Configuration de la journalisation standard (v2)

Utilisez la CloudFront console pour mettre à jour une distribution existante.

Sélectionnez l'onglet Logging (Journalisation).

Choisissez Ajouter, puis sélectionnez le service qui recevra vos journaux :

Pour la destination, sélectionnez la ressource pour votre service. Si vous n'avez pas encore créé votre ressource, vous pouvez choisir Créer ou consulter la documentation suivante.

Pour Paramètres supplémentaires (facultatif), vous pouvez définir les options suivantes :

1. Pour la sélection des champs, sélectionnez les noms des champs de journal que vous souhaitez livrer à votre destination. Vous pouvez sélectionner les champs du journal d'accès et un sous-ensemble de champs du journal en temps réel.

2. (Amazon S3 uniquement) Pour le partitionnement, spécifiez le chemin vers lequel partitionner les données de votre fichier journal.

3. (Amazon S3 uniquement) Pour les formats de fichier compatibles avec Hive, vous pouvez cocher la case pour utiliser des chemins S3 compatibles avec Hive. Cela permet de simplifier le chargement de nouvelles données dans vos outils compatibles avec Hive.

4. Pour Format de sortie, spécifiez votre format préféré.

   Note

   Si vous choisissez Parquet, cette option entraîne des CloudWatch frais pour la conversion de vos journaux d'accès vers Apache Parquet. Pour plus d'informations, consultez la section Vended Logs pour CloudWatch connaître les tarifs.

5. Pour le séparateur de champs, spécifiez comment séparer les champs du journal.

Suivez les étapes pour mettre à jour ou créer votre distribution.

Pour ajouter une autre destination, répétez les étapes 3 à 6.

Sur la page Logs, vérifiez que le statut standard des logs est Activé à côté de la distribution.

(Facultatif) Pour activer l'enregistrement des cookies, choisissez Gérer, Paramètres et activez l'enregistrement des cookies, puis sélectionnez Enregistrer les modifications.

Après avoir créé une distribution, obtenez le nom de ressource Amazon (ARN).

Vous pouvez trouver l'ARN sur la page de distribution de la CloudFront console ou vous pouvez utiliser l'opération GetDistributionAPI. Un ARN de distribution suit le format suivant : arn:aws:cloudfront::123456789012:distribution/d111111abcdef8

Utilisez ensuite l'opération CloudWatch PutDeliverySourceAPI pour créer une source de diffusion pour la distribution.

1. Entrez un nom pour la source de livraison.

2. Passez le resourceArn contrôle de la distribution.

3. PourlogType, spécifiez ACCESS_LOGS le type de journaux collectés.

4. Exemple de AWS CLI put-delivery-source commande

   Voici un exemple de configuration d'une source de diffusion pour une distribution.

   aws logs put-delivery-source --name S3-delivery --resource-arn arn:aws:cloudfront::123456789012:distribution/d111111abcdef8 --log-type ACCESS_LOGS

   Sortie

   {
    "deliverySource": {
    "name": "S3-delivery",
    "arn": "arn:aws:logs:us-east-1:123456789012:delivery-source:S3-delivery",
    "resourceArns": [
    "arn:aws:cloudfront::123456789012:distribution/d111111abcdef8"
    ],
    "service": "cloudfront",
    "logType": "ACCESS_LOGS"
    }
   } 

Utilisez l'opération PutDeliveryDestinationAPI pour configurer l'emplacement de stockage de vos journaux.

1. PourdestinationResourceArn, spécifiez l'ARN de la destination. Il peut s'agir d'un groupe de CloudWatch journaux, d'un flux de diffusion Firehose ou d'un compartiment Amazon S3.

2. PouroutputFormat, spécifiez le format de sortie de vos journaux.

3. Exemple de AWS CLI put-delivery-destination commande

   Voici un exemple de configuration d'une destination de livraison dans un compartiment Amazon S3.

   aws logs put-delivery-destination --name S3-destination --delivery-destination-configuration destinationResourceArn=arn:aws:s3:::amzn-s3-demo-bucket

   Sortie

   {
       "name": "S3-destination",
       "arn": "arn:aws:logs:us-east-1:123456789012:delivery-destination:S3-destination",
       "deliveryDestinationType": "S3",
       "deliveryDestinationConfiguration": {
           "destinationResourceArn": "arn:aws:s3:::amzn-s3-demo-bucket"
       }
   }

Utilisez l'opération CreateDeliveryAPI pour lier la source de livraison à la destination que vous avez créée lors des étapes précédentes. Cette opération d'API associe la source de livraison à la destination finale.

1. PourdeliverySourceName, spécifiez le nom de la source.

2. PourdeliveryDestinationArn, spécifiez l'ARN de la destination de livraison.

3. PourfieldDelimiter, spécifiez la chaîne pour séparer chaque champ de journal.

4. PourrecordFields, spécifiez les champs de journal que vous souhaitez.

5. Si vous utilisez S3, spécifiez si vous souhaitez utiliser enableHiveCompatiblePath etsuffixPath.

aws logs create-delivery --delivery-source-name cf-delivery --delivery-destination-arn arn:aws:logs:us-east-1:123456789012:delivery-destination:S3-destination

{
    "id": "abcNegnBoTR123",
    "arn": "arn:aws:logs:us-east-1:123456789012:delivery:abcNegnBoTR123",
    "deliverySourceName": "cf-delivery",
    "deliveryDestinationArn": "arn:aws:logs:us-east-1:123456789012:delivery-destination:S3-destination",
    "deliveryDestinationType": "S3",
    "recordFields": [
        "date",
        "time",
        "x-edge-location",
        "sc-bytes",
        "c-ip",
        "cs-method",
        "cs(Host)",
        "cs-uri-stem",
        "sc-status",
        "cs(Referer)",
        "cs(User-Agent)",
        "cs-uri-query",
        "cs(Cookie)",
        "x-edge-result-type",
        "x-edge-request-id",
        "x-host-header",
        "cs-protocol",
        "cs-bytes",
        "time-taken",
        "x-forwarded-for",
        "ssl-protocol",
        "ssl-cipher",
        "x-edge-response-result-type",
        "cs-protocol-version",
        "fle-status",
        "fle-encrypted-fields",
        "c-port",
        "time-to-first-byte",
        "x-edge-detailed-result-type",
        "sc-content-type",
        "sc-content-len",
        "sc-range-start",
        "sc-range-end",
        "c-country",
        "cache-behavior-path-pattern"
    ],
     "fieldDelimiter": ""
}

Depuis la CloudFront console, sur la page Logs, vérifiez que le statut standard des logs est Activé à côté de la distribution.

Pour plus d'informations sur la livraison de journalisation standard et les champs de journalisation, consultez leRéférence de journalisation standard.

Pour créer la destination de livraison du journal, vous pouvez saisir la AWS CLI commande suivante. Cet exemple utilise la MyLogPrefix chaîne pour créer un préfixe pour vos journaux d'accès.

aws logs put-delivery-destination --name cloudfront-delivery-destination --delivery-destination-configuration "destinationResourceArn=arn:aws:s3:::amzn-s3-demo-bucket-cloudfront-logs/MyLogPrefix"

Sortie

{
    "deliveryDestination": {
        "name": "cloudfront-delivery-destination",
        "arn": "arn:aws:logs:us-east-1:222222222222:delivery-destination:cloudfront-delivery-destination",
        "deliveryDestinationType": "S3",
        "deliveryDestinationConfiguration": {"destinationResourceArn": "arn:aws:s3:::amzn-s3-demo-bucket-cloudfront-logs/MyLogPrefix"}
    }
}

Ajoutez la politique de ressources pour la destination de livraison du journal afin de permettre au compte source de créer une livraison du journal.

Dans la politique suivante, remplacez-le 111111111111 par l'ID du compte source et spécifiez l'ARN de destination de livraison à partir de la sortie de l'étape 1.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowCreateDelivery",
            "Effect": "Allow",
            "Principal": {"AWS": "111111111111"},
            "Action": ["logs:CreateDelivery"],
            "Resource": "arn:aws:logs:us-east-1:222222222222:delivery-destination:cloudfront-delivery-destination"
        }
    ]
}

Enregistrez le fichier, par exempledeliverypolicy.json.

Pour associer la politique précédente à la destination de livraison, entrez la AWS CLI commande suivante.

aws logs put-delivery-destination-policy --delivery-destination-name cloudfront-delivery-destination --delivery-destination-policy file://deliverypolicy.json

Ajoutez la déclaration ci-dessous à la politique du compartiment Amazon S3 de destination, en remplaçant l'ARN de la ressource et l'ID du compte source. Cette politique permet au principal du delivery.logs.amazonaws.com service d'effectuer l's3:PutObjectaction.

{
    "Sid": "AWSLogsDeliveryWrite",
    "Effect": "Allow",
    "Principal": {"Service": "delivery.logs.amazonaws.com"},
    "Action": "s3:PutObject",
    "Resource": "arn:aws:s3:::amzn-s3-demo-bucket-cloudfront-logs/*",
    "Condition": {
        "StringEquals": {
            "s3:x-amz-acl": "bucket-owner-full-control",
            "aws:SourceAccount": "111111111111"
        },
        "ArnLike": {"aws:SourceArn": "arn:aws:logs:us-east-1:111111111111:delivery-source:*"}
    }
}

Si vous l'utilisez AWS KMS pour votre compartiment, ajoutez la déclaration suivante à la politique des clés KMS pour accorder des autorisations au principal du delivery.logs.amazonaws.com service.

{
    "Sid": "Allow Logs Delivery to use the key",
    "Effect": "Allow",
    "Principal": {"Service": "delivery.logs.amazonaws.com"},
    "Action": [
        "kms:Encrypt",
        "kms:Decrypt",
        "kms:ReEncrypt*",
        "kms:GenerateDataKey*",
        "kms:DescribeKey"
    ],
    "Resource": "*",
    "Condition": {
        "StringEquals": {"aws:SourceAccount": "111111111111"},
        "ArnLike": {"aws:SourceArn": "arn:aws:logs:us-east-1:111111111111:delivery-source:*"}
    }
}

Créez une source de diffusion pour la journalisation CloudFront standard afin de pouvoir envoyer des fichiers CloudWatch journaux à Logs.

Vous pouvez entrer la AWS CLI commande suivante en remplaçant le nom et l'ARN de votre distribution.

aws logs put-delivery-source --name s3-cf-delivery --resource-arn arn:aws:cloudfront::111111111111:distribution/E1TR1RHV123ABC --log-type ACCESS_LOGS

Sortie

{
    "deliverySource": {
        "name": "s3-cf-delivery",
        "arn": "arn:aws:logs:us-east-1:111111111111:delivery-source:s3-cf-delivery",
        "resourceArns": ["arn:aws:cloudfront::111111111111:distribution/E1TR1RHV123ABC"],
        "service": "cloudfront",
        "logType": "ACCESS_LOGS"
    }
}

Créez une diffusion pour mapper la source de livraison du journal du compte source et la destination de livraison du journal du compte de destination.

Dans la AWS CLI commande suivante, spécifiez l'ARN de destination de livraison à partir de la sortie de l'étape 1 : Configurer le compte de destination.

aws logs create-delivery --delivery-source-name s3-cf-delivery --delivery-destination-arn arn:aws:logs:us-east-1:222222222222:delivery-destination:cloudfront-delivery-destination

Sortie

{
    "delivery": {
        "id": "OPmOpLahVzhx1234",
        "arn": "arn:aws:logs:us-east-1:111111111111:delivery:OPmOpLahVzhx1234",
        "deliverySourceName": "s3-cf-delivery",
        "deliveryDestinationArn": "arn:aws:logs:us-east-1:222222222222:delivery-destination:cloudfront-delivery-destination",
        "deliveryDestinationType": "S3",
        "recordFields": [
            "date",
            "time",
            "x-edge-location",
            "sc-bytes",
            "c-ip",
            "cs-method",
            "cs(Host)",
            "cs-uri-stem",
            "sc-status",
            "cs(Referer)",
            "cs(User-Agent)",
            "cs-uri-query",
            "cs(Cookie)",
            "x-edge-result-type",
            "x-edge-request-id",
            "x-host-header",
            "cs-protocol",
            "cs-bytes",
            "time-taken",
            "x-forwarded-for",
            "ssl-protocol",
            "ssl-cipher",
            "x-edge-response-result-type",
            "cs-protocol-version",
            "fle-status",
            "fle-encrypted-fields",
            "c-port",
            "time-to-first-byte",
            "x-edge-detailed-result-type",
            "sc-content-type",
            "sc-content-len",
            "sc-range-start",
            "sc-range-end",
            "c-country",
            "cache-behavior-path-pattern"
        ],
        "fieldDelimiter": "\t"
    }
}

Vérifiez que la livraison entre comptes est réussie.

1. Depuis le source compte, connectez-vous à la CloudFront console et choisissez votre distribution. Dans l'onglet Logging, sous Type, vous verrez une entrée créée pour la livraison du journal entre comptes S3.

2. Depuis le destination compte, connectez-vous à la console Amazon S3 et choisissez votre compartiment Amazon S3. Vous verrez le préfixe MyLogPrefix dans le nom du compartiment et dans tous les journaux d'accès envoyés à ce dossier.

Connectez-vous à la CloudFront console.

Choisissez Distribution, puis choisissez votre ID de distribution.

Choisissez Logging, puis sous Destinations de journal standard, sélectionnez la destination.

Choisissez Gérer, puis Supprimer.

Répétez l'étape précédente si vous disposez de plusieurs journaux standard.