將 Lambda 函式日誌傳送至 Amazon S3

將 CloudWatch Logs 與 Lambda 搭配使用所需的 IAM 許可。

設定 CloudWatch Logs 訂閱篩選條件，將 Lambda 函式日誌傳送至 Amazon S3。此篩選條件會定義要傳送至 Amazon S3 儲存貯體的日誌事件。

建立 Amazon Simple Storage Service (Amazon S3) 儲存貯體。我們建議您使用專為 CloudWatch Logs 建立的儲存貯體。不過，如果您想要使用現有的儲存貯體，請跳到步驟 2。

執行以下命令，將預留位置 Region 換成您想要使用的區域：

aws s3api create-bucket --bucket amzn-s3-demo-bucket2 --create-bucket-configuration LocationConstraint=region

下列為範例輸出：

{
    "Location": "/amzn-s3-demo-bucket2"
}

建立 IAM 角色，授予 CloudWatch Logs 將資料放入 Amazon S3 儲存貯體的許可。此政策包含一個 aws:SourceArn 全域條件內容索引鍵，可協助防範混淆代理人安全問題。如需詳細資訊，請參閱混淆代理人防範。

建立許可政策以定義 CloudWatch Logs 可在您的帳戶上執行哪些動作。首先，使用文字編輯器來建立檔案 ~/PermissionsForCWL.json 中的許可政策：

{
  "Statement": [
    {
      "Effect": "Allow",
      "Action": ["s3:PutObject"],
      "Resource": ["arn:aws:s3:::amzn-s3-demo-bucket2/*"]
    }
  ]
}

使用下列 put-role-policy 命令，將許可政策與角色建立關聯：

aws iam put-role-policy --role-name CWLtoS3Role --policy-name Permissions-Policy-For-S3 --policy-document file://~/PermissionsForCWL.json

建立一個 Delivery 日誌群組，或使用現有的 Delivery 日誌群組。

aws logs create-log-group --log-group-name my-logs --log-group-class DELIVERY --region REGION_NAME

使用 PutSubscriptionFilter 命令設定目的地

aws logs put-subscription-filter
--log-group-name my-logs
--filter-name my-lambda-delivery
--filter-pattern ""
--destination-arn arn:aws:s3:::amzn-s3-demo-bucket2
--role-arn arn:aws:iam::123456789012:role/CWLtoS3Role
--region REGION_NAME

登入 AWS 管理主控台，並開啟 Lambda 主控台。

選擇函式的名稱。

選擇 Configuration (組態) 索引標籤。

選擇監控與操作工具索引標籤。

在「日誌記錄組態」區段中，選擇編輯。

在「日誌內容」區段中，選取一種日誌格式。

在「日誌目的地」區段中，完成下列步驟：

選擇儲存。