Amazon S3로 Lambda 함수 로그 전송

Lambda에서 CloudWatch Logs를 사용하는 데 필요한 IAM 권한

Amazon S3로 Lambda 함수 로그를 전송하도록 CloudWatch Logs 구독 필터 설정을 수행합니다. 이 필터는 Amazon S3 버킷으로 전송되는 로그 이벤트를 정의합니다.

Amazon Simple Storage Service(Amazon S3) 버킷을 생성합니다. CloudWatch Logs를 위해 특별히 생성한 버킷을 사용하는 것이 좋습니다. 그러나 기존 버킷을 사용하고 싶으면 2단계로 건너뛸 수 있습니다.

다음 명령을 실행하여 자리 표시자 리전을 사용하고자 하는 리전으로 바꿉니다.

aws s3api create-bucket --bucket amzn-s3-demo-bucket2 --create-bucket-configuration LocationConstraint=region

다음은 예 출력입니다.

{
    "Location": "/amzn-s3-demo-bucket2"
}

Amazon S3 버킷에 데이터를 입력하는 데 필요한 권한을 CloudWatch Logs에 부여하는 IAM 역할을 생성합니다. 이 정책에는 혼동된 대리자 보안 문제를 방지하는 데 도움이 되는 aws:SourceArn 글로벌 조건 컨텍스트 키가 포함되어 있습니다. 자세한 내용은 혼동된 대리자 방지를 참조하세요.

CloudWatch Logs가 계정에서 수행할 수 있는 작업을 정의하는 권한 정책을 생성합니다. 먼저 텍스트 편집기를 사용하여 권한 정책을 ~/PermissionsForCWL.json 파일로 생성합니다.

{
  "Statement": [
    {
      "Effect": "Allow",
      "Action": ["s3:PutObject"],
      "Resource": ["arn:aws:s3:::amzn-s3-demo-bucket2/*"]
    }
  ]
}

다음 put-role-policy 명령을 사용하여 권한 정책을 역할에 연결합니다.

aws iam put-role-policy --role-name CWLtoS3Role --policy-name Permissions-Policy-For-S3 --policy-document file://~/PermissionsForCWL.json

Delivery 로그 그룹을 생성하거나 기존 Delivery 로그 그룹을 사용합니다.

aws logs create-log-group --log-group-name my-logs --log-group-class DELIVERY --region REGION_NAME

PutSubscriptionFilter를 사용하여 대상을 설정합니다.

aws logs put-subscription-filter
--log-group-name my-logs
--filter-name my-lambda-delivery
--filter-pattern ""
--destination-arn arn:aws:s3:::amzn-s3-demo-bucket2
--role-arn arn:aws:iam::123456789012:role/CWLtoS3Role
--region REGION_NAME

AWS Management Console에 로그인하고 Lambda 콘솔을 엽니다.

함수 이름을 선택합니다.

구성 탭을 선택합니다.

모니터링 및 운영 도구 탭을 선택합니다.

‘로깅 구성’ 섹션에서 편집을 선택합니다.

‘로그 콘텐츠’ 섹션에서 로그 형식을 선택합니다.

‘로그 대상’ 섹션에서 다음 단계를 완료합니다.

저장을 선택합니다.