# Configuración del registro de CloudWatch para las API de REST en API Gateway
<a name="set-up-logging"></a>

Para ayudarle a depurar problemas relacionados con la ejecución de solicitudes o el acceso de clientes a la API, puede habilitar Amazon CloudWatch Logs para registrar las llamadas a la API. Para obtener más información acerca de CloudWatch, consulte [Supervisión de la ejecución de la API de REST con métricas de Amazon CloudWatch](monitoring-cloudwatch.md).

Existen dos tipos de registro de API en CloudWatch:
+ **Registro de ejecución**: API Gateway registra las acciones realizadas para procesar las solicitudes de API, incluidos los errores y los seguimientos de ejecución. También puede configurar la entrega de Registros de Amazon CloudWatch para enrutar los registros de ejecución a los propios destinos.
+ **Registros de acceso**: se registra quién accedió a la API y cómo lo hizo. Cree su propio grupo de registros, elija un formato de registro y especifique qué variables de `$context` desea incluir.

Puede habilitar el registro de ejecución y el registro de acceso por separado.

## Permisos de registros de CloudWatch
<a name="set-up-access-logging-permissions"></a>

Para habilitar CloudWatch Logs, debe conceder permiso a API Gateway para leer y escribir registros en CloudWatch para su cuenta. La política administrada [AmazonAPIGatewayPushToCloudWatchLogs](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AmazonAPIGatewayPushToCloudWatchLogs.html) cuenta con todos los permisos necesarios.

**nota**  
API Gateway llama a AWS Security Token Service para asumir el rol de IAM, por lo que debe asegurarse de que AWS STS esté habilitado para la región. Para obtener más información, consulte [Administración de AWS STS en una región de AWS](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_temp_enable-regions.html).

Para conceder estos permisos a la cuenta, cree un rol de IAM con `apigateway.amazonaws.com` como entidad de confianza, asocie a este rol la política anterior y establezca su ARN en la propiedad [cloudWatchRoleArn](https://docs.aws.amazon.com/apigateway/latest/api/API_UpdateAccount.html#cloudWatchRoleArn) de la [cuenta](https://docs.aws.amazon.com/apigateway/latest/api/API_GetAccount.html). Debe establecer la propiedad [cloudWatchRoleArn](https://docs.aws.amazon.com/apigateway/latest/api/API_UpdateAccount.html#cloudWatchRoleArn) por separado para cada región de AWS en la que desee habilitar CloudWatch Logs.

Si recibe un error cuando configure el ARN del rol de IAM, verifique la configuración de la cuenta de AWS Security Token Service para asegurarse de que AWS STS esté habilitado en la región que se está utilizando. Para obtener más información acerca de la habilitación de AWS STS, consulte [Administración de AWS STS en una región de AWS](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_temp_enable-regions.html#sts-regions-activate-deactivate) en la *Guía del usuario de IAM*.

**Topics**
+ [Permisos de registros de CloudWatch](#set-up-access-logging-permissions)
+ [Registro de ejecución para API de REST](rest-api-execution-logging.md)
+ [Registros de acceso para las API de REST](set-up-access-logging.md)