Créer un journal de flux publiant vers CloudWatch Logs - Amazon Virtual Private Cloud

Créer un journal de flux publiant vers CloudWatch Logs

Vous pouvez créer des journaux de flux pour vos VPC, sous-réseaux ou interfaces réseau. Si vous effectuez ces étapes en tant qu'utilisateur utilisant un rôle IAM particulier, assurez-vous que ce rôle dispose des autorisations nécessaires pour utiliser l'action iam:PassRole.

Prérequis

Vérifiez que le principal IAM que vous utilisez pour effectuer la demande disposent des autorisations pour appeler l’action iam:PassRole.

JSON
{
    "Version":"2012-10-17",		 	 	 
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "iam:PassRole"
            ],
            "Resource": "arn:aws:iam::111122223333:role/flow-log-role-name"
        }
    ]
}
Pour créer un journal de flux à l'aide de la console

  1. Effectuez l’une des actions suivantes :

  2. Choisissez Actions, Create flow log (Créer le journal de flux).

  3. Pour Filter (Filtre), spécifiez le type de trafic à journaliser. Sélectionnez All (Tout) pour journaliser le trafic accepté et refusé, Reject (Rejeter) pour enregistrer uniquement le trafic refusé ou Accept (Accepter) pour enregistrer uniquement le trafic accepté.

  4. Pour Maximum aggregation interval (Intervalle d'agrégation maximal), choisissez la période maximale pendant laquelle un flux est capturé et agrégé dans un enregistrement de journal de flux.

  5. Pour Destination, choisissez Send to CloudWatch Logs. (Envoyer à CloudWatch Logs).

  6. Dans Groupe de journaux de destination, sélectionnez le nom d’un groupe de journaux existant ou entrez le nom d’un nouveau groupe de journaux. Si vous saisissez un nom, nous créons le groupe de journaux lorsqu’il y a du trafic à journaliser.

  7. Dans Accès au service, choisissez un rôle de service IAM existant autorisé à publier des journaux sur CloudWatch Logs ou créez un rôle de service.

  8. Pour Log record format (Format d'enregistrement du journal), sélectionnez le format de l'enregistrement du journal de flux.

    • Pour utiliser le format par défaut, choisissez AWS default format (Format par défaut).

    • Pour utiliser un format personnalisé, choisissez Custom format (Format personnalisé), puis sélectionnez des champs dans Log format (Format du journal).

  9. Pour Métadonnées supplémentaires, indiquez si vous souhaitez inclure les métadonnées d’Amazon ECS dans le format du journal.

  10. (Facultatif) Sélectionnez Add new tag (Ajouter une nouvelle balise) pour appliquer des identifications au journal de flux.

  11. Choisissez Créer le journal de flux.

Pour créer un journal de flux à l'aide de la ligne de commande

Utilisez l'une des commandes suivantes.

L'exemple suivant AWS CLI crée un journal de flux qui capture tout le trafic accepté pour le sous-réseau spécifié. Les journaux de flux sont transmis au groupe de journaux spécifié. Le paramètre --deliver-logs-permission-arn spécifie le rôle IAM requis pour la publication dans CloudWatch Logs.

aws ec2 create-flow-logs --resource-type Subnet --resource-ids subnet-1a2b3c4d --traffic-type ACCEPT --log-group-name my-flow-logs --deliver-logs-permission-arn arn:aws:iam::123456789101:role/publishFlowLogs