Lambda 関数ログを Amazon S3 に送信する

Lambda で CloudWatch Logs を使用するのに必要な IAM アクセス許可。

Amazon S3 への Lambda 関数ログの送信向けに CloudWatch Logs のサブスクリプションフィルターをセットアップする の実行。このフィルターは、どのログイベントを Amazon S3 バケットに配信するかを定義します。

Amazon Simple Storage Service (Amazon S3) バケットを作成します。CloudWatch Logs 専用に作成したバケットを使用することをお勧めします。ただし、既存のバケットを使用する場合は、ステップ 2 に進みます。

次のコマンドを実行します。プレースホルダーリージョンは、使用するリージョンに置き換えます。

aws s3api create-bucket --bucket amzn-s3-demo-bucket2 --create-bucket-configuration LocationConstraint=region

出力例を次に示します。

{
    "Location": "/amzn-s3-demo-bucket2"
}

Amazon S3 バケットにデータを置くため、CloudWatch Logs アクセス許可を付与する IAM ロールを作成します。このポリシーには、「混乱した代理」のセキュリティ問題を防止するための aws:SourceArn グローバル条件コンテキストキーが含まれています。詳細については、「Confused deputy prevention」を参照してください。

権限ポリシーを作成し、CloudWatch Logs がアカウントで実行できるアクションを定義します。まず、テキストエディタを使用してファイル ~/PermissionsForCWL.json で権限ポリシーを作成します。

{
  "Statement": [
    {
      "Effect": "Allow",
      "Action": ["s3:PutObject"],
      "Resource": ["arn:aws:s3:::amzn-s3-demo-bucket2/*"]
    }
  ]
}

次の put-role-policy コマンドを入力して、アクセス許可ポリシーをロールに関連付けます。

aws iam put-role-policy --role-name CWLtoS3Role --policy-name Permissions-Policy-For-S3 --policy-document file://~/PermissionsForCWL.json

Delivery ロググループを作成するか、もしくは既存の Delivery ロググループを使用します。

aws logs create-log-group --log-group-name my-logs --log-group-class DELIVERY --region REGION_NAME

PutSubscriptionFilter で送信先をセットアップする

aws logs put-subscription-filter
--log-group-name my-logs
--filter-name my-lambda-delivery
--filter-pattern ""
--destination-arn arn:aws:s3:::amzn-s3-demo-bucket2
--role-arn arn:aws:iam::123456789012:role/CWLtoS3Role
--region REGION_NAME

AWS マネジメントコンソールにサインインし、Lambda コンソールを開きます。

関数の名前を選択します。

[設定] タブを選択します。

モニタリングツールとオペレーションツールタブを選択します。

「ログ設定」セクションで [編集] を選択します。

「ログコンテンツ」セクションでログ形式を選択します。

「ログ送信先」セクションで、次の手順を実行してください。

[保存] を選択します。