Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Journaux d'accès pour Amazon VPC Lattice

Les journaux d'accès capturent des informations détaillées sur les services et les configurations de ressources de votre VPC Lattice. Vous pouvez utiliser ces journaux d'accès pour analyser les modèles de trafic et auditer tous les services du réseau. Pour les services VPC Lattice, nous publions VpcLatticeAccessLogs et pour les configurations de ressources, nous publions celles VpcLatticeResourceAccessLogs qui doivent être configurées séparément.

Les journaux d'accès sont facultatifs et sont désactivés par défaut. Après avoir activé les journaux d'accès, vous pouvez les désactiver à tout moment.

Tarification

Des frais s'appliquent lorsque les journaux d'accès sont publiés. Les journaux qui sont publiés AWS de manière native en votre nom sont appelés journaux distribués. Pour plus d'informations sur la tarification des journaux vendus, consultez Amazon CloudWatch Pricing, choisissez Logs et consultez la tarification sous Vended Logs.

Autorisations IAM requises pour activer les journaux d'accès

Pour activer les journaux d'accès et envoyer les journaux vers leurs destinations, vous devez définir les actions suivantes dans la politique associée à l'utilisateur, au groupe ou au rôle IAM que vous utilisez.

JSON

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Sid": "ManageVPCLatticeAccessLogSetup",
            "Action": [
                "logs:CreateLogDelivery",
                "logs:GetLogDelivery",
                "logs:UpdateLogDelivery",
                "logs:DeleteLogDelivery",
                "logs:ListLogDeliveries",
                "vpc-lattice:CreateAccessLogSubscription",
                "vpc-lattice:GetAccessLogSubscription",
                "vpc-lattice:UpdateAccessLogSubscription",
                "vpc-lattice:DeleteAccessLogSubscription",
                "vpc-lattice:ListAccessLogSubscriptions"
            ],
            "Resource": [
                "*"
            ]
        }
    ]
}            

Pour plus d'informations, veuillez consulter Ajout et suppression d'autorisations basées sur l'identité IAM dans le Guide de l'utilisateur Gestion des identités et des accès AWS .

Après avoir mis à jour la politique associée à l'utilisateur, au groupe ou au rôle IAM que vous utilisez, accédez àActiver les journaux d'accès.

Destinations du journal d'accès

Vous pouvez envoyer des journaux d'accès aux destinations suivantes.

Activer les journaux d'accès

Suivez la procédure suivante pour configurer les journaux d'accès afin de capturer et de transmettre les journaux d'accès à la destination que vous choisissez.

Activer les journaux d'accès à l'aide de la console

Vous pouvez activer les journaux d'accès pour un réseau de services, un service ou une configuration de ressources lors de la création. Vous pouvez également activer les journaux d'accès après avoir créé un réseau de service, un service ou une configuration de ressources, comme décrit dans la procédure suivante.

Activez les journaux d'accès à l'aide du AWS CLI

Utilisez la commande CLI create-access-log-subscription pour activer les journaux d'accès pour les réseaux de services ou les services.

Suivi des demandes

VPC Lattice prend en charge le suivi des demandes et la corrélation entre les clients, les cibles et les journaux à des fins d'observabilité et de débogage avec l'en-tête x-amzn-requestid. Cet en-tête peut être défini et envoyé par le client ou généré par VPC Lattice. Il est envoyé aux cibles et également disponible dans les journaux d'accès.

Exemple (réponse par défaut)

Voici un exemple de réponse envoyée au client avec le comportement par défaut de VPC Lattice générant une valeur aléatoire pour la valeur de l'en-tête x-amzn-requestid.

{
    "HTTP/1.1 200 OK
    x-amzn-requestid: a9f2c7a1-6b4f-4c79-9e87-ff5a1234a001"
}

Exemple (annuler la demande du client)

Voici un exemple de demande envoyée par le client avec une valeur d'en-tête.

{
    "GET /my-service/endpoint HTTP/1.1 
    Host: my-api.example.com
    x-amzn-requestid: trace-request-foobar"
}

Exemple (réponse de remplacement par défaut)

Voici un exemple de réponse envoyée au client avec la valeur remplacée.

{
    "HTTP/1.1 200 OK
    x-amzn-requestid: trace-request-foobar"
}

Contenu du journal d'accès

Le tableau suivant décrit les champs d'une entrée de journal d'accès.

Exemple

Voici un exemple d'entrée de journal.

{
    "callerPrincipalTags" : "{ "TagA": "ValA", "TagB": "ValB", ... }",
    "hostHeader": "example.com",
    "sslCipher": "-",
    "serviceNetworkArn": "arn:aws:vpc-lattice:us-west-2:123456789012:servicenetwork/svn-1a2b3c4d",
    "resolvedUser": "Unknown",
    "authDeniedReason": "null",
    "requestMethod": "GET",
    "targetGroupArn": "arn:aws:vpc-lattice:us-west-2:123456789012:targetgroup/tg-1a2b3c4d",
    "tlsVersion": "-",
    "userAgent": "-",
    "serverNameIndication": "-",
    "destinationVpcId": "vpc-0abcdef1234567890",
    "sourceIpPort": "178.0.181.150:80",
    "targetIpPort": "131.31.44.176:80",
    "serviceArn": "arn:aws:vpc-lattice:us-west-2:123456789012:service/svc-1a2b3c4d",
    "sourceVpcId": "vpc-0abcdef1234567890",
    "requestPath": "/billing",
    "startTime": "2023-07-28T20:48:45Z",
    "protocol": "HTTP/1.1",
    "responseCode": 200,
    "bytesReceived": 42,
    "bytesSent": 42,
    "duration": 375,
    "requestToTargetDuration": 1,
    "responseFromTargetDuration": 1,
    "grpcResponseCode": 1,
    "requestId": "a9f2c7a1-6b4f-4c79-9e87-ff5a1234a001"
}

Contenu du journal d'accès aux ressources

Le tableau suivant décrit les champs d'une entrée de journal d'accès aux ressources.

Exemple

Voici un exemple d'entrée de journal.

{
    "eventTimestamp": "2024-12-02T10:10:10.123Z",
    "serviceNetworkArn": "arn:aws:vpc-lattice:us-west-2:1234567890:servicenetwork/sn-1a2b3c4d",
    "serviceNetworkResourceAssociationId": "snra-1a2b3c4d",
    "vpcEndpointId": "vpce-01a2b3c4d",
    "sourceVpcArn": "arn:aws:ec2:us-west-2:1234567890:vpc/vpc-01a2b3c4d",
    "resourceConfigurationArn": "arn:aws:vpc-lattice:us-west-2:0987654321:resourceconfiguration/rcfg-01a2b3c4d",
    "protocol": "tcp",
    "sourceIpPort": "172.31.23.56:44076",
    "destinationIpPort": "172.31.31.226:80",
    "gatewayIpPort": "10.0.28.57:49288",
    "resourceIpPort": "10.0.18.190:80"
}

Résoudre les problèmes liés aux journaux d'accès

Cette section contient une explication des codes d'erreur HTTP que vous pouvez voir dans les journaux d'accès.