표준 로깅(v2) 구성

CloudFront 콘솔을 사용하여 기존 배포를 업데이트합니다.

Logging(로깅) 탭을 선택합니다.

추가를 선택한 다음 로그를 수신할 서비스를 선택합니다.

대상에서 서비스의 리소스를 선택합니다. 리소스를 아직 만들지 않은 경우 생성을 선택하거나 다음 설명서를 통해 확인할 수 있습니다.

추가 설정 - 선택 사항에서 다음 옵션을 지정할 수 있습니다.

1. 필드 선택에서 대상으로 전송할 로그 필드 이름을 선택합니다. 액세스 로그 필드 및 실시간 로그 필드의 하위 집합을 선택할 수 있습니다.

2. (Amazon S3만 해당) 파티셔닝에서 로그 파일 데이터를 파티셔닝할 경로를 지정합니다.

3. (Amazon S3만 해당) Hive 호환 파일 형식에서 확인란을 선택하여 Hive 호환 S3 경로를 사용할 수 있습니다. 이렇게 하면 Hive 호환 도구에 새 데이터를 쉽게 로드할 수 있습니다.

4. 출력 형식에서 원하는 형식을 지정합니다.

   참고

   Parquet를 선택하면 액세스 로그를 Apache Parquet로 변환하는 데 CloudWatch 요금이 발생합니다. 자세한 내용은 Vended Logs section for CloudWatch pricing을 참조하시기 바랍니다.

5. 필드 구분 기호에서 로그 필드를 구분하는 방법을 지정합니다.

배포를 업데이트하거나 만드는 단계를 완료합니다.

다른 대상을 추가하려면 3~6단계를 반복합니다.

로그 페이지에서 배포 옆의 표준 로그 상태가 활성화됨인지 확인합니다.

(선택 사항) 쿠키 로깅을 사용 설정하려면 관리, 설정을 선택하고 쿠키 로깅을 켠 다음 변경 사항 저장을 선택합니다.

배포를 만든 후 Amazon 리소스 이름(ARN)을 가져옵니다.

CloudFront 콘솔의 배포 페이지에서 ARN을 찾거나 GetDistribution API 작업을 사용할 수 있습니다. 배포 ARN은 arn:aws:cloudfront::123456789012:distribution/d111111abcdef8 형식을 따릅니다.

다음으로 CloudWatch PutDeliverySource API 작업을 사용하여 배포에 대한 전송 소스를 만듭니다.

1. 전송 소스 이름을 입력합니다.

2. 배포의 resourceArn을 전달합니다.

3. logType에서 수집되는 로그 유형으로 ACCESS_LOGS를 지정합니다.

4. 예: AWS CLI put-delivery-source 명령

   다음은 배포에 대한 전송 소스를 구성하는 예제입니다.

   aws logs put-delivery-source --name S3-delivery --resource-arn arn:aws:cloudfront::123456789012:distribution/d111111abcdef8 --log-type ACCESS_LOGS

   출력

   {
    "deliverySource": {
    "name": "S3-delivery",
    "arn": "arn:aws:logs:us-east-1:123456789012:delivery-source:S3-delivery",
    "resourceArns": [
    "arn:aws:cloudfront::123456789012:distribution/d111111abcdef8"
    ],
    "service": "cloudfront",
    "logType": "ACCESS_LOGS"
    }
   } 

PutDeliveryDestination API 작업을 사용하여 로그를 저장할 위치를 구성합니다.

1. destinationResourceArn에서 대상의 ARN을 지정합니다. CloudWatch Logs 로그 그룹, Firehose 전송 스트림, Amazon S3 버킷이 될 수 있습니다.

2. outputFormat에서 로그의 출력 형식을 지정합니다.

3. 예: AWS CLI put-delivery-destination 명령

   다음은 Amazon S3 버킷에 대한 전송 대상을 구성하는 예제입니다.

   aws logs put-delivery-destination --name S3-destination --delivery-destination-configuration destinationResourceArn=arn:aws:s3:::amzn-s3-demo-bucket

   출력

   {
       "name": "S3-destination",
       "arn": "arn:aws:logs:us-east-1:123456789012:delivery-destination:S3-destination",
       "deliveryDestinationType": "S3",
       "deliveryDestinationConfiguration": {
           "destinationResourceArn": "arn:aws:s3:::amzn-s3-demo-bucket"
       }
   }

CreateDelivery API 작업을 사용하여 이전 단계에서 만든 대상에 전송 소스를 연결합니다. 이 API 작업은 전송 소스를 최종 대상과 연결합니다.

1. deliverySourceName에서 소스의 이름을 지정합니다.

2. deliveryDestinationArn에서 전송 대상의 ARN을 지정합니다.

3. fieldDelimiter에서 각 로그 필드를 구분할 문자열을 지정합니다.

4. recordFields에서 원하는 로그 필드를 지정합니다.

5. S3를 사용하는 경우 enableHiveCompatiblePath 및 suffixPath를 사용할지 여부를 지정합니다.

aws logs create-delivery --delivery-source-name cf-delivery --delivery-destination-arn arn:aws:logs:us-east-1:123456789012:delivery-destination:S3-destination

{
    "id": "abcNegnBoTR123",
    "arn": "arn:aws:logs:us-east-1:123456789012:delivery:abcNegnBoTR123",
    "deliverySourceName": "cf-delivery",
    "deliveryDestinationArn": "arn:aws:logs:us-east-1:123456789012:delivery-destination:S3-destination",
    "deliveryDestinationType": "S3",
    "recordFields": [
        "date",
        "time",
        "x-edge-location",
        "sc-bytes",
        "c-ip",
        "cs-method",
        "cs(Host)",
        "cs-uri-stem",
        "sc-status",
        "cs(Referer)",
        "cs(User-Agent)",
        "cs-uri-query",
        "cs(Cookie)",
        "x-edge-result-type",
        "x-edge-request-id",
        "x-host-header",
        "cs-protocol",
        "cs-bytes",
        "time-taken",
        "x-forwarded-for",
        "ssl-protocol",
        "ssl-cipher",
        "x-edge-response-result-type",
        "cs-protocol-version",
        "fle-status",
        "fle-encrypted-fields",
        "c-port",
        "time-to-first-byte",
        "x-edge-detailed-result-type",
        "sc-content-type",
        "sc-content-len",
        "sc-range-start",
        "sc-range-end",
        "c-country",
        "cache-behavior-path-pattern"
    ],
     "fieldDelimiter": ""
}

CloudFront 콘솔의 로그 페이지에서 배포 옆의 표준 로그 상태가 활성화됨인지 확인합니다.

표준 로깅 전송 및 로그 필드에 대한 자세한 내용은 표준 로깅 참조 섹션을 참조하시기 바랍니다.

로그 전송 대상을 만들려면 다음 AWS CLI 명령을 입력합니다. 이 예제에서는 MyLogPrefix 문자열을 사용하여 액세스 로그의 접두사를 만듭니다.

aws logs put-delivery-destination --name cloudfront-delivery-destination --delivery-destination-configuration "destinationResourceArn=arn:aws:s3:::amzn-s3-demo-bucket-cloudfront-logs/MyLogPrefix"

출력

{
    "deliveryDestination": {
        "name": "cloudfront-delivery-destination",
        "arn": "arn:aws:logs:us-east-1:222222222222:delivery-destination:cloudfront-delivery-destination",
        "deliveryDestinationType": "S3",
        "deliveryDestinationConfiguration": {"destinationResourceArn": "arn:aws:s3:::amzn-s3-demo-bucket-cloudfront-logs/MyLogPrefix"}
    }
}

소스 계정이 로그 전송을 만들 수 있도록 로그 전송 대상에 대한 리소스 정책을 추가합니다.

다음 정책에서 111111111111을 소스 계정 ID로 교체하고 1단계의 출력에서 전송 대상 ARN을 지정합니다.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowCreateDelivery",
            "Effect": "Allow",
            "Principal": {"AWS": "111111111111"},
            "Action": ["logs:CreateDelivery"],
            "Resource": "arn:aws:logs:us-east-1:222222222222:delivery-destination:cloudfront-delivery-destination"
        }
    ]
}

deliverypolicy.json과 같은 파일을 저장합니다.

이전 정책을 전송 대상에 연결하려면 다음 AWS CLI 명령을 입력합니다.

aws logs put-delivery-destination-policy --delivery-destination-name cloudfront-delivery-destination --delivery-destination-policy file://deliverypolicy.json

아래 스테이트먼트를 대상 Amazon S3 버킷 정책에 추가하여 리소스 ARN과 소스 계정 ID를 교체합니다. 이 정책을 사용하면 delivery.logs.amazonaws.com 서비스 위탁자가 s3:PutObject 작업을 수행할 수 있습니다.

{
    "Sid": "AWSLogsDeliveryWrite",
    "Effect": "Allow",
    "Principal": {"Service": "delivery.logs.amazonaws.com"},
    "Action": "s3:PutObject",
    "Resource": "arn:aws:s3:::amzn-s3-demo-bucket-cloudfront-logs/*",
    "Condition": {
        "StringEquals": {
            "s3:x-amz-acl": "bucket-owner-full-control",
            "aws:SourceAccount": "111111111111"
        },
        "ArnLike": {"aws:SourceArn": "arn:aws:logs:us-east-1:111111111111:delivery-source:*"}
    }
}

버킷에 AWS KMS를 사용하는 경우 KMS 키 정책에 다음 스테이트먼트를 추가하여 delivery.logs.amazonaws.com 서비스 위탁자에 대한 권한을 부여합니다.

{
    "Sid": "Allow Logs Delivery to use the key",
    "Effect": "Allow",
    "Principal": {"Service": "delivery.logs.amazonaws.com"},
    "Action": [
        "kms:Encrypt",
        "kms:Decrypt",
        "kms:ReEncrypt*",
        "kms:GenerateDataKey*",
        "kms:DescribeKey"
    ],
    "Resource": "*",
    "Condition": {
        "StringEquals": {"aws:SourceAccount": "111111111111"},
        "ArnLike": {"aws:SourceArn": "arn:aws:logs:us-east-1:111111111111:delivery-source:*"}
    }
}

CloudFront 표준 로깅을 위한 전송 소스를 만들어 CloudWatch Logs로 로그 파일을 보낼 수 있습니다.

다음 AWS CLI 명령을 입력하여 이름과 배포 ARN을 교체할 수 있습니다.

aws logs put-delivery-source --name s3-cf-delivery --resource-arn arn:aws:cloudfront::111111111111:distribution/E1TR1RHV123ABC --log-type ACCESS_LOGS

출력

{
    "deliverySource": {
        "name": "s3-cf-delivery",
        "arn": "arn:aws:logs:us-east-1:111111111111:delivery-source:s3-cf-delivery",
        "resourceArns": ["arn:aws:cloudfront::111111111111:distribution/E1TR1RHV123ABC"],
        "service": "cloudfront",
        "logType": "ACCESS_LOGS"
    }
}

소스 계정의 로그 전송 소스와 대상 계정의 로그 전송 대상을 매핑하는 전송을 만듭니다.

다음 AWS CLI 명령에서 1단계: 대상 계정 구성의 출력에서 전송 대상 ARN을 지정합니다.

aws logs create-delivery --delivery-source-name s3-cf-delivery --delivery-destination-arn arn:aws:logs:us-east-1:222222222222:delivery-destination:cloudfront-delivery-destination

출력

{
    "delivery": {
        "id": "OPmOpLahVzhx1234",
        "arn": "arn:aws:logs:us-east-1:111111111111:delivery:OPmOpLahVzhx1234",
        "deliverySourceName": "s3-cf-delivery",
        "deliveryDestinationArn": "arn:aws:logs:us-east-1:222222222222:delivery-destination:cloudfront-delivery-destination",
        "deliveryDestinationType": "S3",
        "recordFields": [
            "date",
            "time",
            "x-edge-location",
            "sc-bytes",
            "c-ip",
            "cs-method",
            "cs(Host)",
            "cs-uri-stem",
            "sc-status",
            "cs(Referer)",
            "cs(User-Agent)",
            "cs-uri-query",
            "cs(Cookie)",
            "x-edge-result-type",
            "x-edge-request-id",
            "x-host-header",
            "cs-protocol",
            "cs-bytes",
            "time-taken",
            "x-forwarded-for",
            "ssl-protocol",
            "ssl-cipher",
            "x-edge-response-result-type",
            "cs-protocol-version",
            "fle-status",
            "fle-encrypted-fields",
            "c-port",
            "time-to-first-byte",
            "x-edge-detailed-result-type",
            "sc-content-type",
            "sc-content-len",
            "sc-range-start",
            "sc-range-end",
            "c-country",
            "cache-behavior-path-pattern"
        ],
        "fieldDelimiter": "\t"
    }
}

크로스 계정 전송이 성공했는지 확인합니다.

1. 소스 계정에서 CloudFront 콘솔에 로그인하고 배포를 선택합니다. 로깅 탭의 유형에서 S3 크로스 계정 로그 전송을 위해 만든 항목을 볼 수 있습니다.

2. 대상 계정에서 Amazon S3 콘솔에 로그인하고 Amazon S3 버킷을 선택합니다. 버킷 이름에 MyLogPrefix 접두사와 해당 폴더에 전달된 액세스 로그가 표시됩니다.

CloudFront 콘솔에 로그인합니다.

배포를 선택한 다음 배포 ID를 선택합니다.

로깅을 선택한 다음 표준 로그 대상에서 대상을 선택합니다.

관리를 선택한 다음 삭제를 선택합니다.

표준 로깅이 2개 이상인 경우 이전 단계를 반복합니다.