As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.

Registo em log do Mail Manager

O registro em log do Mail Manager fornece visibilidade detalhada das operações do Mail Manager. A funcionalidade de registro em log rastreia o fluxo de mensagens desde o recebimento inicial nos endpoints de entrada até o processamento de mensagens com base nas regras e nos conjuntos de regras configurados.

O Mail Manager oferece registro em log para os seguintes recursos:

O Mail Manager entrega registros usando o serviço Amazon CloudWatch Logs e os registros podem ser enviados para qualquer um dos seguintes destinos: CloudWatch Logs, Amazon S3 ou Amazon Data Firehose.

Configurar a entrega de logs do Mail Manager

A entrega de um log de trabalho consiste em três elementos:

Esta seção explicará como criar esses objetos com as permissões necessárias para usar o registro em log do Mail Manager.

Pré-requisitos

Antes de configurar o registro em log do Mail Manager, garanta que:

Permissões obrigatórias

Você precisará configurar as permissões de registros vendidos, conforme explicado na seção Registro, que requer permissões adicionais [V2] do Guia do usuário do Amazon CloudWatch Logs, e aplicar as permissões que correspondem ao seu destino de entrega:

Além disso, o Mail Manager exige as seguintes permissões de usuário para configurar a entrega de logs:

JSON

{
    "Version":"2012-10-17",		 	 	 
    "Statement": [
        {
            "Sid": "AllowSesMailManagerLogDelivery",
            "Effect": "Allow",
            "Action": [
                "ses:AllowVendedLogDeliveryForResource"
            ],
            "Resource": [
            "arn:aws:ses:us-east-1:111122223333:mailmanager-ingress-point/inp-xxxxx",
            "arn:aws:ses:us-east-1:111122223333:mailmanager-rule-set/rs-xxxx"
            ]
        }
    ]
}

Habilitar o registro em log no console do SES

Para habilitar o registro em log de recursos do Mail Manager usando o console:

Ativando o registro usando a API CloudWatch Logs

Para ativar o registro de recursos do Mail Manager usando a API CloudWatch Logs, você precisará:

Você pode ver exemplos de políticas de funções e permissões do IAM com todas as permissões necessárias para seu destino de registro específico na seção Registro que exige permissões adicionais [V2] do Guia do usuário do Amazon CloudWatch Logs e seguir os exemplos de políticas de funções e permissões do IAM para seu destino de registro, incluindo a permissão de atualizações para seu recurso de destino de registro específico, como CloudWatch Logs, S3 ou Firehose.

Interpretar os logs

Os logs podem ser usados para obter informações adicionais sobre o fluxo das mensagens recebidas à medida que elas são processadas pelo Mail Manager.

Os exemplos a seguir detalham os diferentes campos dos logs para cada tipo de log e recurso:

Logs de endpoint de entrada: APPLICATION_LOGS

Os logs são gerados por mensagem.

{
  "resource_arn": "arn:aws:ses:us-east-1:1234567890:mailmanager-ingress-point/inp-xxxxx",
  "event_timestamp": 1728562395042,
  "ingress_point_type": "OPEN" | "AUTH",
  "ingress_point_name": "MyIngressPoint",
  "message_id": "0000llcki1jmushh817gr586f963a5inhkvnh81",
  "message_size_bytes": 100000,
  "rule_set_id": "rs-xxxx",
  "sender_ip_address": "1.2.3.4",
  "smtp_mail_from": "someone@domain.com",
  "smtp_helo": "domain.com",
  "tls_protocol": "TLSv1.2",
  "tls_cipher_suite": "TLS_AES_256_GCM_SHA384",
  "recipients": ["me@mydomain.com", "you@mydomain.com", "they@mydomain.com"],
  "ingress_point_metadata": { // only applies to AUTH Ingress Endpoint
       "password_version": "",
       "secrets_manager_arn": ""
  }
}

Exemplo de consultas CloudWatch do Logs Insights

Mensagens de consulta de sender@domain.com:

fields @timestamp, @message, @logStream, @log
| filter smtp_mail_from like /sender@domain.com/
| sort @timestamp desc
| limit 10000

Mensagens de consulta com mais de 5.000 bytes:

fields @timestamp, @message, @logStream, @log
| filter message_size_bytes > 5000
| sort @timestamp desc
| limit 10000

Logs de endpoint de entrada: TRAFFIC_POLICY_DEBUG_LOGS

Os logs são gerados por destinatário.

{
    "resource_arn": "arn:aws:ses:us-east-1:1234567890:mailmanager-ingress-point/inp-xxxxx",
    "event_timestamp": 1728562395042,
    "ingress_point_type": "OPEN" | "AUTH",
    "ingress_point_id": "inp-xxxx",
    "ingress_point_session_id": "xxxx",
    "traffic_policy_id": "tp-xxxx",
    "traffic_policy_evaluation": [
           // Array of policy evaluations
           {
                "action": "ALLOW" | "DENY",
                "conditions": [
                // Array of conditions
                {
                    "expression": {
                        "attribute": "RECIPIENT",
                        "operator": "CONTAINS",
                        "value": ["@domain.com", "@mydomain.com"]
                    },
                    "expressionResult": true | false
                }],
                "policyStatementMatched": true | false
            },
            // If no policy statement match then default action will be applied
            {
                "action": "ALLOW" | "DENY",
                "policyStatementMatched": true,
                "type": "DefaultAction",
                "scope": "Recipient"
            },
            // Only present if the email was too large according to the traffic policy
            {
                "action": "DENY",
                "allowedMessageSize": 41943040,
                "receivedMessageSize": 42495384,
                "scope": "Data"
            }
    ],
    "traffic_policy_verdict": "REJECT" | "ACCEPT",
    "sender_ip_address": "1.2.3.4",
    "smtp_mail_from": "someone@domain.com",
    "smtp_helo": "domain.com",
    "tls_protocol": "TLSv1.2",
    "recipient": "me@mydomain.com",
    "tls_cipher_suite": "TLS_AES_256_GCM_SHA384"
}

Exemplo de consultas CloudWatch do Logs Insights

Mensagens de consulta de sender@domain.com:

fields @timestamp, @message, @logStream, @log
| filter smtp_mail_from like /sender@domain.com/
| sort @timestamp desc
| limit 10000

Mensagens de consulta pertencentes a um ingress_point_session_id específico:

fields @timestamp, @message, @logStream, @log
| filter ingress_point_session_id = 'xxx'
| sort @timestamp desc
| limit 10000

Mensagens de consulta que foram rejeitadas:

fields @timestamp, @message, @logStream, @log
| filter traffic_policy_verdict = 'REJECT'
| sort @timestamp desc
| limit 10000

Logs de conjunto de regras: APPLICATION_LOGS

Os logs são gerados por mensagem e por ação. Isso significa que um registro de logs é gerado sempre que uma mensagem é processada por uma ação em uma regra do conjunto de regras:

{
   "resource_arn": "arn:aws:ses:us-east-1:1234567890:mailmanager-rule-set/rs-xxxx",
   "event_timestamp": 1732298258254,
   "message_id": "0000llcki1jmushh817gr586f963a5inhkvnh81",
   "rule_set_name": "MyRuleSet",
   "rule_name": "MyRule",
   "rule_index": 1,
   "recipients_matched": ["recipient1@domain.com", "recipient2@domain.com"],
   "action_metadata": {
       "action_name": "WRITE_TO_S3" | "DROP" | "RELAY" | "DELIVER_TO_MAILBOX" | etc.,
       "action_index": 2,
       "action_status": "SUCCESS" | "FAILURE" | "IN_PROGRESS",
       "action_failure": "Access denied"
   }
}

Além disso, se as condições da regra não corresponderem a uma mensagem, ou seja, a mensagem não for processada pela regra, um único log será publicado para indicar que a mensagem foi processada pelo conjunto de regras, mas não teve nenhuma ação executada nela:

{
   "resource_arn": "arn:aws:ses:us-east-1:1234567890:mailmanager-rule-set/rs-xxxx",
   "event_timestamp": 1732298258254,
   "message_id": "0000llcki1jmushh817gr586f963a5inhkvnh81",
   "rule_set_name": "MyRuleSet",
   "rule_name": "MyRule",
   "rule_index": 1,
   "recipients_matched": [],
}

Exemplo de consultas CloudWatch do Logs Insights

Consulta para um message-id específico (mostra o fluxo de mensagens pelo conjunto de regras):

fields @timestamp, @message, @logStream, @log
| filter message_id = 'message-id-123'
| sort @timestamp desc
| limit 10000

Consulta para ações WRITE_TO_S3 com falha:

fields @timestamp, @message, @logStream, @log
| filter action_metadata.action_name = 'WRITE_TO_S3'
    and action_metadata.action_status = 'FAILURE'
| sort @timestamp desc
| limit 10000

Consulta para mensagens que não foram processadas pela segunda regra de um conjunto de regras (a mensagem não correspondeu às condições da regra):

fields @timestamp, @message, @logStream, @log
| filter recipients_matched = '[]'
    and rule_index = 2
| sort @timestamp desc
| limit 10000