Configurazione della registrazione di log standard (v2)

Utilizza la console CloudFront per aggiornare una distribuzione esistente.

Scegli la scheda Logging (Utilizzo log).

Scegli Aggiungi, quindi seleziona il servizio di ricezione dei log:

Per la destinazione, seleziona la risorsa per il servizio in uso. Se non hai ancora creato la risorsa, puoi scegliere Crea o consultare la seguente documentazione.

Per Impostazioni aggiuntive, facoltativo, puoi specificare le seguenti opzioni:

1. Per Selezione del campo, seleziona i nomi dei campi di log che desideri consegnare alla destinazione. Puoi selezionare i campi dei log di accesso e un sottoinsieme di campi di log in tempo reale.

2. (Solo Amazon S3) Per Partizionamento, specifica il percorso per partizionare i dati del file di log.

3. (Solo Amazon S3) Per Formato file compatibile con Hive, puoi selezionare la casella di controllo per utilizzare percorsi S3 compatibili con Hive. Questo consente di semplificare il caricamento di nuovi dati negli strumenti compatibili con Hive.

4. Per Formato di output, specifica il formato preferito.

   Nota

   Se scegli Parquet, questa opzione comporta costi CloudWatch per la conversione dei log di accesso in Apache Parquet. Per ulteriori informazioni, consulta la sezione Log forniti per Prezzi di CloudWatch.

5. Per Delimitatore di campo, specifica come separare i campi di log.

Completa le fasi per aggiornare o creare la distribuzione.

Per aggiungere un’altra destinazione, ripeti le fasi da 3 a 6.

Nella pagina Log, verifica che lo stato dei log standard sia Abilitato accanto alla distribuzione.

(Facoltativo) Per abilitare la registrazione di cookie, scegli Gestione, Impostazioni e attiva la Registrazione di cookie, quindi scegli Salva modifiche.

Dopo aver creato una distribuzione, puoi ottenere il nome della risorsa Amazon (ARN).

Puoi trovare l’ARN dalla pagina Distribuzione della console CloudFront oppure puoi utilizzare l’operazione API GetDistribution. Un ARN di distribuzione segue il formato: arn:aws:cloudfront::123456789012:distribution/d111111abcdef8

Successivamente, utilizza l’operazione API PutDeliverySource di CloudWatch per creare un’origine di consegna per la distribuzione.

1. Inserisci un nome per l’origine di consegna.

2. Passa il resourceArn della distribuzione.

3. Per logType, specifica ACCESS_LOGS come tipo di log che vengono raccolti.

4. Esempio Comando put-delivery-source di AWS CLI di esempio

   Di seguito è riportato un esempio di configurazione dell’origine di consegna per una distribuzione.

   aws logs put-delivery-source --name S3-delivery --resource-arn arn:aws:cloudfront::123456789012:distribution/d111111abcdef8 --log-type ACCESS_LOGS

   Output

   {
    "deliverySource": {
    "name": "S3-delivery",
    "arn": "arn:aws:logs:us-east-1:123456789012:delivery-source:S3-delivery",
    "resourceArns": [
    "arn:aws:cloudfront::123456789012:distribution/d111111abcdef8"
    ],
    "service": "cloudfront",
    "logType": "ACCESS_LOGS"
    }
   } 

Utilizza l’operazione API PutDeliveryDestination per configurare il percorso di archiviazione dei log.

1. Per destinationResourceArn, specifica l’ARN della destinazione. Può essere un gruppo di log di CloudWatch Logs, un flusso di consegna di Firehose o un bucket Amazon S3.

2. Per outputFormat, specifica il formato di output per i log.

3. Esempio Comando put-delivery-destination di AWS CLI di esempio

   Di seguito è riportato un esempio di configurazione di una destinazione di consegna a un bucket Amazon S3.

   aws logs put-delivery-destination --name S3-destination --delivery-destination-configuration destinationResourceArn=arn:aws:s3:::amzn-s3-demo-bucket

   Output

   {
       "name": "S3-destination",
       "arn": "arn:aws:logs:us-east-1:123456789012:delivery-destination:S3-destination",
       "deliveryDestinationType": "S3",
       "deliveryDestinationConfiguration": {
           "destinationResourceArn": "arn:aws:s3:::amzn-s3-demo-bucket"
       }
   }

Utilizza l’operazione API CreateDelivery per collegare l’origine di consegna alla destinazione creata nelle fasi precedenti. Questa operazione API associa l’origine di consegna alla destinazione finale.

1. Per deliverySourceName, specifica il nome dell’origine.

2. Per deliveryDestinationArn, specifica l’ARN della destinazione di consegna.

3. Per fieldDelimiter, specifica la stringa per separare ogni campo di log.

4. Per recordFields, specifica i campi di log che desideri.

5. Se utilizzi S3, specifica se usare enableHiveCompatiblePath e suffixPath.

aws logs create-delivery --delivery-source-name cf-delivery --delivery-destination-arn arn:aws:logs:us-east-1:123456789012:delivery-destination:S3-destination

{
    "id": "abcNegnBoTR123",
    "arn": "arn:aws:logs:us-east-1:123456789012:delivery:abcNegnBoTR123",
    "deliverySourceName": "cf-delivery",
    "deliveryDestinationArn": "arn:aws:logs:us-east-1:123456789012:delivery-destination:S3-destination",
    "deliveryDestinationType": "S3",
    "recordFields": [
        "date",
        "time",
        "x-edge-location",
        "sc-bytes",
        "c-ip",
        "cs-method",
        "cs(Host)",
        "cs-uri-stem",
        "sc-status",
        "cs(Referer)",
        "cs(User-Agent)",
        "cs-uri-query",
        "cs(Cookie)",
        "x-edge-result-type",
        "x-edge-request-id",
        "x-host-header",
        "cs-protocol",
        "cs-bytes",
        "time-taken",
        "x-forwarded-for",
        "ssl-protocol",
        "ssl-cipher",
        "x-edge-response-result-type",
        "cs-protocol-version",
        "fle-status",
        "fle-encrypted-fields",
        "c-port",
        "time-to-first-byte",
        "x-edge-detailed-result-type",
        "sc-content-type",
        "sc-content-len",
        "sc-range-start",
        "sc-range-end",
        "c-country",
        "cache-behavior-path-pattern"
    ],
     "fieldDelimiter": ""
}

Dalla console CloudFront, nella pagina Log, verifica che lo stato dei log standard sia Abilitato accanto alla distribuzione.

Per ulteriori informazioni sui campi di log e di consegna della registrazione di log standard, consulta Riferimento alla registrazione di log standard.

Per creare la destinazione di consegna dei log, puoi inserire il comando AWS CLI seguente. Questo esempio utilizza la stringa MyLogPrefix per creare un prefisso per i log di accesso.

aws logs put-delivery-destination --name cloudfront-delivery-destination --delivery-destination-configuration "destinationResourceArn=arn:aws:s3:::amzn-s3-demo-bucket-cloudfront-logs/MyLogPrefix"

Output

{
    "deliveryDestination": {
        "name": "cloudfront-delivery-destination",
        "arn": "arn:aws:logs:us-east-1:222222222222:delivery-destination:cloudfront-delivery-destination",
        "deliveryDestinationType": "S3",
        "deliveryDestinationConfiguration": {"destinationResourceArn": "arn:aws:s3:::amzn-s3-demo-bucket-cloudfront-logs/MyLogPrefix"}
    }
}

Aggiungi la policy di risorse per la destinazione di consegna di log per consentire all’account di origine di creare una consegna di log.

Nella policy seguente, sostituisci 111111111111 con l’ID dell’account di origine e specifica l’ARN della destinazione di consegna dall’output della fase 1.

Salva il file, ad esempio deliverypolicy.json.

Per collegare la policy precedente alla destinazione di consegna, inserisci il comando AWS CLI seguente.

aws logs put-delivery-destination-policy --delivery-destination-name cloudfront-delivery-destination --delivery-destination-policy file://deliverypolicy.json

Aggiungi la seguente istruzione alla policy di bucket Amazon S3 di destinazione, sostituendo l’ARN della risorsa e l’ID dell’account di origine. Questa policy consente al principale del servizio delivery.logs.amazonaws.com di eseguire l’azione s3:PutObject.

{
    "Sid": "AWSLogsDeliveryWrite",
    "Effect": "Allow",
    "Principal": {"Service": "delivery.logs.amazonaws.com"},
    "Action": "s3:PutObject",
    "Resource": "arn:aws:s3:::amzn-s3-demo-bucket-cloudfront-logs/*",
    "Condition": {
        "StringEquals": {
            "s3:x-amz-acl": "bucket-owner-full-control",
            "aws:SourceAccount": "111111111111"
        },
        "ArnLike": {"aws:SourceArn": "arn:aws:logs:us-east-1:111111111111:delivery-source:*"}
    }
}

Se utilizzi AWS KMS per il bucket, aggiungi la seguente istruzione alla policy della chiave KMS per concedere le autorizzazioni al principale del servizio delivery.logs.amazonaws.com.

{
    "Sid": "Allow Logs Delivery to use the key",
    "Effect": "Allow",
    "Principal": {"Service": "delivery.logs.amazonaws.com"},
    "Action": [
        "kms:Encrypt",
        "kms:Decrypt",
        "kms:ReEncrypt*",
        "kms:GenerateDataKey*",
        "kms:DescribeKey"
    ],
    "Resource": "*",
    "Condition": {
        "StringEquals": {"aws:SourceAccount": "111111111111"},
        "ArnLike": {"aws:SourceArn": "arn:aws:logs:us-east-1:111111111111:delivery-source:*"}
    }
}

Crea un’origine di consegna per la registrazione di log standard CloudFront in modo da poter inviare i file di log a CloudWatch Logs.

Puoi immettere il comando AWS CLI seguente, sostituendo il nome e l’ARN della distribuzione.

aws logs put-delivery-source --name s3-cf-delivery --resource-arn arn:aws:cloudfront::111111111111:distribution/E1TR1RHV123ABC --log-type ACCESS_LOGS

Output

{
    "deliverySource": {
        "name": "s3-cf-delivery",
        "arn": "arn:aws:logs:us-east-1:111111111111:delivery-source:s3-cf-delivery",
        "resourceArns": ["arn:aws:cloudfront::111111111111:distribution/E1TR1RHV123ABC"],
        "service": "cloudfront",
        "logType": "ACCESS_LOGS"
    }
}

Crea una consegna per mappare l’origine di consegna dei log dell’account di origine e la destinazione di consegna dei log dell’account di destinazione.

Nel comando AWS CLI seguente, specifica l’ARN della destinazione di consegna dall’output della Fase 1: Configurazione dell’account di destinazione.

aws logs create-delivery --delivery-source-name s3-cf-delivery --delivery-destination-arn arn:aws:logs:us-east-1:222222222222:delivery-destination:cloudfront-delivery-destination

Output

{
    "delivery": {
        "id": "OPmOpLahVzhx1234",
        "arn": "arn:aws:logs:us-east-1:111111111111:delivery:OPmOpLahVzhx1234",
        "deliverySourceName": "s3-cf-delivery",
        "deliveryDestinationArn": "arn:aws:logs:us-east-1:222222222222:delivery-destination:cloudfront-delivery-destination",
        "deliveryDestinationType": "S3",
        "recordFields": [
            "date",
            "time",
            "x-edge-location",
            "sc-bytes",
            "c-ip",
            "cs-method",
            "cs(Host)",
            "cs-uri-stem",
            "sc-status",
            "cs(Referer)",
            "cs(User-Agent)",
            "cs-uri-query",
            "cs(Cookie)",
            "x-edge-result-type",
            "x-edge-request-id",
            "x-host-header",
            "cs-protocol",
            "cs-bytes",
            "time-taken",
            "x-forwarded-for",
            "ssl-protocol",
            "ssl-cipher",
            "x-edge-response-result-type",
            "cs-protocol-version",
            "fle-status",
            "fle-encrypted-fields",
            "c-port",
            "time-to-first-byte",
            "x-edge-detailed-result-type",
            "sc-content-type",
            "sc-content-len",
            "sc-range-start",
            "sc-range-end",
            "c-country",
            "cache-behavior-path-pattern"
        ],
        "fieldDelimiter": "\t"
    }
}

Verifica che la consegna tra account sia andata a buon fine.

1. Dall’account di origine, accedi alla console CloudFront e scegli la distribuzione. Nella scheda Registrazione di log, in Tipo, viene visualizzata una voce creata per la consegna di log tra account S3.

2. Dall’account di destinazione, accedi alla console Amazon S3 e scegli il bucket Amazon S3. Viene visualizzato il prefisso MyLogPrefix nel nome del bucket e gli eventuali log di accesso forniti a tale cartella.

Accedi alla Console CloudFront.

Scegli Distribuzione, quindi scegli l’ID distribuzione.

Scegli Registrazione, quindi in Destinazioni log standard, seleziona la destinazione.

Scegli Gestisci, quindi seleziona Elimina.

Ripeti la fase precedente se disponi di più registrazioni di log standard.