快速入門：讓執行 Windows Server 2012 和 Windows Server 2008 的 Amazon EC2 執行個體將日誌傳送到 CloudWatch Logs

進行設定將日誌資料傳送到 CloudWatch Logs

1. 在 JSON 檔案中，找到 CloudWatchLogs 區段。

   {
       "Id": "CloudWatchLogs",
       "FullName": "AWS.EC2.Windows.CloudWatch.CloudWatchLogsOutput,AWS.EC2.Windows.CloudWatch",
       "Parameters": {
           "AccessKey": "",
           "SecretKey": "",
           "Region": "us-east-1",
           "LogGroup": "Default-Log-Group",
           "LogStream": "{instance_id}"
       }
   },

2. 將 AccessKey 和 SecretKey 欄位保留空白。使用 IAM 角色設定憑證。

3. 針對 Region，輸入日誌資料要送往的區域 (例如，us-east-2)。

4. 針對 LogGroup，輸入您日誌群組的名稱。此名稱會在 CloudWatch 主控台的 Log Groups (日誌群組) 畫面上出現。

5. 針對 LogStream，輸入目的地日誌串流。此名稱會在 CloudWatch 主控台的 Log Groups > Streams (日誌群組 > 串流) 畫面上出現。

   若使用 {instance_id} (預設值)，日誌串流名稱則為此執行個體的執行個體 ID。

   如果指定的日誌串流名稱尚未存在，CloudWatch Logs 會自動為您建立。您可以使用常值字串、預先定義的變數 {instance_id}、{hostname} 和 {ip_address}，或是組合這些項目，來定義日誌串流名稱。

將 Windows 應用程式事件日誌資料傳送到 CloudWatch Logs

1. 在 JSON 檔案中，找到 ApplicationEventLog 區段。

   {
       "Id": "ApplicationEventLog",
       "FullName": "AWS.EC2.Windows.CloudWatch.EventLog.EventLogInputComponent,AWS.EC2.Windows.CloudWatch",
       "Parameters": {
           "LogName": "Application",
           "Levels": "1"
       }
   },

2. 針對 Levels，指定要上傳訊息的類型。您可以指定下列其中一個值：

   • 1 - 僅上傳錯誤訊息。

   • 2 - 僅上傳警告訊息。

   • 4 - 僅上傳資訊訊息。

   您可以將值組合，以包含多個類型訊息。例如，值為 3 會上傳錯誤訊息 (1) 和警告訊息 (2)。值為 7 會上傳錯誤訊息 (1)、警告訊息 (2) 和資訊訊息 (4)。

將安全性日誌資料傳送到 CloudWatch Logs

1. 在 JSON 檔案中，找到 SecurityEventLog 區段。

   {
       "Id": "SecurityEventLog",
       "FullName": "AWS.EC2.Windows.CloudWatch.EventLog.EventLogInputComponent,AWS.EC2.Windows.CloudWatch",
       "Parameters": {
           "LogName": "Security",
           "Levels": "7"
       }
   },

2. 針對 Levels，輸入 7 以上傳所有訊息。

將系統事件日誌資料傳送到 CloudWatch Logs

1. 在 JSON 檔案中，找到 SystemEventLog 區段。

   {
       "Id": "SystemEventLog",
       "FullName": "AWS.EC2.Windows.CloudWatch.EventLog.EventLogInputComponent,AWS.EC2.Windows.CloudWatch",
       "Parameters": {
           "LogName": "System",
           "Levels": "7"
       }
   },

2. 針對 Levels，指定要上傳訊息的類型。您可以指定下列其中一個值：

   • 1 - 僅上傳錯誤訊息。

   • 2 - 僅上傳警告訊息。

   • 4 - 僅上傳資訊訊息。

   您可以將值組合，以包含多個類型訊息。例如，值為 3 會上傳錯誤訊息 (1) 和警告訊息 (2)。值為 7 會上傳錯誤訊息 (1)、警告訊息 (2) 和資訊訊息 (4)。

將其他類型的事件日誌資料傳送到 CloudWatch Logs

1. 在 JSON 檔案中新增區段。每個區段必須有唯一的 Id。

   {
       "Id": "Id-name",
       "FullName": "AWS.EC2.Windows.CloudWatch.EventLog.EventLogInputComponent,AWS.EC2.Windows.CloudWatch",
       "Parameters": {
           "LogName": "Log-name",
           "Levels": "7"
       }
   },

2. 針對 Id，輸入名稱代表要上傳的日誌 (例如，WindowsBackup)。

3. 針對 LogName，輸入要上傳日誌的名稱。您可以搜尋日誌的名稱，如下所示。

   1. 開啟事件檢視器。

   2. 在導覽窗格中，選擇 Applications and Services Logs (應用程式與服務日誌)。

   3. 導覽至日誌，然後選擇 Actions (動作)、Properties (屬性)。

4. 針對 Levels，指定要上傳訊息的類型。您可以指定下列其中一個值：

   • 1 - 僅上傳錯誤訊息。

   • 2 - 僅上傳警告訊息。

   • 4 - 僅上傳資訊訊息。

   您可以將值組合，以包含多個類型訊息。例如，值為 3 會上傳錯誤訊息 (1) 和警告訊息 (2)。值為 7 會上傳錯誤訊息 (1)、警告訊息 (2) 和資訊訊息 (4)。

將 Windows 事件追蹤資料傳送到 CloudWatch Logs

ETW (Windows 的事件追蹤功能) 提供有效率和詳細的記錄機制，應用程式可將日誌寫入其中。每個 ETW 皆透過工作階段管理員控制，該管理程式可啟動和停止記錄工作階段。每個工作階段都有提供者和一個或多個使用者。

1. 在 JSON 檔案中，找到 ETW 區段。

   {
       "Id": "ETW",
       "FullName": "AWS.EC2.Windows.CloudWatch.EventLog.EventLogInputComponent,AWS.EC2.Windows.CloudWatch",
       "Parameters": {
           "LogName": "Microsoft-Windows-WinINet/Analytic",
           "Levels": "7"
       }
   },

2. 針對 LogName，輸入要上傳日誌的名稱。

3. 針對 Levels，指定要上傳訊息的類型。您可以指定下列其中一個值：

   • 1 - 僅上傳錯誤訊息。

   • 2 - 僅上傳警告訊息。

   • 4 - 僅上傳資訊訊息。

   您可以將值組合，以包含多個類型訊息。例如，值為 3 會上傳錯誤訊息 (1) 和警告訊息 (2)。值為 7 會上傳錯誤訊息 (1)、警告訊息 (2) 和資訊訊息 (4)。

將自訂日誌 (任何文字型日誌檔案) 傳送到 CloudWatch Logs

1. 在 JSON 檔案中，找到 CustomLogs 區段。

   {
       "Id": "CustomLogs",
       "FullName": "AWS.EC2.Windows.CloudWatch.CustomLog.CustomLogInputComponent,AWS.EC2.Windows.CloudWatch",
       "Parameters": {
           "LogDirectoryPath": "C:\\CustomLogs\\",
           "TimestampFormat": "MM/dd/yyyy HH:mm:ss",
           "Encoding": "UTF-8",
           "Filter": "",
           "CultureName": "en-US",
           "TimeZoneKind": "Local",
           "LineCount": "5"
       }
   },

2. 針對 LogDirectoryPath，輸入在執行個體上存放日誌的路徑。

3. 針對 TimestampFormat，輸入要使用的時間戳記格式。如需關於支援之值的詳細資訊，請參閱 MSDN 上的自訂日期與時間格式字串主題。

   重要

   您的原始日誌檔在每個日誌行的開始都必須有時間戳記，且在時間戳記後必須接著一個空格。

4. 針對 Encoding，輸入要使用的檔案編碼 (例如，UTF-8)。如需關於支援之值的詳細資訊，請參閱 MSDN 上的編碼類別主題。

   注意

   使用編碼名稱，而非顯示名稱。

5. (選用) 針對 Filter，輸入日誌名稱的前綴。將此參數留白，以監控所有檔案。如需關於支援之值的詳細資訊，請參閱 MSDN 上的 FileSystemWatcherFilter 屬性主題。

6. (選用) 針對 CultureName，輸入要記錄時間戳記的地區設定。若 CultureName 留空，其會預設為與 Windows 執行個體目前使用的相同地區設定。如需支援之值的詳細資訊，請參閱 MSDN 中Language tag產品行為主題中表格的 欄。

   注意

   不支援 div、div-MV、hu 和 hu-HU 值。

7. (選用) 針對 TimeZoneKind，請輸入 Local 或 UTC。您可以設定此以在日誌時間戳記未包含任何時區資訊時提供時區資訊。如果此參數空白，且如果您的時間戳記不包含時區資訊，則 CloudWatch Logs 預設為本機時區。如果您的時間戳記已包含時區資訊，則會忽略此參數。

8. (選用) 針對 LineCount，輸入標頭中的行數，以辨識日誌檔案。例如，IIS 日誌檔幾乎都具有相同的標頭。您可以輸入 5，這會讀取日誌檔標頭的前三行來進行辨識。在 IIS 日誌檔中，第三行是日期和時間戳記，但不保證時間戳記在日誌檔間總是不同的。因此，我們建議包括至少一行實際的日誌資料，做為用來唯一辨識日誌檔的指紋。

將安全性日誌資料傳送到 CloudWatch Logs

1. 在 JSON 檔案中，找到 IISLog 區段。

   {
       "Id": "IISLogs",
       "FullName": "AWS.EC2.Windows.CloudWatch.CustomLog.CustomLogInputComponent,AWS.EC2.Windows.CloudWatch",
       "Parameters": {
           "LogDirectoryPath": "C:\\inetpub\\logs\\LogFiles\\W3SVC1",
           "TimestampFormat": "yyyy-MM-dd HH:mm:ss",
           "Encoding": "UTF-8",
           "Filter": "",
           "CultureName": "en-US",
           "TimeZoneKind": "UTC",
           "LineCount": "5"
       }
   },

2. 針對 LogDirectoryPath，輸入針對個別網站儲存 IIS 日誌的資料夾 (例如，C:\inetpub\logs\LogFiles\W3SVCn)。

   注意

   只支援 W3C 日誌格式。不支援 IIS、NCSA 和自訂格式。

3. 針對 TimestampFormat，輸入要使用的時間戳記格式。如需關於支援之值的詳細資訊，請參閱 MSDN 上的自訂日期與時間格式字串主題。

4. 針對 Encoding，輸入要使用的檔案編碼 (例如，UTF-8)。如需關於支援之值的詳細資訊，請參閱 MSDN 上的編碼類別主題。

   注意

   使用編碼名稱，而非顯示名稱。

5. (選用) 針對 Filter，輸入日誌名稱的前綴。將此參數留白，以監控所有檔案。如需關於支援之值的詳細資訊，請參閱 MSDN 上的 FileSystemWatcherFilter 屬性主題。

6. (選用) 針對 CultureName，輸入要記錄時間戳記的地區設定。若 CultureName 留空，其會預設為與 Windows 執行個體目前使用的相同地區設定。如需支援之值的詳細資訊，請參閱 MSDN 中Language tag產品行為主題中表格的 欄。

   注意

   不支援 div、div-MV、hu 和 hu-HU 值。

7. (選用) 針對 TimeZoneKind，輸入 Local 或 UTC。您可以設定此以在日誌時間戳記未包含任何時區資訊時提供時區資訊。如果此參數空白，且如果您的時間戳記不包含時區資訊，則 CloudWatch Logs 預設為本機時區。如果您的時間戳記已包含時區資訊，則會忽略此參數。

8. (選用) 針對 LineCount，輸入標頭中的行數，以辨識日誌檔案。例如，IIS 日誌檔幾乎都具有相同的標頭。您可以輸入 5，這會讀取日誌檔標頭的前五行來進行辨識。在 IIS 日誌檔中，第三行是日期和時間戳記，但不保證時間戳記在日誌檔間總是不同的。因此，我們建議包括至少一行實際的日誌資料，以唯一辨識日誌檔的指紋。

設定流程控制

1. 在 AWS.EC2.Windows.CloudWatch.json 檔案中，找到 Flows 區段。

   "Flows": {
       "Flows": [
         "PerformanceCounter,CloudWatch",
         "(PerformanceCounter,PerformanceCounter2), CloudWatch2",
         "(CustomLogs, ETW, SystemEventLog),CloudWatchLogs",
         "CustomLogs, CloudWatchLogs2",
         "ApplicationEventLog,(CloudWatchLogs, CloudWatchLogs2)"
       ]
   }

2. 針對 Flows，新增要上傳的每個資料類型 (例如，ApplicationEventLog) 及其目的地 (例如，CloudWatchLogs)。

使用 EC2Config 4.x 來設定 CloudWatch

1. 對您稍早在此程序中編輯的 AWS.EC2.Windows.CloudWatch.json 檔案檢查編碼。只支援無 BOM 的 UTF-8 編碼。接著，在 Windows Server 2008 – 2012 R2 執行個體的以下資料夾儲存檔案：C:\Program Files\Amazon\SSM\Plugins\awsCloudWatch\。

2. 使用 Windows 服務控制台，或使用下列 PowerShell 命令，以啟動或重新啟動 SSM Agent (AmazonSSMAgent.exe)：

   PS C:\> Restart-Service AmazonSSMAgent