Habilitar os logs de acesso do seu Classic Load Balancer

Para habilitar os logs de acesso do seu balanceador de carga, você deve especificar o nome do bucket do amazon S3 em que o balanceador de carga armazenará os logs. Você também deve anexar uma política de bucket a esse bucket que conceda ao ELB permissão para gravar no bucket.

Etapa 1: Crie um bucket do S3

Ao habilitar os logs de acesso, você deverá especificar um bucket do S3 para os logs de acesso. O bucket deve atender aos seguintes requisitos:

Etapa 2: Anexe uma política ao seu bucket do S3

Seu bucket do S3 deve ter uma política de bucket que conceda permissão ao ELB para gravar os registros de acesso no bucket. As políticas de bucket são um conjunto de instruções JSON gravadas na linguagem de políticas de acesso para definir permissões de acesso para o seu bucket. Cada instrução inclui informações sobre uma única permissão e contém uma série de elementos.

Se você estiver usando um bucket existente que já tenha uma política anexada, você pode adicionar a declaração dos registros de acesso do ELB à política. Se você fizer isso, recomendamos que avalie o conjunto resultante de permissões para garantir que eles são apropriadas para os usuários que precisam de acesso ao bucket para logs de acesso.

arn:aws:s3:::amzn-s3-demo-logging-bucket/logging-prefix/AWSLogs/123456789012/*

arn:aws-us-gov:s3:::amzn-s3-demo-logging-bucket/logging-prefix/AWSLogs/123456789012/*

arn:aws:s3:::amzn-s3-demo-logging-bucket/AWSLogs/123456789012/*

arn:aws-us-gov:s3:::amzn-s3-demo-logging-bucket/AWSLogs/123456789012/*

Depois de criar sua política de bucket, use uma interface do Amazon S3, como o console AWS CLI ou os comandos do Amazon S3, para anexar sua política de bucket ao bucket do S3.

Para anexar sua política de bucket ao seu bucket S3 usando o AWS CLI

Use o comando put-bucket-policy. Neste exemplo, a política de bucket foi salva no arquivo .json especificado.

aws s3api put-bucket-policy \
    --bucket amzn-s3-demo-bucket \
    --policy file://access-log-policy.json

Etapa 3: Configurar logs de acesso

Siga o procedimento a seguir para configurar logs de acesso a fim de capturar informações de solicitação e entregar arquivos de log ao bucket do S3.

Requisitos

O bucket deverá atender aos requisitos descritos na etapa 1 e você deverá anexar uma política de bucket, conforme descrito na etapa 2. Se você especificar um prefixo, ele não deverá incluir a string "AWSLogs”.

Para configurar os registros de acesso para seu balanceador de carga usando o AWS CLI

Primeiro, crie um arquivo.json que permita ao ELB capturar e entregar registros a cada 60 minutos para o bucket do S3 que você criou para os registros:

{ 
  "AccessLog": {
    "Enabled": true,
    "S3BucketName": "amzn-s3-demo-logging-bucket",
    "EmitInterval": 60,
    "S3BucketPrefix": "my-app"
  }
}

Em seguida, especifique o arquivo.json no modify-load-balancer-attributescomando da seguinte forma:

aws elb modify-load-balancer-attributes --load-balancer-name my-loadbalancer --load-balancer-attributes file://my-json-file.json

O seguinte é um exemplo de resposta.

{
    "LoadBalancerAttributes": {
        "AccessLog": {
            "Enabled": true,
            "EmitInterval": 60,
            "S3BucketName": "amzn-s3-demo-logging-bucket",
            "S3BucketPrefix": "my-app"
        }
    },
    "LoadBalancerName": "my-loadbalancer"
}

Gerenciar o bucket do S3 para os logs de acesso

Certifique-se de desabilitar os registros de acesso antes de excluir o bucket que você configurou para os logs de acesso. Caso contrário, se houver um novo bucket com o mesmo nome e a política de bucket necessária criada em um Conta da AWS que você não possua, o ELB poderá gravar os registros de acesso do seu balanceador de carga nesse novo bucket.

Etapa 4: Verificar permissões do bucket

Depois que os registros de acesso são habilitados para seu balanceador de carga, o ELB valida o bucket do S3 e cria um arquivo de teste para garantir que a política do bucket especifique as permissões necessárias. Você pode usar o console do S3 para verificar se o arquivo de teste foi criado. O arquivo de teste não é um arquivo de log de acesso real; ele não contêm registros de exemplo.

Solução de problemas