conf中的日誌帳戶中爲用戶指定信用卡。您使用的憑據是將日誌發送到其他帳戶中的CloudWatch的憑據。你需要遵循的過程基本上記錄在AWS docs