Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.
# Activez les journaux d'accès pour votre Network Load Balancer
Pour activer la journalisation des accès pour votre équilibreur de charge, vous devez spécifier le nom du compartiment S3 dans lequel l'équilibreur de charge stockera les journaux. Le compartiment doit avoir une politique de compartiment qui accorde à Elastic Load Balancing l'autorisation d'écrire dans le compartiment.
**Important**
Les journaux d'accès sont créés uniquement si l'équilibreur de charge dispose d'un écouteur TLS, et les journaux contiennent uniquement des informations sur les demandes TLS.
## Conditions requises pour le compartiment
Vous ou utiliser un compartiment existant ou créer un compartiment spécifique pour les journaux d'accès. Le compartiment doit répondre aux critères suivants :
**Exigences**
+ Le compartiment doit se situer dans la même région que l'équilibreur de charge. Le compartiment et l'équilibreur de charge peuvent être détenus par des comptes différents.
+ Le préfixe que vous spécifiez ne doit pas inclure `AWSLogs`. Nous ajoutons la partie du nom de fichier commençant par `AWSLogs` après le nom du compartiment et le préfixe que vous avez spécifié.
+ Le compartiment doit avoir une stratégie de compartiment qui octroie l'autorisation d'écrire les journaux d'accès dans votre compartiment. Les stratégies de compartiment sont une collection d'instructions JSON écrites dans le langage d'access policy permettant de définir des autorisations d'accès pour votre compartiment.
**Exemple de politique de compartiment**
Voici un exemple de politique . Pour les `Resource` éléments, {{amzn-s3-demo-destination-bucket}} remplacez-les par le nom du compartiment S3 pour vos journaux d'accès. Veillez à omettre le préfixe de compartiment {{Prefix/}} si vous n'utilisez pas de préfixe de compartiment. Pour`aws:SourceAccount`, spécifiez l'ID du AWS compte auprès de l'équilibreur de charge. Pour`aws:SourceArn`, remplacez {{region}} et {{012345678912}} par la région et l'ID de compte de l'équilibreur de charge, respectivement.
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Id": "AWSLogDeliveryWrite",
"Statement": [
{
"Sid": "AWSLogDeliveryAclCheck",
"Effect": "Allow",
"Principal": {
"Service": "delivery.logs.amazonaws.com"
},
"Action": "s3:GetBucketAcl",
"Resource": "arn:aws:s3:::{{amzn-s3-demo-destination-bucket}}",
"Condition": {
"StringEquals": {
"aws:SourceAccount": [
"{{012345678912}}"
]
},
"ArnLike": {
"aws:SourceArn": [
"arn:aws:logs:{{us-east-1}}:{{012345678912}}:*"
]
}
}
},
{
"Sid": "AWSLogDeliveryWrite",
"Effect": "Allow",
"Principal": {
"Service": "delivery.logs.amazonaws.com"
},
"Action": "s3:PutObject",
"Resource": "arn:aws:s3:::{{amzn-s3-demo-destination-bucket}}/{{Prefix/}}AWSLogs/{{account-ID}}/*",
"Condition": {
"StringEquals": {
"s3:x-amz-acl": "bucket-owner-full-control",
"aws:SourceAccount": [
"{{012345678912}}"
]
},
"ArnLike": {
"aws:SourceArn": [
"arn:aws:logs:{{us-east-1}}:{{012345678912}}:*"
]
}
}
}
]
}
```
------
**Chiffrement**
Vous pouvez activer le chiffrement côté serveur pour votre compartiment de journaux d'accès Amazon S3 de l'une des manières suivantes :
+ Clés gérées par Amazon S3 (SSE-S3)
+ AWS KMS clés stockées dans AWS Key Management Service (SSE-KMS) †
† Avec les journaux d'accès de Network Load Balancer, vous ne pouvez pas utiliser de clés AWS gérées, vous devez utiliser des clés gérées par le client.
*Pour plus d'informations, consultez les sections [Spécification du chiffrement Amazon S3 (SSE-S3)](https://docs.aws.amazon.com/AmazonS3/latest/userguide/specifying-s3-encryption.html) et [Spécification du chiffrement côté serveur avec AWS KMS (SSE-KMS) dans le guide de l'utilisateur](https://docs.aws.amazon.com/AmazonS3/latest/userguide/specifying-kms-encryption.html) Amazon S3.*
La stratégie de clé doit permettre au service de chiffrer et de déchiffrer les journaux. Voici un exemple de politique .
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Principal": {
"Service": "delivery.logs.amazonaws.com"
},
"Action": [
"kms:Encrypt",
"kms:Decrypt",
"kms:ReEncrypt*",
"kms:GenerateDataKey*",
"kms:DescribeKey"
],
"Resource": "*"
}
]
}
```
------
## Configuration des journaux d'accès
Utilisez la procédure suivante pour configurer les journaux d'accès afin de capturer les informations relatives aux demandes et de transmettre les fichiers journaux à votre compartiment S3.
------
#### [ Console ]
**Pour activer les journaux d’accès**
1. Ouvrez la console Amazon EC2 à l’adresse [https://console.aws.amazon.com/ec2/](https://console.aws.amazon.com/ec2/).
1. Dans le volet de navigation, choisissez **Load Balancers**.
1. Sélectionnez le nom de votre équilibreur de charge afin d'ouvrir sa page de détails.
1. Dans l'onglet **Attributes**, choisissez **Edit**.
1. Pour **Surveillance**, activez **Journaux d'accès**.
1. Pour **S3 URI**, saisissez l'URI S3 de vos fichiers journaux. L'URI que vous spécifiez varie selon que vous utilisez ou non un préfixe.
+ URI avec un préfixe : s3 :///{{amzn-s3-demo-logging-bucket}}{{logging-prefix}}
+ URI sans préfixe : s3 ://{{amzn-s3-demo-logging-bucket}}
1. Sélectionnez **Enregistrer les modifications**.
------
#### [ AWS CLI ]
**Pour activer les journaux d’accès**
Utilisez la [modify-load-balancer-attributes](https://docs.aws.amazon.com/cli/latest/reference/elbv2/modify-load-balancer-attributes.html)commande avec les attributs associés.
```
aws elbv2 modify-load-balancer-attributes \
--load-balancer-arn {{load-balancer-arn}} \
--attributes \
Key=access_logs.s3.enabled,Value=true \
Key=access_logs.s3.bucket,Value={{amzn-s3-demo-logging-bucket}} \
Key=access_logs.s3.prefix,Value={{logging-prefix}}
```
------
#### [ CloudFormation ]
**Pour activer les journaux d’accès**
Mettez à jour la [AWS::ElasticLoadBalancingV2::LoadBalancer](https://docs.aws.amazon.com/AWSCloudFormation/latest/TemplateReference/aws-resource-elasticloadbalancingv2-loadbalancer.html)ressource pour inclure les attributs associés.
```
Resources:
myLoadBalancer:
Type: 'AWS::ElasticLoadBalancingV2::LoadBalancer'
Properties:
Name: my-nlb
Type: network
Scheme: internal
Subnets:
- !Ref subnet-AZ1
- !Ref subnet-AZ2
SecurityGroups:
- !Ref mySecurityGroup
LoadBalancerAttributes:
- Key: "access_logs.s3.enabled"
Value: "true"
- Key: "access_logs.s3.bucket"
Value: "{{amzn-s3-demo-logging-bucket}}"
- Key: "access_logs.s3.prefix"
Value: "{{logging-prefix}}"
```
------