Configuración del registro estándar (v2)

Utilice la consola de CloudFront para actualizar una distribución existente.

Elija la pestaña Logging (Registro).

Elija Agregar y, a continuación, seleccione el servicio para recibir los registros:

En Destino, seleccione el recurso para su servicio. Si aún no ha creado el recurso, puede elegir Crear o consultar la siguiente documentación.

En configuración adicional: opcional, puede especificar las siguientes opciones:

1. En Selección de campos, seleccione los nombres de los campos de registro que desea entregar en su destino. Puede seleccionar campos de registro de acceso y un subconjunto de campos de registro en tiempo real.

2. (Solo Amazon S3) En Partición, especifique la ruta para particionar los datos del archivo de registro.

3. (Solo Amazon S3) En Formato de archivo compatible con Hive, puede seleccionar la casilla de verificación para utilizar rutas de S3 compatibles con Hive. Esto ayuda a simplificar la carga de nuevos datos en las herramientas compatibles con Hive.

4. En Formato de salida, especifique el formato que prefiera.

   nota

   Si elige Parquet, esta opción conlleva cargos de CloudWatch por convertir sus registros de acceso a Apache Parquet. Para obtener más información, consulte la sección Registros distribuidos de Precios de CloudWatch.

5. En Delimitador de campo, especifique cómo separar los campos de registro.

Complete los pasos para actualizar o crear su distribución.

Para agregar otro destino, repita los pasos 3-6.

En la página Registros, compruebe que el estado de los registros estándar sea Activado junto a la distribución.

(Opcional) Para habilitar el registro de cookies, elija Administrar, Configuración y active Registro de cookies; a continuación, elija Guardar cambios.

Después de crear una distribución, obtenga el nombre de recurso de Amazon (ARN).

Puede encontrar el ARN en la página de Distribución de la consola de CloudFront o puede utilizar la operación de la API GetDistribution. El ARN de las distribuciones usa el siguiente formato: arn:aws:cloudfront::123456789012:distribution/d111111abcdef8

A continuación, utilice la operación de la API de CloudWatch PutDeliverySource para crear un origen de entrega para la distribución.

1. Introduzca un nombre para el origen de entrega.

2. Transmita el resourceArn de la distribución.

3. En logType, especifique ACCESS_LOGS como el tipo de registros que se recopilan.

4. ejemplo Ejemplo de comando put-delivery-source de la AWS CLI

   A continuación, se muestra un ejemplo de cómo configurar un origen de entrega en una distribución.

   aws logs put-delivery-source --name S3-delivery --resource-arn arn:aws:cloudfront::123456789012:distribution/d111111abcdef8 --log-type ACCESS_LOGS

   Salida

   {
    "deliverySource": {
    "name": "S3-delivery",
    "arn": "arn:aws:logs:us-east-1:123456789012:delivery-source:S3-delivery",
    "resourceArns": [
    "arn:aws:cloudfront::123456789012:distribution/d111111abcdef8"
    ],
    "service": "cloudfront",
    "logType": "ACCESS_LOGS"
    }
   } 

Utilice la operación de la API PutDeliveryDestination para configurar dónde almacenar los registros.

1. En destinationResourceArn, especifique el ARN del destino. Puede ser un grupo de registros de CloudWatch, una secuencia de entrega de Firehose o un bucket de Amazon S3.

2. En outputFormat, especifique el formato de salida de sus registros.

3. ejemplo Ejemplo de comando put-delivery-destination de la AWS CLI

   A continuación, se muestra un ejemplo de cómo configurar un destino de entrega en un bucket de Amazon S3.

   aws logs put-delivery-destination --name S3-destination --delivery-destination-configuration destinationResourceArn=arn:aws:s3:::amzn-s3-demo-bucket

   Salida

   {
       "name": "S3-destination",
       "arn": "arn:aws:logs:us-east-1:123456789012:delivery-destination:S3-destination",
       "deliveryDestinationType": "S3",
       "deliveryDestinationConfiguration": {
           "destinationResourceArn": "arn:aws:s3:::amzn-s3-demo-bucket"
       }
   }

Use la operación de la API CreateDelivery para vincular el origen de entrega con el destino creado en los pasos anteriores. Esta operación de la API asocia el origen de la entrega con el destino final.

1. En deliverySourceName, especifique un nombre del origen.

2. En deliveryDestinationArn, especifique el ARN del destino de entrega.

3. En fieldDelimiter, especifique la cadena para separar cada campo de registro.

4. En recordFields, especifique los campos de registro que desee.

5. Si usa S3, especifique si desea usar enableHiveCompatiblePath ysuffixPath.

aws logs create-delivery --delivery-source-name cf-delivery --delivery-destination-arn arn:aws:logs:us-east-1:123456789012:delivery-destination:S3-destination

{
    "id": "abcNegnBoTR123",
    "arn": "arn:aws:logs:us-east-1:123456789012:delivery:abcNegnBoTR123",
    "deliverySourceName": "cf-delivery",
    "deliveryDestinationArn": "arn:aws:logs:us-east-1:123456789012:delivery-destination:S3-destination",
    "deliveryDestinationType": "S3",
    "recordFields": [
        "date",
        "time",
        "x-edge-location",
        "sc-bytes",
        "c-ip",
        "cs-method",
        "cs(Host)",
        "cs-uri-stem",
        "sc-status",
        "cs(Referer)",
        "cs(User-Agent)",
        "cs-uri-query",
        "cs(Cookie)",
        "x-edge-result-type",
        "x-edge-request-id",
        "x-host-header",
        "cs-protocol",
        "cs-bytes",
        "time-taken",
        "x-forwarded-for",
        "ssl-protocol",
        "ssl-cipher",
        "x-edge-response-result-type",
        "cs-protocol-version",
        "fle-status",
        "fle-encrypted-fields",
        "c-port",
        "time-to-first-byte",
        "x-edge-detailed-result-type",
        "sc-content-type",
        "sc-content-len",
        "sc-range-start",
        "sc-range-end",
        "c-country",
        "cache-behavior-path-pattern"
    ],
     "fieldDelimiter": ""
}

Desde la consola de CloudFront, en la página Registros, compruebe que el estado de los registros estándar sea Activado junto a la distribución.

Para obtener más información sobre la entrega de registros estándar y los campos de registro, consulte Referencia de registro estándar.

Para crear el destino de entrega del registro, puede introducir el comando siguiente de la AWS CLI. En este ejemplo, se utiliza la cadena MyLogPrefix para crear un prefijo para los registros de acceso.

aws logs put-delivery-destination --name cloudfront-delivery-destination --delivery-destination-configuration "destinationResourceArn=arn:aws:s3:::amzn-s3-demo-bucket-cloudfront-logs/MyLogPrefix"

Salida

{
    "deliveryDestination": {
        "name": "cloudfront-delivery-destination",
        "arn": "arn:aws:logs:us-east-1:222222222222:delivery-destination:cloudfront-delivery-destination",
        "deliveryDestinationType": "S3",
        "deliveryDestinationConfiguration": {"destinationResourceArn": "arn:aws:s3:::amzn-s3-demo-bucket-cloudfront-logs/MyLogPrefix"}
    }
}

Agregue la política de recursos del destino de entrega del registro para permitir que la cuenta de origen cree una entrega del registro.

En la siguiente política, sustituya 111111111111 por el ID de cuenta de origen y especifique el ARN de destino de la entrega a partir de la salida del paso 1.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowCreateDelivery",
            "Effect": "Allow",
            "Principal": {"AWS": "111111111111"},
            "Action": ["logs:CreateDelivery"],
            "Resource": "arn:aws:logs:us-east-1:222222222222:delivery-destination:cloudfront-delivery-destination"
        }
    ]
}

Guarde el archivo como, por ejemplo, deliverypolicy.json.

Para asociar la política anterior al destino de la entrega, introduzca el siguiente comando de la AWS CLI.

aws logs put-delivery-destination-policy --delivery-destination-name cloudfront-delivery-destination --delivery-destination-policy file://deliverypolicy.json

Agregue la siguiente instrucción a la política de bucket de Amazon S3 de destino y sustituya el ARN del recurso y el ID de la cuenta de origen. Esta política permite que la entidad principal de servicio de delivery.logs.amazonaws.com realice la acción s3:PutObject.

{
    "Sid": "AWSLogsDeliveryWrite",
    "Effect": "Allow",
    "Principal": {"Service": "delivery.logs.amazonaws.com"},
    "Action": "s3:PutObject",
    "Resource": "arn:aws:s3:::amzn-s3-demo-bucket-cloudfront-logs/*",
    "Condition": {
        "StringEquals": {
            "s3:x-amz-acl": "bucket-owner-full-control",
            "aws:SourceAccount": "111111111111"
        },
        "ArnLike": {"aws:SourceArn": "arn:aws:logs:us-east-1:111111111111:delivery-source:*"}
    }
}

Si utiliza AWS KMS para su bucket, agregue la siguiente instrucción a la política de claves de KMS para conceder permisos a la entidad principal del servicio de delivery.logs.amazonaws.com.

{
    "Sid": "Allow Logs Delivery to use the key",
    "Effect": "Allow",
    "Principal": {"Service": "delivery.logs.amazonaws.com"},
    "Action": [
        "kms:Encrypt",
        "kms:Decrypt",
        "kms:ReEncrypt*",
        "kms:GenerateDataKey*",
        "kms:DescribeKey"
    ],
    "Resource": "*",
    "Condition": {
        "StringEquals": {"aws:SourceAccount": "111111111111"},
        "ArnLike": {"aws:SourceArn": "arn:aws:logs:us-east-1:111111111111:delivery-source:*"}
    }
}

Cree un origen de entrega para el registro estándar de CloudFront de modo que pueda enviar archivos de registro a Registros de CloudWatch.

Puede introducir el siguiente comando de la AWS CLI sustituyendo el nombre y el ARN de la distribución.

aws logs put-delivery-source --name s3-cf-delivery --resource-arn arn:aws:cloudfront::111111111111:distribution/E1TR1RHV123ABC --log-type ACCESS_LOGS

Salida

{
    "deliverySource": {
        "name": "s3-cf-delivery",
        "arn": "arn:aws:logs:us-east-1:111111111111:delivery-source:s3-cf-delivery",
        "resourceArns": ["arn:aws:cloudfront::111111111111:distribution/E1TR1RHV123ABC"],
        "service": "cloudfront",
        "logType": "ACCESS_LOGS"
    }
}

Cree una entrega para mapear el origen de entrega del registro de la cuenta de origen y el destino de entrega del registro de la cuenta de destino.

En el siguiente comando de la AWS CLI, especifique el ARN de destino de la entrega a partir de la salida del Paso 1: Configuración de la cuenta de destino.

aws logs create-delivery --delivery-source-name s3-cf-delivery --delivery-destination-arn arn:aws:logs:us-east-1:222222222222:delivery-destination:cloudfront-delivery-destination

Salida

{
    "delivery": {
        "id": "OPmOpLahVzhx1234",
        "arn": "arn:aws:logs:us-east-1:111111111111:delivery:OPmOpLahVzhx1234",
        "deliverySourceName": "s3-cf-delivery",
        "deliveryDestinationArn": "arn:aws:logs:us-east-1:222222222222:delivery-destination:cloudfront-delivery-destination",
        "deliveryDestinationType": "S3",
        "recordFields": [
            "date",
            "time",
            "x-edge-location",
            "sc-bytes",
            "c-ip",
            "cs-method",
            "cs(Host)",
            "cs-uri-stem",
            "sc-status",
            "cs(Referer)",
            "cs(User-Agent)",
            "cs-uri-query",
            "cs(Cookie)",
            "x-edge-result-type",
            "x-edge-request-id",
            "x-host-header",
            "cs-protocol",
            "cs-bytes",
            "time-taken",
            "x-forwarded-for",
            "ssl-protocol",
            "ssl-cipher",
            "x-edge-response-result-type",
            "cs-protocol-version",
            "fle-status",
            "fle-encrypted-fields",
            "c-port",
            "time-to-first-byte",
            "x-edge-detailed-result-type",
            "sc-content-type",
            "sc-content-len",
            "sc-range-start",
            "sc-range-end",
            "c-country",
            "cache-behavior-path-pattern"
        ],
        "fieldDelimiter": "\t"
    }
}

Compruebe que la entrega entre cuentas se ha realizado correctamente.

1. Desde la cuenta de origen, inicie sesión en la consola de CloudFront y elija su distribución. En la pestaña Registro, en Tipo, verá una entrada creada para la entrega de registros entre cuentas de S3.

2. Desde la cuenta de destino, inicie sesión en la consola de Amazon S3 y elija su bucket de Amazon S3. Verá el prefijo MyLogPrefix en el nombre del bucket y todos los registros de acceso que se entreguen en esa carpeta.

Inicie sesión en la consola de CloudFront.

Elija Distribución y, a continuación, su ID de distribución.

Seleccione Registro y, a continuación, en Destinos de registro estándar, el destino.

Elija Administrar y, a continuación, Eliminar.

Repita el paso anterior si tiene más de un registro estándar.