設定標準記錄 (v2)

使用 CloudFront 主控台更新現有的分佈。

選擇 Logging (日誌記錄) 索引標籤。

選擇新增，然後選擇要接收日誌的服務：

針對目的地，選取您服務的資源。如果您尚未建立資源，您可以選擇建立或查看下列文件。

對於其他設定 – 選用，您可以指定下列選項：

1. 針對欄位選擇，選取您要交付至目的地的日誌欄位名稱。您可以選取存取日誌欄位和即時日誌欄位的子集。

2. （僅限 Amazon S3) 對於分割，指定分割日誌檔案資料的路徑。

3. （僅限 Amazon S3) 對於 Hive 相容檔案格式，您可以選取核取方塊以使用 Hive 相容 S3 路徑。這有助於簡化將新資料載入 Hive 相容工具的過程。

4. 針對輸出格式，指定您偏好的格式。

   注意

   如果您選擇 Parquet，此選項會產生將存取日誌轉換為 Apache Parquet 的 CloudWatch 費用。如需詳細資訊，請參閱 CloudWatch 定價的已修訂日誌一節。

5. 對於欄位分隔符號，指定如何分隔日誌欄位。

完成更新或建立分佈的步驟。

若要新增另一個目的地，請重複步驟 3–6。

在日誌頁面中，確認分佈旁的標準日誌狀態為已啟用。

（選用） 若要啟用 Cookie 記錄，請選擇管理、設定並開啟 Cookie 記錄，然後選擇儲存變更。

建立分佈之後，請取得 Amazon Resource Name (ARN)。

您可以從 CloudFront 主控台的分發頁面找到 ARN，也可以使用 GetDistribution API 操作。分佈 ARN 遵循以下格式： arn:aws:cloudfront::123456789012:distribution/d111111abcdef8

接著，使用 CloudWatch PutDeliverySource API 操作來建立分佈的交付來源。

1. 輸入交付來源的名稱。

2. 傳遞分佈resourceArn的 。

3. 對於 logType，指定 ACCESS_LOGS為收集的日誌類型。

4. 範例 Example AWS CLI put-delivery-source 命令

   以下是為分佈設定交付來源的範例。

   aws logs put-delivery-source --name S3-delivery --resource-arn arn:aws:cloudfront::123456789012:distribution/d111111abcdef8 --log-type ACCESS_LOGS

   輸出

   {
    "deliverySource": {
    "name": "S3-delivery",
    "arn": "arn:aws:logs:us-east-1:123456789012:delivery-source:S3-delivery",
    "resourceArns": [
    "arn:aws:cloudfront::123456789012:distribution/d111111abcdef8"
    ],
    "service": "cloudfront",
    "logType": "ACCESS_LOGS"
    }
   } 

使用 PutDeliveryDestination API 操作來設定存放日誌的位置。

1. 針對 destinationResourceArn，指定目的地的 ARN。這可以是 CloudWatch Logs 日誌群組、Firehose 交付串流或 Amazon S3 儲存貯體。

2. 針對 outputFormat，指定日誌的輸出格式。

3. 範例 Example AWS CLI put-delivery-destination 命令

   以下是將交付目的地設定為 Amazon S3 儲存貯體的範例。

   aws logs put-delivery-destination --name S3-destination --delivery-destination-configuration destinationResourceArn=arn:aws:s3:::amzn-s3-demo-bucket

   輸出

   {
       "name": "S3-destination",
       "arn": "arn:aws:logs:us-east-1:123456789012:delivery-destination:S3-destination",
       "deliveryDestinationType": "S3",
       "deliveryDestinationConfiguration": {
           "destinationResourceArn": "arn:aws:s3:::amzn-s3-demo-bucket"
       }
   }

使用 CreateDelivery API 操作，將交付來源連結至您在先前步驟中建立的目的地。此 API 操作會將交付來源與最終目的地建立關聯。

1. 針對 deliverySourceName，指定來源名稱。

2. 針對 deliveryDestinationArn，指定交付目的地的 ARN。

3. 對於 fieldDelimiter，指定要分隔每個日誌欄位的字串。

4. 針對 recordFields，指定您想要的日誌欄位。

5. 如果您使用的是 S3，請指定是否使用 enableHiveCompatiblePath和 suffixPath。

aws logs create-delivery --delivery-source-name cf-delivery --delivery-destination-arn arn:aws:logs:us-east-1:123456789012:delivery-destination:S3-destination

{
    "id": "abcNegnBoTR123",
    "arn": "arn:aws:logs:us-east-1:123456789012:delivery:abcNegnBoTR123",
    "deliverySourceName": "cf-delivery",
    "deliveryDestinationArn": "arn:aws:logs:us-east-1:123456789012:delivery-destination:S3-destination",
    "deliveryDestinationType": "S3",
    "recordFields": [
        "date",
        "time",
        "x-edge-location",
        "sc-bytes",
        "c-ip",
        "cs-method",
        "cs(Host)",
        "cs-uri-stem",
        "sc-status",
        "cs(Referer)",
        "cs(User-Agent)",
        "cs-uri-query",
        "cs(Cookie)",
        "x-edge-result-type",
        "x-edge-request-id",
        "x-host-header",
        "cs-protocol",
        "cs-bytes",
        "time-taken",
        "x-forwarded-for",
        "ssl-protocol",
        "ssl-cipher",
        "x-edge-response-result-type",
        "cs-protocol-version",
        "fle-status",
        "fle-encrypted-fields",
        "c-port",
        "time-to-first-byte",
        "x-edge-detailed-result-type",
        "sc-content-type",
        "sc-content-len",
        "sc-range-start",
        "sc-range-end",
        "c-country",
        "cache-behavior-path-pattern"
    ],
     "fieldDelimiter": ""
}

在 CloudFront 主控台的日誌頁面上，確認分佈旁的標準日誌狀態已啟用。

如需標準記錄交付和日誌欄位的詳細資訊，請參閱 標準記錄參考。

若要建立日誌交付目的地，您可以輸入下列 AWS CLI 命令。此範例使用 MyLogPrefix 字串為您的存取日誌建立字首。

aws logs put-delivery-destination --name cloudfront-delivery-destination --delivery-destination-configuration "destinationResourceArn=arn:aws:s3:::amzn-s3-demo-bucket-cloudfront-logs/MyLogPrefix"

輸出

{
    "deliveryDestination": {
        "name": "cloudfront-delivery-destination",
        "arn": "arn:aws:logs:us-east-1:222222222222:delivery-destination:cloudfront-delivery-destination",
        "deliveryDestinationType": "S3",
        "deliveryDestinationConfiguration": {"destinationResourceArn": "arn:aws:s3:::amzn-s3-demo-bucket-cloudfront-logs/MyLogPrefix"}
    }
}

新增日誌交付目的地的資源政策，以允許來源帳戶建立日誌交付。

在下列政策中，將 111111111111 取代為來源帳戶 ID，並從步驟 1 的輸出指定交付目的地 ARN。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowCreateDelivery",
            "Effect": "Allow",
            "Principal": {"AWS": "111111111111"},
            "Action": ["logs:CreateDelivery"],
            "Resource": "arn:aws:logs:us-east-1:222222222222:delivery-destination:cloudfront-delivery-destination"
        }
    ]
}

儲存 檔案，例如 deliverypolicy.json。

若要將先前的政策連接至交付目的地，請輸入下列 AWS CLI 命令。

aws logs put-delivery-destination-policy --delivery-destination-name cloudfront-delivery-destination --delivery-destination-policy file://deliverypolicy.json

將下列陳述式新增至目的地 Amazon S3 儲存貯體政策，取代資源 ARN 和來源帳戶 ID。此政策允許delivery.logs.amazonaws.com服務主體執行 s3:PutObject動作。

{
    "Sid": "AWSLogsDeliveryWrite",
    "Effect": "Allow",
    "Principal": {"Service": "delivery.logs.amazonaws.com"},
    "Action": "s3:PutObject",
    "Resource": "arn:aws:s3:::amzn-s3-demo-bucket-cloudfront-logs/*",
    "Condition": {
        "StringEquals": {
            "s3:x-amz-acl": "bucket-owner-full-control",
            "aws:SourceAccount": "111111111111"
        },
        "ArnLike": {"aws:SourceArn": "arn:aws:logs:us-east-1:111111111111:delivery-source:*"}
    }
}

如果您使用 AWS KMS 做為儲存貯體，請將下列陳述式新增至 KMS 金鑰政策，以將許可授予delivery.logs.amazonaws.com服務主體。

{
    "Sid": "Allow Logs Delivery to use the key",
    "Effect": "Allow",
    "Principal": {"Service": "delivery.logs.amazonaws.com"},
    "Action": [
        "kms:Encrypt",
        "kms:Decrypt",
        "kms:ReEncrypt*",
        "kms:GenerateDataKey*",
        "kms:DescribeKey"
    ],
    "Resource": "*",
    "Condition": {
        "StringEquals": {"aws:SourceAccount": "111111111111"},
        "ArnLike": {"aws:SourceArn": "arn:aws:logs:us-east-1:111111111111:delivery-source:*"}
    }
}

建立 CloudFront 標準記錄的交付來源，以便您可以將日誌檔案傳送至 CloudWatch Logs。

您可以輸入下列 AWS CLI 命令，取代名稱和分佈 ARN。

aws logs put-delivery-source --name s3-cf-delivery --resource-arn arn:aws:cloudfront::111111111111:distribution/E1TR1RHV123ABC --log-type ACCESS_LOGS

輸出

{
    "deliverySource": {
        "name": "s3-cf-delivery",
        "arn": "arn:aws:logs:us-east-1:111111111111:delivery-source:s3-cf-delivery",
        "resourceArns": ["arn:aws:cloudfront::111111111111:distribution/E1TR1RHV123ABC"],
        "service": "cloudfront",
        "logType": "ACCESS_LOGS"
    }
}

建立交付以對應來源帳戶的日誌交付來源和目的地帳戶的日誌交付目的地。

在下列 AWS CLI 命令中，從步驟 1：設定目的地帳戶中的輸出指定交付目的地 ARN。

aws logs create-delivery --delivery-source-name s3-cf-delivery --delivery-destination-arn arn:aws:logs:us-east-1:222222222222:delivery-destination:cloudfront-delivery-destination

輸出

{
    "delivery": {
        "id": "OPmOpLahVzhx1234",
        "arn": "arn:aws:logs:us-east-1:111111111111:delivery:OPmOpLahVzhx1234",
        "deliverySourceName": "s3-cf-delivery",
        "deliveryDestinationArn": "arn:aws:logs:us-east-1:222222222222:delivery-destination:cloudfront-delivery-destination",
        "deliveryDestinationType": "S3",
        "recordFields": [
            "date",
            "time",
            "x-edge-location",
            "sc-bytes",
            "c-ip",
            "cs-method",
            "cs(Host)",
            "cs-uri-stem",
            "sc-status",
            "cs(Referer)",
            "cs(User-Agent)",
            "cs-uri-query",
            "cs(Cookie)",
            "x-edge-result-type",
            "x-edge-request-id",
            "x-host-header",
            "cs-protocol",
            "cs-bytes",
            "time-taken",
            "x-forwarded-for",
            "ssl-protocol",
            "ssl-cipher",
            "x-edge-response-result-type",
            "cs-protocol-version",
            "fle-status",
            "fle-encrypted-fields",
            "c-port",
            "time-to-first-byte",
            "x-edge-detailed-result-type",
            "sc-content-type",
            "sc-content-len",
            "sc-range-start",
            "sc-range-end",
            "c-country",
            "cache-behavior-path-pattern"
        ],
        "fieldDelimiter": "\t"
    }
}

驗證您的跨帳戶交付是否成功。

1. 從來源帳戶登入 CloudFront 主控台，然後選擇您的分佈。在記錄索引標籤的類型下，您會看到為 S3 跨帳戶日誌交付建立的項目。

2. 從目的地帳戶登入 Amazon S3 主控台，然後選擇您的 Amazon S3 儲存貯體。您會在儲存貯體名稱MyLogPrefix中看到 字首，以及傳送到該資料夾的任何存取日誌。

登入 CloudFront 主控台。

選擇分佈，然後選擇分佈 ID。

選擇記錄，然後在標準日誌目的地下，選取目的地。

選擇管理，然後選擇刪除。

如果您有多個標準記錄，請重複上一個步驟。