amazon-web-services - 无法获取 aws :PrincipalOrgID to work with creating subscription filter

Question

我有一个启用了组织的 AWS 账户。我想确保来自我的子账户的某些日志进入日志账户中的我的 Kinesis 流。这个想法是，将来如果我在 Organizations 中创建一个新的子帐户，日志应该转到 Kinesis。

为此，我使用 aws logs put-destination 命令在我的日志记录帐户中创建了 Kinesis 日志目标。我向其中添加了目标策略。我使用的政策是:

{
    "Version": "2012-10-17",
    "Statement": {
        "Sid": "PutSubscriptionFilter",
        "Effect": "Allow",
        "Principal": {
            "AWS": ["*"]
        },
        "Action": "logs:PutSubscriptionFilter",
        "Resource": "arn:aws:logs:us-east-1:123456789012:destination:mytestLogDestination",
        "Condition": {
            "StringEquals": {
                "aws:PrincipalOrgID": "o-abcde12345"
            }
        }
    }
}

我用来添加目标策略的命令是:

aws logs put-destination-policy \
    --destination-name mytestLogDestination \
    --access-policy file://destination_policy.json

这成功添加了目标策略。我可以通过运行命令来确认这一点: aws logs describe-destinations --destination-name-prefix mytestLogDestination 。当我尝试使用以下命令在我的一个成员帐户中创建新的订阅过滤器时，它会出错。我试过的命令是:

aws logs put-subscription-filter \
    --log-group-name "/aws/lambda/GetOrgIdFunction" \
    --filter-name randomsubscriptionfilter --filter-pattern "" \
    --destination-arn arn:aws:logs:us-east-1:123456789012:destination:mytestLogDestination

错误信息是:

An error occurred (AccessDeniedException) when calling the PutSubscriptionFilter operation: User with accountId: 210987654321 is not authorized to perform: logs:PutSubscriptionFilter on resource: arn:aws:logs:us-east-1:123456789012:destination:mytestLogDestination

当我删除条件并将委托(delegate)人限制为我的帐户(210987654321)时，它工作正常。是否可以使此设置正常工作或 AWS 当前不支持它？

Answer 1

截至 2019 年 8 月 2 日
在与 AWS Support 交谈后，这是 CloudWatch Logs 的限制，因为它们尚不支持 PrincipalOrgID。创建日志目标策略时，我们必须单独添加每个帐户。
暂时将此标记为答案。
更新:2021 年 1 月 6 日
根据a new AWS release ，现在支持。供引用的 AWS 文档:https://docs.aws.amazon.com/AmazonCloudWatch/latest/logs/CreateDestination.html