標準ログ記録 (v2) を設定する

CloudFront コンソールを使用して、既存のディストリビューションを更新します。

[Logging] (ログ) タブを選択します。

[追加] を選択し、ログを受信するサービスを選択します。

[送信先] で、サービスのリソースを選択します。リソースをまだ作成していない場合は、[作成] を選択するか、次のドキュメントを参照することができます。

[追加設定 – オプション] で、以下のオプションを指定できます。

1. [フィールド選択] で、送信先に配信するログのフィールド名を選択します。アクセスログフィールドと、リアルタイムログフィールドのサブセットを選択できます。

2. (Amazon S3 のみ) [パーティショニング] で、ログファイルデータをパーティション分割するパスを指定します。

3. (Amazon S3 のみ) [Hive 互換ファイル形式] でチェックボックスをオンにして、Hive 互換 S3 パスを使用できます。これにより、Hive 互換ツールへの新しいデータのロードを簡素化できます。

4. [出力形式] で、希望する形式を指定します。

   注記

   [Parquet] を選択した場合、このオプションではアクセスログを Apache Parquet に変換するための CloudWatch 料金が発生します。詳細については、「CloudWatch 料金表」の「Vended Logs」セクションを参照してください。

5. [フィールド区切り文字] で、ログフィールドを区切る方法を指定します。

ディストリビューションを更新または作成するステップを完了します。

別の送信先を追加するには、ステップ 3～6 を繰り返します。

[ログ] ページで、標準ログのステータスが、ディストリビューションの横で [有効] になっていることを確認します。

(オプション) Cookie ログ記録を有効にするには、[管理]、[設定] を選択し、[cookie ログ記録] をオンにしてから、[変更を保存] を選択します。

ディストリビューションを作成したら、Amazon リソースネーム (ARN) を取得します。

ARN は、CloudFront コンソールの [ディストリビューション] ページで見つけるか、GetDistribution API オペレーションを使用して見つけることができます。ディストリビューション ARN は次の形式に従います: arn:aws:cloudfront::123456789012:distribution/d111111abcdef8

次に、CloudWatch PutDeliverySource API オペレーションを使用して、ディストリビューションの配信ソースを作成します。

1. 配信ソースの名前を入力します。

2. ディストリビューションの resourceArn を渡します。

3. logType で、収集するログのタイプとして ACCESS_LOGS を指定します。

4. 例 AWS CLI put-delivery-source コマンドの例

   次に示すのは、ディストリビューションの配信ソースを設定する例です。

   aws logs put-delivery-source --name S3-delivery --resource-arn arn:aws:cloudfront::123456789012:distribution/d111111abcdef8 --log-type ACCESS_LOGS

   出力

   {
    "deliverySource": {
    "name": "S3-delivery",
    "arn": "arn:aws:logs:us-east-1:123456789012:delivery-source:S3-delivery",
    "resourceArns": [
    "arn:aws:cloudfront::123456789012:distribution/d111111abcdef8"
    ],
    "service": "cloudfront",
    "logType": "ACCESS_LOGS"
    }
   } 

PutDeliveryDestination API オペレーションを使用してログの保存先を設定します。

1. destinationResourceArn で、送信先の ARN を指定します。これは、CloudWatch Logs ロググループ、Firehose 配信ストリーム、Amazon S3 バケットのいずれかにすることができます。

2. outputFormat で、ログの出力形式を指定します。

3. 例 AWS CLI put-delivery-destination コマンドの例

   次に示すのは、Amazon S3 バケットを配信先として設定する例です。

   aws logs put-delivery-destination --name S3-destination --delivery-destination-configuration destinationResourceArn=arn:aws:s3:::amzn-s3-demo-bucket

   出力

   {
       "name": "S3-destination",
       "arn": "arn:aws:logs:us-east-1:123456789012:delivery-destination:S3-destination",
       "deliveryDestinationType": "S3",
       "deliveryDestinationConfiguration": {
           "destinationResourceArn": "arn:aws:s3:::amzn-s3-demo-bucket"
       }
   }

CreateDelivery API オペレーションを使用して、配信ソースを、前のステップで作成した送信先にリンクします。この API オペレーションは、配信ソースを最終配信先と関連付けます。

1. deliverySourceName で、ソース名を指定します。

2. deliveryDestinationArn で、配信先の ARN を指定します。

3. fieldDelimiter で、各ログフィールドを区切る文字列を指定します。

4. recordFields で、必要なログフィールドを指定します。

5. S3 を使用している場合は、enableHiveCompatiblePath と suffixPath を使用するかどうかを指定します。

aws logs create-delivery --delivery-source-name cf-delivery --delivery-destination-arn arn:aws:logs:us-east-1:123456789012:delivery-destination:S3-destination

{
    "id": "abcNegnBoTR123",
    "arn": "arn:aws:logs:us-east-1:123456789012:delivery:abcNegnBoTR123",
    "deliverySourceName": "cf-delivery",
    "deliveryDestinationArn": "arn:aws:logs:us-east-1:123456789012:delivery-destination:S3-destination",
    "deliveryDestinationType": "S3",
    "recordFields": [
        "date",
        "time",
        "x-edge-location",
        "sc-bytes",
        "c-ip",
        "cs-method",
        "cs(Host)",
        "cs-uri-stem",
        "sc-status",
        "cs(Referer)",
        "cs(User-Agent)",
        "cs-uri-query",
        "cs(Cookie)",
        "x-edge-result-type",
        "x-edge-request-id",
        "x-host-header",
        "cs-protocol",
        "cs-bytes",
        "time-taken",
        "x-forwarded-for",
        "ssl-protocol",
        "ssl-cipher",
        "x-edge-response-result-type",
        "cs-protocol-version",
        "fle-status",
        "fle-encrypted-fields",
        "c-port",
        "time-to-first-byte",
        "x-edge-detailed-result-type",
        "sc-content-type",
        "sc-content-len",
        "sc-range-start",
        "sc-range-end",
        "c-country",
        "cache-behavior-path-pattern"
    ],
     "fieldDelimiter": ""
}

CloudFront コンソールの [ログ] ページで、ディストリビューションの横で標準ログのステータスが [有効] になっていることを確認します。

標準ログ記録の配信とログフィールドの詳細については、「標準ログ記録リファレンス」を参照してください。

ログ配信先を作成するには、次の AWS CLI コマンドを入力します。この例では、MyLogPrefix 文字列を使用してアクセスログのプレフィックスを作成します。

aws logs put-delivery-destination --name cloudfront-delivery-destination --delivery-destination-configuration "destinationResourceArn=arn:aws:s3:::amzn-s3-demo-bucket-cloudfront-logs/MyLogPrefix"

出力

{
    "deliveryDestination": {
        "name": "cloudfront-delivery-destination",
        "arn": "arn:aws:logs:us-east-1:222222222222:delivery-destination:cloudfront-delivery-destination",
        "deliveryDestinationType": "S3",
        "deliveryDestinationConfiguration": {"destinationResourceArn": "arn:aws:s3:::amzn-s3-demo-bucket-cloudfront-logs/MyLogPrefix"}
    }
}

ログ配信先のリソースポリシーを追加して、送信元アカウントでログ配信を作成できるようにします。

次のポリシーでは、111111111111 を送信元アカウント ID に置き換え、ステップ 1 の出力から配信先 ARN を指定します。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowCreateDelivery",
            "Effect": "Allow",
            "Principal": {"AWS": "111111111111"},
            "Action": ["logs:CreateDelivery"],
            "Resource": "arn:aws:logs:us-east-1:222222222222:delivery-destination:cloudfront-delivery-destination"
        }
    ]
}

ファイル (deliverypolicy.json など) を保存します。

前のポリシーを配信先にアタッチするには、次の AWS CLI コマンドを入力します。

aws logs put-delivery-destination-policy --delivery-destination-name cloudfront-delivery-destination --delivery-destination-policy file://deliverypolicy.json

次のステートメントを送信先の Amazon S3 バケットポリシーに追加し、リソース ARN と送信元アカウント ID を置き換えます。このポリシーは、delivery.logs.amazonaws.com サービスプリンシパルに s3:PutObject アクションの実行を許可します。

{
    "Sid": "AWSLogsDeliveryWrite",
    "Effect": "Allow",
    "Principal": {"Service": "delivery.logs.amazonaws.com"},
    "Action": "s3:PutObject",
    "Resource": "arn:aws:s3:::amzn-s3-demo-bucket-cloudfront-logs/*",
    "Condition": {
        "StringEquals": {
            "s3:x-amz-acl": "bucket-owner-full-control",
            "aws:SourceAccount": "111111111111"
        },
        "ArnLike": {"aws:SourceArn": "arn:aws:logs:us-east-1:111111111111:delivery-source:*"}
    }
}

バケットに AWS KMS を使用している場合は、次のステートメントを KMS キーポリシーに追加して、delivery.logs.amazonaws.com サービスプリンシパルにアクセス許可を付与します。

{
    "Sid": "Allow Logs Delivery to use the key",
    "Effect": "Allow",
    "Principal": {"Service": "delivery.logs.amazonaws.com"},
    "Action": [
        "kms:Encrypt",
        "kms:Decrypt",
        "kms:ReEncrypt*",
        "kms:GenerateDataKey*",
        "kms:DescribeKey"
    ],
    "Resource": "*",
    "Condition": {
        "StringEquals": {"aws:SourceAccount": "111111111111"},
        "ArnLike": {"aws:SourceArn": "arn:aws:logs:us-east-1:111111111111:delivery-source:*"}
    }
}

CloudFront 標準ログ記録の配信ソースを作成し、ログファイルを CloudWatch Logs に送信できるようにします。

次の AWS CLI コマンドを入力できます。名前とディストリビューション ARN は置き換えます。

aws logs put-delivery-source --name s3-cf-delivery --resource-arn arn:aws:cloudfront::111111111111:distribution/E1TR1RHV123ABC --log-type ACCESS_LOGS

出力

{
    "deliverySource": {
        "name": "s3-cf-delivery",
        "arn": "arn:aws:logs:us-east-1:111111111111:delivery-source:s3-cf-delivery",
        "resourceArns": ["arn:aws:cloudfront::111111111111:distribution/E1TR1RHV123ABC"],
        "service": "cloudfront",
        "logType": "ACCESS_LOGS"
    }
}

送信元アカウントのログ配信元と送信先アカウントのログ配信先をマッピングする配信を作成します。

次の AWS CLI コマンドで、「ステップ 1: 送信先アカウントを設定する」の出力から配信先 ARN を指定します。

aws logs create-delivery --delivery-source-name s3-cf-delivery --delivery-destination-arn arn:aws:logs:us-east-1:222222222222:delivery-destination:cloudfront-delivery-destination

出力

{
    "delivery": {
        "id": "OPmOpLahVzhx1234",
        "arn": "arn:aws:logs:us-east-1:111111111111:delivery:OPmOpLahVzhx1234",
        "deliverySourceName": "s3-cf-delivery",
        "deliveryDestinationArn": "arn:aws:logs:us-east-1:222222222222:delivery-destination:cloudfront-delivery-destination",
        "deliveryDestinationType": "S3",
        "recordFields": [
            "date",
            "time",
            "x-edge-location",
            "sc-bytes",
            "c-ip",
            "cs-method",
            "cs(Host)",
            "cs-uri-stem",
            "sc-status",
            "cs(Referer)",
            "cs(User-Agent)",
            "cs-uri-query",
            "cs(Cookie)",
            "x-edge-result-type",
            "x-edge-request-id",
            "x-host-header",
            "cs-protocol",
            "cs-bytes",
            "time-taken",
            "x-forwarded-for",
            "ssl-protocol",
            "ssl-cipher",
            "x-edge-response-result-type",
            "cs-protocol-version",
            "fle-status",
            "fle-encrypted-fields",
            "c-port",
            "time-to-first-byte",
            "x-edge-detailed-result-type",
            "sc-content-type",
            "sc-content-len",
            "sc-range-start",
            "sc-range-end",
            "c-country",
            "cache-behavior-path-pattern"
        ],
        "fieldDelimiter": "\t"
    }
}

クロスアカウント配信が成功したことを確認します。

1. source アカウントから、CloudFront コンソールにサインインし、ディストリビューションを選択します。[ログ記録] タブの [タイプ] に、S3 クロスアカウントログ配信用に作成されたエントリが表示されます。

2. destination アカウントから、Amazon S3 コンソールにサインインし、Amazon S3 バケットを選択します。バケット名にプレフィックス MyLogPrefix と、そのフォルダに配信されたアクセスログが表示されます。

CloudFront コンソールにサインインします。

[ディストリビューション] を選択し、ディストリビューション ID を選択します。

[ログ記録] を選択し、[標準ログ送信先] で送信先を選択します。

[管理]、[削除] の順に選択します。

複数の標準ログ記録がある場合は、前のステップを繰り返します。