# Configurar o registro em log do CloudWatch para APIs REST no API Gateway
<a name="set-up-logging"></a>

Para ajudar a depurar problemas relacionados à execução de solicitação ou ao acesso do cliente à sua API, é possível permitir que o Amazon CloudWatch Logs registre chamadas de API em log. Para obter mais informações sobre o CloudWatch, consulte [Monitorar a execução da API REST com métricas do Amazon CloudWatch](monitoring-cloudwatch.md).

Há dois tipos de registro em log de API no CloudWatch:
+ **Registro em log de execução:** o API Gateway registra em log as ações realizadas para processar as solicitações de API, incluindo erros e rastreamentos de execução. Você também pode configurar a entrega do Amazon CloudWatch Logs para rotear os logs de execução a seus próprios destinos.
+ **Registro em log de acesso:** você registra quem acessou sua API e como. Você cria seu próprio grupo de logs, escolhe um formato de log e especifica quais variáveis `$context` incluir.

Você pode permitir o registro em log de execução e o de acesso independentemente um do outro.

## Permissões para registro em log do CloudWatch
<a name="set-up-access-logging-permissions"></a>

Para habilitar o CloudWatch Logs, é necessário conceder permissão ao API Gateway para ler e gravar logs no CloudWatch para sua conta. A política gerenciada [AmazonAPIGatewayPushToCloudWatchLogs](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AmazonAPIGatewayPushToCloudWatchLogs.html) tem todas as permissões necessárias.

**nota**  
O API Gateway chama o AWS Security Token Service para assumir a função do IAM. Portanto, certifique-se de que o AWS STS esteja habilitado para a região. Para obter mais informações, consulte [Gerenciar o AWS STS em uma região da AWS](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_temp_enable-regions.html).

Para conceder essas permissões à sua conta, crie uma função do IAM com `apigateway.amazonaws.com` como entidade confiável, anexe a política anterior à função do IAM e defina o ARN da função do IAM na propriedade [cloudWatchRoleArn](https://docs.aws.amazon.com/apigateway/latest/api/API_UpdateAccount.html#cloudWatchRoleArn) em sua [conta](https://docs.aws.amazon.com/apigateway/latest/api/API_GetAccount.html). Você deve definir a propriedade [CloudWatchroLearn](https://docs.aws.amazon.com/apigateway/latest/api/API_UpdateAccount.html#cloudWatchRoleArn) separadamente para cada região da AWS na qual deseja habilitar o CloudWatch Logs.

Se você receber um erro ao definir o ARN da função do IAM, verifique as configurações da sua conta da AWS Security Token Service para garantir que o AWS STS esteja habilitado na região que você está usando. Para obter mais informações sobre como ativar o AWS STS, consulte [Gerenciar o AWS STS em uma região da AWS](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_temp_enable-regions.html#sts-regions-activate-deactivate) no *Guia do usuário do IAM*.

**Topics**
+ [Permissões para registro em log do CloudWatch](#set-up-access-logging-permissions)
+ [Registro em log de execução para APIs REST](rest-api-execution-logging.md)
+ [Registro em log de acesso para APIs REST](set-up-access-logging.md)