Konfigurieren Sie die Standardprotokollierung (v2)

Verwenden Sie die CloudFront Konsole, um eine bestehende Distribution zu aktualisieren.

Wählen Sie die Registerkarte Logging (Protokollierung) aus.

Wählen Sie Hinzufügen und anschließend den Dienst aus, der Ihre Logs erhalten soll:

Wählen Sie für das Ziel die Ressource für Ihren Service aus. Wenn Sie Ihre Ressource noch nicht erstellt haben, können Sie Erstellen wählen oder sich die folgende Dokumentation ansehen.

Für zusätzliche Einstellungen — optional — können Sie die folgenden Optionen angeben:

1. Wählen Sie unter Feldauswahl die Namen der Protokollfelder aus, die Sie an Ihr Ziel senden möchten. Sie können Zugriffsprotokollfelder und eine Teilmenge von Echtzeit-Protokollfeldern auswählen.

2. (Nur Amazon S3) Geben Sie für die Partitionierung den Pfad zur Partitionierung Ihrer Protokolldateidaten an.

3. (Nur Amazon S3) Für ein Hive-kompatibles Dateiformat können Sie das Kontrollkästchen aktivieren, um Hive-kompatible S3-Pfade zu verwenden. Dies vereinfacht das Laden neuer Daten in Ihre Hive-kompatiblen Tools.

4. Geben Sie unter Ausgabeformat Ihr bevorzugtes Format an.

   Anmerkung

   Wenn Sie Parquet wählen, fallen für diese Option CloudWatch Gebühren für die Konvertierung Ihrer Zugriffsprotokolle nach Apache Parquet an. Weitere Informationen zur Preisgestaltung finden Sie im Abschnitt Vending Logs. CloudWatch

5. Geben Sie unter Feldtrennzeichen an, wie Protokollfelder getrennt werden sollen.

Führen Sie die Schritte aus, um Ihre Distribution zu aktualisieren oder zu erstellen.

Um ein weiteres Ziel hinzuzufügen, wiederholen Sie die Schritte 3—6.

Vergewissern Sie sich auf der Seite Protokolle, dass der Status der Standardprotokolle neben der Verteilung aktiviert lautet.

(Optional) Um die Cookie-Protokollierung zu aktivieren, wählen Sie „Verwalten“, „Einstellungen“ und aktivieren Sie die Cookie-Protokollierung. Wählen Sie dann „Änderungen speichern“.

Nachdem Sie eine Distribution erstellt haben, rufen Sie den Amazon-Ressourcennamen (ARN) ab.

Sie finden den ARN auf der Verteilungsseite in der CloudFront Konsole oder Sie können den GetDistributionAPI-Vorgang verwenden. Ein Distribution-ARN folgt dem Format: arn:aws:cloudfront::123456789012:distribution/d111111abcdef8

Verwenden Sie als Nächstes den CloudWatch PutDeliverySourceAPI-Vorgang, um eine Lieferquelle für die Verteilung zu erstellen.

1. Geben Sie einen Namen für die Lieferquelle ein.

2. Übergeben resourceArn Sie die Verteilung.

3. Geben Sie für logType ACCESS_LOGS den Typ der Protokolle an, die gesammelt werden.

4. Beispiel für einen AWS CLI put-delivery-source Befehl

   Im Folgenden finden Sie ein Beispiel für die Konfiguration einer Zustellungsquelle für eine Distribution.

   aws logs put-delivery-source --name S3-delivery --resource-arn arn:aws:cloudfront::123456789012:distribution/d111111abcdef8 --log-type ACCESS_LOGS

   Ausgabe

   {
    "deliverySource": {
    "name": "S3-delivery",
    "arn": "arn:aws:logs:us-east-1:123456789012:delivery-source:S3-delivery",
    "resourceArns": [
    "arn:aws:cloudfront::123456789012:distribution/d111111abcdef8"
    ],
    "service": "cloudfront",
    "logType": "ACCESS_LOGS"
    }
   } 

Verwenden Sie den PutDeliveryDestinationAPI-Vorgang, um zu konfigurieren, wo Ihre Protokolle gespeichert werden sollen.

1. Geben Sie für destinationResourceArn den ARN des Ziels an. Dies kann eine CloudWatch Logs-Protokollgruppe, ein Firehose-Lieferstream oder ein Amazon S3 S3-Bucket sein.

2. Geben Sie für outputFormat das Ausgabeformat für Ihre Logs an.

3. Beispiel für einen AWS CLI put-delivery-destination Befehl

   Im Folgenden finden Sie ein Beispiel für die Konfiguration eines Lieferziels für einen Amazon S3 S3-Bucket.

   aws logs put-delivery-destination --name S3-destination --delivery-destination-configuration destinationResourceArn=arn:aws:s3:::amzn-s3-demo-bucket

   Ausgabe

   {
       "name": "S3-destination",
       "arn": "arn:aws:logs:us-east-1:123456789012:delivery-destination:S3-destination",
       "deliveryDestinationType": "S3",
       "deliveryDestinationConfiguration": {
           "destinationResourceArn": "arn:aws:s3:::amzn-s3-demo-bucket"
       }
   }

Verwenden Sie den CreateDeliveryAPI-Vorgang, um die Lieferquelle mit dem Ziel zu verknüpfen, das Sie in den vorherigen Schritten erstellt haben. Dieser API-Vorgang verknüpft die Lieferquelle mit dem Endziel.

1. Geben Sie für deliverySourceName den Quellnamen an.

2. Geben Sie für deliveryDestinationArn den ARN für das Lieferziel an.

3. Geben Sie für fieldDelimiter die einzelnen Protokollfelder die Zeichenfolge an.

4. Geben Sie für recordFields die gewünschten Protokollfelder an.

5. Wenn Sie S3 verwenden, geben Sie an, ob enableHiveCompatiblePath und verwendet werden sollsuffixPath.

aws logs create-delivery --delivery-source-name cf-delivery --delivery-destination-arn arn:aws:logs:us-east-1:123456789012:delivery-destination:S3-destination

{
    "id": "abcNegnBoTR123",
    "arn": "arn:aws:logs:us-east-1:123456789012:delivery:abcNegnBoTR123",
    "deliverySourceName": "cf-delivery",
    "deliveryDestinationArn": "arn:aws:logs:us-east-1:123456789012:delivery-destination:S3-destination",
    "deliveryDestinationType": "S3",
    "recordFields": [
        "date",
        "time",
        "x-edge-location",
        "sc-bytes",
        "c-ip",
        "cs-method",
        "cs(Host)",
        "cs-uri-stem",
        "sc-status",
        "cs(Referer)",
        "cs(User-Agent)",
        "cs-uri-query",
        "cs(Cookie)",
        "x-edge-result-type",
        "x-edge-request-id",
        "x-host-header",
        "cs-protocol",
        "cs-bytes",
        "time-taken",
        "x-forwarded-for",
        "ssl-protocol",
        "ssl-cipher",
        "x-edge-response-result-type",
        "cs-protocol-version",
        "fle-status",
        "fle-encrypted-fields",
        "c-port",
        "time-to-first-byte",
        "x-edge-detailed-result-type",
        "sc-content-type",
        "sc-content-len",
        "sc-range-start",
        "sc-range-end",
        "c-country",
        "cache-behavior-path-pattern"
    ],
     "fieldDelimiter": ""
}

Vergewissern Sie sich in der CloudFront Konsole auf der Seite Protokolle, dass der Standardprotokollstatus neben der Verteilung auf Aktiviert steht.

Weitere Informationen zur standardmäßigen Übermittlung der Protokollierung und zu den Protokollfeldern finden Sie unterReferenz zur Standardprotokollierung.

Um das Ziel für die Protokollzustellung zu erstellen, können Sie den folgenden AWS CLI Befehl eingeben. In diesem Beispiel wird die MyLogPrefix Zeichenfolge verwendet, um ein Präfix für Ihre Zugriffsprotokolle zu erstellen.

aws logs put-delivery-destination --name cloudfront-delivery-destination --delivery-destination-configuration "destinationResourceArn=arn:aws:s3:::amzn-s3-demo-bucket-cloudfront-logs/MyLogPrefix"

Ausgabe

{
    "deliveryDestination": {
        "name": "cloudfront-delivery-destination",
        "arn": "arn:aws:logs:us-east-1:222222222222:delivery-destination:cloudfront-delivery-destination",
        "deliveryDestinationType": "S3",
        "deliveryDestinationConfiguration": {"destinationResourceArn": "arn:aws:s3:::amzn-s3-demo-bucket-cloudfront-logs/MyLogPrefix"}
    }
}

Fügen Sie die Ressourcenrichtlinie für das Ziel der Protokollzustellung hinzu, damit das Quellkonto eine Protokollzustellung erstellen kann.

Ersetzen Sie in der folgenden Richtlinie 111111111111 durch die Quellkonto-ID und geben Sie den Lieferziel-ARN aus der Ausgabe in Schritt 1 an.

Speichern Sie die Datei, z. deliverypolicy.json B.

Geben Sie den folgenden AWS CLI Befehl ein, um die vorherige Richtlinie an das Lieferziel anzuhängen.

aws logs put-delivery-destination-policy --delivery-destination-name cloudfront-delivery-destination --delivery-destination-policy file://deliverypolicy.json

Fügen Sie die folgende Erklärung zur Amazon S3-Ziel-Bucket-Richtlinie hinzu und ersetzen Sie dabei den Ressourcen-ARN und die Quellkonto-ID. Diese Richtlinie ermöglicht es dem delivery.logs.amazonaws.com Service Principal, die s3:PutObject Aktion durchzuführen.

{
    "Sid": "AWSLogsDeliveryWrite",
    "Effect": "Allow",
    "Principal": {"Service": "delivery.logs.amazonaws.com"},
    "Action": "s3:PutObject",
    "Resource": "arn:aws:s3:::amzn-s3-demo-bucket-cloudfront-logs/*",
    "Condition": {
        "StringEquals": {
            "s3:x-amz-acl": "bucket-owner-full-control",
            "aws:SourceAccount": "111111111111"
        },
        "ArnLike": {"aws:SourceArn": "arn:aws:logs:us-east-1:111111111111:delivery-source:*"}
    }
}

Wenn Sie dies AWS KMS für Ihren Bucket verwenden, fügen Sie der KMS-Schlüsselrichtlinie die folgende Anweisung hinzu, um dem delivery.logs.amazonaws.com Dienstprinzipal Berechtigungen zu erteilen.

{
    "Sid": "Allow Logs Delivery to use the key",
    "Effect": "Allow",
    "Principal": {"Service": "delivery.logs.amazonaws.com"},
    "Action": [
        "kms:Encrypt",
        "kms:Decrypt",
        "kms:ReEncrypt*",
        "kms:GenerateDataKey*",
        "kms:DescribeKey"
    ],
    "Resource": "*",
    "Condition": {
        "StringEquals": {"aws:SourceAccount": "111111111111"},
        "ArnLike": {"aws:SourceArn": "arn:aws:logs:us-east-1:111111111111:delivery-source:*"}
    }
}

Erstellen Sie eine Übermittlungsquelle für die CloudFront Standardprotokollierung, sodass Sie Protokolldateien an CloudWatch Logs senden können.

Sie können den folgenden AWS CLI Befehl eingeben und dabei den Namen und den ARN Ihrer Distribution ersetzen.

aws logs put-delivery-source --name s3-cf-delivery --resource-arn arn:aws:cloudfront::111111111111:distribution/E1TR1RHV123ABC --log-type ACCESS_LOGS

Ausgabe

{
    "deliverySource": {
        "name": "s3-cf-delivery",
        "arn": "arn:aws:logs:us-east-1:111111111111:delivery-source:s3-cf-delivery",
        "resourceArns": ["arn:aws:cloudfront::111111111111:distribution/E1TR1RHV123ABC"],
        "service": "cloudfront",
        "logType": "ACCESS_LOGS"
    }
}

Erstellen Sie eine Lieferung, um die Protokollzustellungsquelle des Quellkontos und das Protokollübermittlungsziel des Zielkontos zuzuordnen.

Geben Sie im folgenden AWS CLI Befehl den Lieferziel-ARN aus der Ausgabe in Schritt 1: Zielkonto konfigurieren an.

aws logs create-delivery --delivery-source-name s3-cf-delivery --delivery-destination-arn arn:aws:logs:us-east-1:222222222222:delivery-destination:cloudfront-delivery-destination

Ausgabe

{
    "delivery": {
        "id": "OPmOpLahVzhx1234",
        "arn": "arn:aws:logs:us-east-1:111111111111:delivery:OPmOpLahVzhx1234",
        "deliverySourceName": "s3-cf-delivery",
        "deliveryDestinationArn": "arn:aws:logs:us-east-1:222222222222:delivery-destination:cloudfront-delivery-destination",
        "deliveryDestinationType": "S3",
        "recordFields": [
            "date",
            "time",
            "x-edge-location",
            "sc-bytes",
            "c-ip",
            "cs-method",
            "cs(Host)",
            "cs-uri-stem",
            "sc-status",
            "cs(Referer)",
            "cs(User-Agent)",
            "cs-uri-query",
            "cs(Cookie)",
            "x-edge-result-type",
            "x-edge-request-id",
            "x-host-header",
            "cs-protocol",
            "cs-bytes",
            "time-taken",
            "x-forwarded-for",
            "ssl-protocol",
            "ssl-cipher",
            "x-edge-response-result-type",
            "cs-protocol-version",
            "fle-status",
            "fle-encrypted-fields",
            "c-port",
            "time-to-first-byte",
            "x-edge-detailed-result-type",
            "sc-content-type",
            "sc-content-len",
            "sc-range-start",
            "sc-range-end",
            "c-country",
            "cache-behavior-path-pattern"
        ],
        "fieldDelimiter": "\t"
    }
}

Stellen Sie sicher, dass Ihre kontoübergreifende Lieferung erfolgreich ist.

1. Melden Sie sich source über das Konto bei der CloudFront Konsole an und wählen Sie Ihre Distribution aus. Auf der Registerkarte Protokollierung finden Sie unter Typ einen Eintrag, der für die kontoübergreifende S3-Protokollzustellung erstellt wurde.

2. Melden Sie sich destination über das Konto bei der Amazon S3-Konsole an und wählen Sie Ihren Amazon S3 S3-Bucket aus. Sie werden das Präfix MyLogPrefix im Bucket-Namen und in allen Zugriffsprotokollen sehen, die in diesen Ordner gesendet wurden.

Melden Sie sich in der CloudFront -Konsole an.

Wählen Sie Vertrieb und dann Ihre Vertriebs-ID aus.

Wählen Sie Protokollierung und wählen Sie dann unter Standardprotokollziele das Ziel aus.

Wählen Sie „Verwalten“ und anschließend „Löschen“.

Wiederholen Sie den vorherigen Schritt, wenn Sie mehr als eine Standardprotokollierung haben.