Окончательный размер политики превышает лимит 20480 - AWS ELK - PullRequest
Новая
       9

Окончательный размер политики превышает лимит 20480 - AWS ELK

0 голосов
/ 24 октября 2018

Мой вариант использования - потоковая передача всех системных журналов, журналов приложений и журналов облачного журнала aws в службу awsasticsearch.

рабочий процесс

журналы приложений -> группа журналов cloudwatch ->лямбда-функция по умолчанию -> aws es

теперь я могу транслировать более 40 групп журналов в es.по прошествии некоторого времени я пытаюсь передать больше loggroup к тому времени, когда я не могу передать.я получаю следующую ошибку

"Окончательный размер политики больше, чем предел 20480" enter image description here

Как увеличить размер политики

Пожалуйста, помогите мне в этом.

обновлено:

Встроенная политика моей роли IAM 

{
"Version": "2012-10-17",
"Statement": [
    {
        "Effect": "Allow",
        "Action": [
            "logs:CreateLogGroup",
            "logs:CreateLogStream",
            "logs:PutLogEvents"
        ],
        "Resource": [
            "arn:aws:logs:*:*:*"
        ]
    },
    {
        "Effect": "Allow",
        "Action": "es:ESHttpPost",
        "Resource": "arn:aws:es:*:*:*"
    }
]

}

Ответы [ 2 ]

0 голосов
/ 27 августа 2019

Вы не можете увеличить размер политики, но вы можете удалить старые лямбда-политики ELK и заменить их политикой подстановочных знаков.Это можно сделать только в командной строке AWS, поскольку по состоянию на август 2019 года AWS не отображает это на веб-панели управления.

Три команды для этого (замените us-west-1 на свой регион):

Перечислите все политики: 

$ aws lambda get-policy --function-name <your-ELK-lambda-name> --region us-west-1

Удалите отдельную политику по ее идентификатору оператора - после добавления подстановочного знака ниже все отдельные политики становятся избыточными и могут быть удалены: 

$ aws lambda remove-permission --function-name <your-ELK-lambda-name> --statement-id <statement-id> --region us-west-1

ДобавитьПолитика подстановочных знаков: 

$ aws lambda add-permission --function-name <your-ELK-lambda-name> --statement-id WildcardPolicy --action "lambda:InvokeFunction" --principal "logs.us-west-1.amazonaws.com" --source-arn "arn:aws:logs:us-west-1:<your-AWS-account-number>:log-group:*" --source-account "<your-AWS-account-number>" --region us-west-1

Еще 2 проблемы - когда вы добавляете новые журналы, он будет продолжать добавлять политики, поэтому даже с политикой подстановочных знаков вам придется удалять новые отдельные политики, потому что она недостаточно умна, чтобы не добавлятьих.Кроме того, есть сбой пользовательского интерфейса - эти новые прикрепленные журналы не будут отображаться на веб-странице ELK Lambda должным образом.Но, по крайней мере, это поможет преодолеть ограничение размера политики.

0 голосов
/ 28 октября 2018

Роль, которую вы указываете для использования CloudWatch, имеет слишком много прикрепленных политик.Просмотрите политики и объедините их, используя несколько ресурсов для атрибута ресурса.В качестве альтернативы вы можете создать вторую роль.Я рекомендую первый подход.

...