Configurare la registrazione standard (v2)

Usa la CloudFront console per aggiornare una distribuzione esistente.

Scegli la scheda Logging (Utilizzo log).

Scegli Aggiungi, quindi seleziona il servizio per ricevere i log:

Per la destinazione, seleziona la risorsa per il tuo servizio. Se non hai ancora creato la risorsa, puoi scegliere Crea o consultare la seguente documentazione.

Per Impostazioni aggiuntive, facoltativo, puoi specificare le seguenti opzioni:

1. Per Selezione dei campi, seleziona i nomi dei campi di registro che desideri consegnare alla tua destinazione. Puoi selezionare i campi del registro di accesso e un sottoinsieme di campi di registro in tempo reale.

2. (Solo Amazon S3) Per il partizionamento, specifica il percorso per partizionare i dati del file di registro.

3. (Solo Amazon S3) Per il formato di file compatibile con Hive, puoi selezionare la casella di controllo per utilizzare percorsi S3 compatibili con Hive. Questo aiuta a semplificare il caricamento di nuovi dati negli strumenti compatibili con Hive.

4. Per Formato di output, specifica il formato preferito.

   Nota

   Se scegliete Parquet, questa opzione comporta dei CloudWatch costi per la conversione dei log di accesso in Apache Parquet. Per ulteriori informazioni, consulta la sezione Vided Logs per i prezzi. CloudWatch

5. Per Field Delimiter, specifica come separare i campi di registro.

Completa i passaggi per aggiornare o creare la tua distribuzione.

Per aggiungere un'altra destinazione, ripeti i passaggi da 3 a 6.

Dalla pagina Registri, verifica che lo stato standard dei log sia Abilitato accanto alla distribuzione.

(Facoltativo) Per abilitare la registrazione dei cookie, scegli Gestione, Impostazioni e attiva la registrazione dei cookie, quindi scegli Salva modifiche.

Dopo aver creato una distribuzione, ottieni l'Amazon Resource Name (ARN).

Puoi trovare l'ARN dalla pagina Distribuzione della CloudFront console oppure puoi utilizzare l'operazione GetDistributionAPI. Un ARN di distribuzione segue il formato: arn:aws:cloudfront::123456789012:distribution/d111111abcdef8

Quindi, utilizzate l'operazione CloudWatch PutDeliverySourceAPI per creare una fonte di consegna per la distribuzione.

1. Inserisci un nome per la fonte di consegna.

2. Passa resourceArn la distribuzione.

3. PerlogType, specifica ACCESS_LOGS come tipo di log che vengono raccolti.

4. Esempio Comando di esempio AWS CLI put-delivery-source

   Di seguito è riportato un esempio di configurazione di una fonte di consegna per una distribuzione.

   aws logs put-delivery-source --name S3-delivery --resource-arn arn:aws:cloudfront::123456789012:distribution/d111111abcdef8 --log-type ACCESS_LOGS

   Output

   {
    "deliverySource": {
    "name": "S3-delivery",
    "arn": "arn:aws:logs:us-east-1:123456789012:delivery-source:S3-delivery",
    "resourceArns": [
    "arn:aws:cloudfront::123456789012:distribution/d111111abcdef8"
    ],
    "service": "cloudfront",
    "logType": "ACCESS_LOGS"
    }
   } 

Utilizza l'operazione PutDeliveryDestinationAPI per configurare dove archiviare i log.

1. PerdestinationResourceArn, specificare l'ARN della destinazione. Può essere un gruppo di log CloudWatch Logs, un flusso di distribuzione Firehose o un bucket Amazon S3.

2. PeroutputFormat, specifica il formato di output per i tuoi log.

3. Esempio Comando di esempio AWS CLI put-delivery-destination

   Di seguito è riportato un esempio di configurazione di una destinazione di consegna in un bucket Amazon S3.

   aws logs put-delivery-destination --name S3-destination --delivery-destination-configuration destinationResourceArn=arn:aws:s3:::amzn-s3-demo-bucket

   Output

   {
       "name": "S3-destination",
       "arn": "arn:aws:logs:us-east-1:123456789012:delivery-destination:S3-destination",
       "deliveryDestinationType": "S3",
       "deliveryDestinationConfiguration": {
           "destinationResourceArn": "arn:aws:s3:::amzn-s3-demo-bucket"
       }
   }

Utilizza l'operazione CreateDeliveryAPI per collegare la fonte di consegna alla destinazione creata nei passaggi precedenti. Questa operazione API associa l'origine di consegna alla destinazione finale.

1. PerdeliverySourceName, specifica il nome della fonte.

2. PerdeliveryDestinationArn, specificare l'ARN per la destinazione di consegna.

3. PerfieldDelimiter, specifica la stringa per separare ogni campo del registro.

4. PerrecordFields, specifica i campi di registro che desideri.

5. Se usi S3, specifica se usare enableHiveCompatiblePath esuffixPath.

aws logs create-delivery --delivery-source-name cf-delivery --delivery-destination-arn arn:aws:logs:us-east-1:123456789012:delivery-destination:S3-destination

{
    "id": "abcNegnBoTR123",
    "arn": "arn:aws:logs:us-east-1:123456789012:delivery:abcNegnBoTR123",
    "deliverySourceName": "cf-delivery",
    "deliveryDestinationArn": "arn:aws:logs:us-east-1:123456789012:delivery-destination:S3-destination",
    "deliveryDestinationType": "S3",
    "recordFields": [
        "date",
        "time",
        "x-edge-location",
        "sc-bytes",
        "c-ip",
        "cs-method",
        "cs(Host)",
        "cs-uri-stem",
        "sc-status",
        "cs(Referer)",
        "cs(User-Agent)",
        "cs-uri-query",
        "cs(Cookie)",
        "x-edge-result-type",
        "x-edge-request-id",
        "x-host-header",
        "cs-protocol",
        "cs-bytes",
        "time-taken",
        "x-forwarded-for",
        "ssl-protocol",
        "ssl-cipher",
        "x-edge-response-result-type",
        "cs-protocol-version",
        "fle-status",
        "fle-encrypted-fields",
        "c-port",
        "time-to-first-byte",
        "x-edge-detailed-result-type",
        "sc-content-type",
        "sc-content-len",
        "sc-range-start",
        "sc-range-end",
        "c-country",
        "cache-behavior-path-pattern"
    ],
     "fieldDelimiter": ""
}

Dalla CloudFront console, nella pagina Registri, verifica che lo stato standard dei log sia Abilitato accanto alla distribuzione.

Per ulteriori informazioni sulla consegna dei log standard e sui campi di registro, consulta. Riferimento di registrazione standard

Per creare la destinazione di consegna dei log, puoi inserire il seguente AWS CLI comando. Questo esempio utilizza la MyLogPrefix stringa per creare un prefisso per i registri di accesso.

aws logs put-delivery-destination --name cloudfront-delivery-destination --delivery-destination-configuration "destinationResourceArn=arn:aws:s3:::amzn-s3-demo-bucket-cloudfront-logs/MyLogPrefix"

Output

{
    "deliveryDestination": {
        "name": "cloudfront-delivery-destination",
        "arn": "arn:aws:logs:us-east-1:222222222222:delivery-destination:cloudfront-delivery-destination",
        "deliveryDestinationType": "S3",
        "deliveryDestinationConfiguration": {"destinationResourceArn": "arn:aws:s3:::amzn-s3-demo-bucket-cloudfront-logs/MyLogPrefix"}
    }
}

Aggiungi la politica delle risorse per la destinazione di consegna dei log per consentire all'account di origine di creare una consegna dei log.

Nella seguente politica, sostituisci 111111111111 con l'ID dell'account di origine e specifica l'ARN della destinazione di consegna dall'output del passaggio 1.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowCreateDelivery",
            "Effect": "Allow",
            "Principal": {"AWS": "111111111111"},
            "Action": ["logs:CreateDelivery"],
            "Resource": "arn:aws:logs:us-east-1:222222222222:delivery-destination:cloudfront-delivery-destination"
        }
    ]
}

Salvate il file, ad esempiodeliverypolicy.json.

Per allegare la politica precedente alla destinazione di consegna, inserisci il seguente AWS CLI comando.

aws logs put-delivery-destination-policy --delivery-destination-name cloudfront-delivery-destination --delivery-destination-policy file://deliverypolicy.json

Aggiungi la seguente dichiarazione alla policy del bucket Amazon S3 di destinazione, sostituendo l'ARN della risorsa e l'ID dell'account di origine. Questa politica consente al responsabile del delivery.logs.amazonaws.com servizio di eseguire l'azione. s3:PutObject

{
    "Sid": "AWSLogsDeliveryWrite",
    "Effect": "Allow",
    "Principal": {"Service": "delivery.logs.amazonaws.com"},
    "Action": "s3:PutObject",
    "Resource": "arn:aws:s3:::amzn-s3-demo-bucket-cloudfront-logs/*",
    "Condition": {
        "StringEquals": {
            "s3:x-amz-acl": "bucket-owner-full-control",
            "aws:SourceAccount": "111111111111"
        },
        "ArnLike": {"aws:SourceArn": "arn:aws:logs:us-east-1:111111111111:delivery-source:*"}
    }
}

Se lo utilizzi AWS KMS per il tuo bucket, aggiungi la seguente dichiarazione alla politica chiave KMS per concedere le autorizzazioni al responsabile del delivery.logs.amazonaws.com servizio.

{
    "Sid": "Allow Logs Delivery to use the key",
    "Effect": "Allow",
    "Principal": {"Service": "delivery.logs.amazonaws.com"},
    "Action": [
        "kms:Encrypt",
        "kms:Decrypt",
        "kms:ReEncrypt*",
        "kms:GenerateDataKey*",
        "kms:DescribeKey"
    ],
    "Resource": "*",
    "Condition": {
        "StringEquals": {"aws:SourceAccount": "111111111111"},
        "ArnLike": {"aws:SourceArn": "arn:aws:logs:us-east-1:111111111111:delivery-source:*"}
    }
}

Crea una fonte di consegna per la registrazione CloudFront standard in modo da poter inviare i file di registro a CloudWatch Logs.

È possibile immettere il seguente AWS CLI comando, sostituendo il nome e l'ARN della distribuzione.

aws logs put-delivery-source --name s3-cf-delivery --resource-arn arn:aws:cloudfront::111111111111:distribution/E1TR1RHV123ABC --log-type ACCESS_LOGS

Output

{
    "deliverySource": {
        "name": "s3-cf-delivery",
        "arn": "arn:aws:logs:us-east-1:111111111111:delivery-source:s3-cf-delivery",
        "resourceArns": ["arn:aws:cloudfront::111111111111:distribution/E1TR1RHV123ABC"],
        "service": "cloudfront",
        "logType": "ACCESS_LOGS"
    }
}

Crea una consegna per mappare l'origine di consegna dei log dell'account di origine e la destinazione di consegna dei log dell'account di destinazione.

Nel AWS CLI comando seguente, specificare l'ARN della destinazione di consegna dall'output nel Passaggio 1: Configurazione dell'account di destinazione.

aws logs create-delivery --delivery-source-name s3-cf-delivery --delivery-destination-arn arn:aws:logs:us-east-1:222222222222:delivery-destination:cloudfront-delivery-destination

Output

{
    "delivery": {
        "id": "OPmOpLahVzhx1234",
        "arn": "arn:aws:logs:us-east-1:111111111111:delivery:OPmOpLahVzhx1234",
        "deliverySourceName": "s3-cf-delivery",
        "deliveryDestinationArn": "arn:aws:logs:us-east-1:222222222222:delivery-destination:cloudfront-delivery-destination",
        "deliveryDestinationType": "S3",
        "recordFields": [
            "date",
            "time",
            "x-edge-location",
            "sc-bytes",
            "c-ip",
            "cs-method",
            "cs(Host)",
            "cs-uri-stem",
            "sc-status",
            "cs(Referer)",
            "cs(User-Agent)",
            "cs-uri-query",
            "cs(Cookie)",
            "x-edge-result-type",
            "x-edge-request-id",
            "x-host-header",
            "cs-protocol",
            "cs-bytes",
            "time-taken",
            "x-forwarded-for",
            "ssl-protocol",
            "ssl-cipher",
            "x-edge-response-result-type",
            "cs-protocol-version",
            "fle-status",
            "fle-encrypted-fields",
            "c-port",
            "time-to-first-byte",
            "x-edge-detailed-result-type",
            "sc-content-type",
            "sc-content-len",
            "sc-range-start",
            "sc-range-end",
            "c-country",
            "cache-behavior-path-pattern"
        ],
        "fieldDelimiter": "\t"
    }
}

Verifica che la consegna su più account sia avvenuta correttamente.

1. Dall'sourceaccount, accedi alla CloudFront console e scegli la distribuzione. Nella scheda Registrazione, sotto Tipo, vedrai una voce creata per la consegna dei log su più account S3.

2. Dall'destinationaccount, accedi alla console Amazon S3 e scegli il tuo bucket Amazon S3. Vedrai il prefisso MyLogPrefix nel nome del bucket e tutti i log di accesso forniti a quella cartella.

Accedere alla console CloudFront .

Scegli Distribuzione, quindi scegli il tuo ID di distribuzione.

Scegli Registrazione, quindi in Destinazioni di registro standard, seleziona la destinazione.

Scegli Gestisci, quindi scegli Elimina.

Ripeti il passaggio precedente se disponi di più di una registrazione standard.