Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Senden von Protokollen an CloudWatch Logs mithilfe des HLC-Endpunkts

Amazon CloudWatch Logs unterstützt einen HTTP Log Collector (HLC) -Endpunkt, mit dem Sie CloudWatch Protokolle mithilfe eines einfachen HTTP-basierten Protokolls direkt an Logs senden können. Diese Funktion vereinfacht die Protokollaufnahme für Anwendungen und Dienste, ohne dass eine SDK-Integration erforderlich ist. AWS

Mit der HLC-Endpunktfunktion können Sie:

Voraussetzungen

Bevor Sie Protokolle über den HLC-Endpunkt senden können, müssen Sie:

Option 1: Vereinfachte Einrichtung über die AWS Konsole (empfohlen)

Die AWS Management Console bietet einen optimierten Arbeitsablauf zur Generierung von API-Schlüsseln für den HLC-Endpunktzugriff.

Enthaltene Berechtigungen: Der automatisch erstellte IAM-Benutzer verfügt über die folgenden Berechtigungen:

Option 2: Manuelle Einrichtung

Wenn Sie mehr Kontrolle über die IAM-Konfiguration bevorzugen oder Berechtigungen anpassen müssen, können Sie den HLC-Endpunkt manuell einrichten.

Schritt 1: Erstellen Sie einen IAM-Benutzer

Erstellen Sie einen IAM-Benutzer, der für die Protokollaufnahme verwendet wird:

Schritt 2: Generieren Sie dienstspezifische Anmeldeinformationen (API-Schlüssel)

Generieren Sie den CloudWatch Logs-API-Schlüssel mithilfe der CreateServiceSpecificCredentialAPI. Sie können auch den create-service-specific-credentialCLI-Befehl verwenden. Für das Alter der Anmeldeinformationen können Sie einen Wert zwischen 1—36600 Tagen angeben. Wenn Sie keine Gültigkeitsdauer für die Anmeldeinformationen angeben, läuft der API-Schlüssel nicht ab.

Um einen API-Schlüssel mit einem Ablauf von 30 Tagen zu generieren:

aws iam create-service-specific-credential \
    --user-name cloudwatch-logs-hlc-user \
    --service-name logs.amazonaws.com \
    --credential-age-days 30

Die Antwort ist ein ServiceSpecificCredentialObjekt. Der ServiceCredentialSecret Wert ist Ihr CloudWatch Logs-API-Schlüssel (Bearer-Token).

Schritt 3: Erstellen Sie eine Protokollgruppe und einen Protokollstream

Erstellen Sie die Protokollgruppe und den Protokollstream, in denen Ihre Protokolle gespeichert werden:

# Create the log group
aws logs create-log-group \
    --log-group-name /aws/hlc-logs/my-application \
    --region us-east-1

# Create the log stream
aws logs create-log-stream \
    --log-group-name /aws/hlc-logs/my-application \
    --log-stream-name application-stream-001 \
    --region us-east-1

Schritt 4: Aktivieren Sie die Bearer-Token-Authentifizierung

Aktivieren Sie die Bearer-Token-Authentifizierung für die Protokollgruppe:

aws logs put-bearer-token-authentication \
    --log-group-identifier /aws/hlc-logs/my-application \
    --bearer-token-authentication-enabled \
    --region us-east-1

Überprüfen Sie die Konfiguration:

aws logs describe-log-groups \
    --log-group-name-prefix /aws/hlc-logs/my-application \
    --region us-east-1

Protokolle an den HLC-Endpunkt senden

Endpunkt-Format

Die URL des HLC-Endpunkts folgt diesem Format:

https://logs.<region>.amazonaws.com/services/collector/event?logGroup=<name>&logStream=<name>[&entityName=<name>&entityEnvironment=<environment>]

Erforderliche Parameter:

Optionale Parameter:

Sie können Ihre Protokollereignisse optional einer Service Entität zuordnen, indem Sie die folgenden Abfrageparameter angeben. Da es sich bei den über den HLC-Endpunkt gesendeten Protokollen um benutzerdefinierte Telemetrie handelt, werden sie nicht automatisch einer Entität zugeordnet. Durch die Angabe dieser Parameter erstellt CloudWatch Logs eine Entität mit der KeyAttributes.Type Einstellung auf Service und ordnet sie Ihren Protokollereignissen zu. Auf diese Weise kann die zugehörige CloudWatch Explore-Funktion diese Protokolle mit anderen Telemetriedaten (Metriken, Traces und Logs) desselben Dienstes korrelieren, was die Fehlerbehebung und Überwachung Ihrer Anwendungen bei verschiedenen Signaltypen erleichtert. Weitere Informationen zu Entitäten und verwandter Telemetrie finden Sie unter Hinzufügen verwandter Informationen zur benutzerdefinierten Telemetrie.

Anforderungsformat

Senden Sie Protokolle mithilfe von HTTP POST mit den folgenden Headern und dem folgenden Hauptteil:

Kopfzeilen:

Körperformat:

Der Hauptteil der Anfrage sollte im JSON-Format mit einer Reihe von Ereignissen vorliegen:

{
    "event": [
        {
            "time": 1730141374.001,
            "event": "Application started successfully",
            "host": "web-server-1",
            "source": "application.log",
            "severity": "info"
        },
        {
            "time": 1730141374.457,
            "event": "User login successful",
            "host": "web-server-1",
            "source": "auth.log",
            "user": "john.doe"
        }
    ]
}

Feldbeschreibungen:

Zusätzliche benutzerdefinierte Felder können nach Bedarf hinzugefügt werden.

Beispielanforderung

curl -X POST \
    'https://logs.<region>.amazonaws.com/services/collector/event?logGroup=/aws/hlc-logs/my-application&logStream=application-stream-001' \
    -H "Authorization: Bearer <your-bearer-token>" \
    -H "Content-Type: application/json" \
    -d '{
        "event": [
            {
                "time": 1730141374.001,
                "event": "Application started",
                "host": "web-server-1",
                "severity": "info"
            }
        ]
    }'

Steuern Sie die Berechtigungen für die Generierung und Verwendung von CloudWatch Logs-API-Schlüsseln

Die Generierung und Verwendung von CloudWatch Logs-API-Schlüsseln wird durch Aktionen und Bedingungsschlüssel sowohl in den CloudWatch Logs- als auch in den IAM-Diensten gesteuert.

Steuerung der Generierung von CloudWatch Logs-API-Schlüsseln

Die CreateServiceSpecificCredential Aktion iam: steuert die Generierung eines dienstspezifischen Schlüssels (z. B. eines CloudWatch Logs-API-Schlüssels). Sie können diese Aktion auf IAM-Benutzer als Ressource beschränken, um die Anzahl der Benutzer einzuschränken, für die ein Schlüssel generiert werden kann.

Mit den folgenden Bedingungsschlüsseln können Sie Bedingungen mit der Berechtigung für die Aktion iam:CreateServiceSpecificCredential verknüpfen:

Steuerung der Verwendung von CloudWatch Logs-API-Schlüsseln

Die logs:CallWithBearerToken Aktion steuert die Verwendung eines CloudWatch Logs-API-Schlüssels. Um zu verhindern, dass eine Identität CloudWatch Logs-API-Schlüssel verwendet, fügen Sie eine Richtlinie hinzu, die dem IAM-Benutzer, der dem Schlüssel zugeordnet ist, die logs:CallWithBearerToken Aktion verweigert.

Beispielrichtlinien

Verhindern Sie, dass eine Identität CloudWatch Logs-API-Schlüssel generiert und verwendet

{
    "Version": "2012-10-17",		 	 	 
    "Statement": [
        {
            "Sid": "DenyCWLAPIKeys",
            "Effect": "Deny",
            "Action": [
                "iam:CreateServiceSpecificCredential",
                "logs:CallWithBearerToken"
            ],
            "Resource": "*"
        }
    ]
}

Verhindern Sie, dass eine Identität CloudWatch Logs-API-Schlüssel verwendet

{
    "Version": "2012-10-17",		 	 	 
    "Statement": [
        {
            "Effect": "Deny",
            "Action": "logs:CallWithBearerToken",
            "Resource": "*"
        }
    ]
}

Erlauben Sie die Erstellung von CloudWatch Logs-Schlüsseln nur, wenn sie innerhalb von 90 Tagen ablaufen

{
    "Version": "2012-10-17",		 	 	 
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "iam:CreateServiceSpecificCredential",
            "Resource": "arn:aws:iam::123456789012:user/username",
            "Condition": {
                "StringEquals": {
                    "iam:ServiceSpecificCredentialServiceName": "logs.amazonaws.com"
                },
                "NumericLessThanEquals": {
                    "iam:ServiceSpecificCredentialAgeDays": "90"
                }
            }
        }
    ]
}

Behandeln Sie kompromittierte CloudWatch Logs-API-Schlüssel

Wenn Ihr API-Schlüssel kompromittiert wurde, sollten Sie Berechtigungen für dessen Verwendung widerrufen. Sie können die folgenden IAM-API-Operationen verwenden, um kompromittierte Schlüssel zu verwalten:

Ändern Sie den Status eines CloudWatch Logs-API-Schlüssels

Verwenden Sie den update-service-specific-credentialfolgenden Befehl, um einen Schlüssel zu deaktivieren:

aws iam update-service-specific-credential \
    --user-name cloudwatch-logs-hlc-user \
    --service-specific-credential-id ACCA1234EXAMPLE1234 \
    --status Inactive

Um den Schlüssel wieder zu aktivieren, ändern Sie den Status aufActive.

Setzen Sie einen CloudWatch Logs-API-Schlüssel zurück

Wenn der Wert Ihres Schlüssels kompromittiert wurde oder Sie ihn nicht mehr haben, setzen Sie ihn mit dem reset-service-specific-credentialfolgenden Befehl zurück. Der Schlüssel darf noch nicht abgelaufen sein. Wenn er bereits abgelaufen ist, löschen Sie den Schlüssel und erstellen Sie einen neuen.

aws iam reset-service-specific-credential \
    --service-specific-credential-id ACCA1234EXAMPLE1234

Löschen Sie einen CloudWatch Logs-API-Schlüssel

Wenn Sie einen Schlüssel nicht mehr benötigen oder er abgelaufen ist, löschen Sie ihn mit dem delete-service-specific-credentialfolgenden Befehl:

aws iam delete-service-specific-credential \
    --service-specific-credential-id ACCA1234EXAMPLE1234

Hängen Sie IAM-Richtlinien an, um die Berechtigungen für die Verwendung eines CloudWatch Logs-API-Schlüssels zu entfernen

Um zu verhindern, dass eine Identität Aufrufe mit einem CloudWatch Logs-API-Schlüssel tätigt, fügen Sie dem IAM-Benutzer, der dem Schlüssel zugeordnet ist, die folgende Richtlinie an:

{
    "Version": "2012-10-17",		 	 	 
    "Statement": {
        "Effect": "Deny",
        "Action": "logs:CallWithBearerToken",
        "Resource": "*"
    }
}

Protokollierung der API-Schlüsselnutzung mit CloudTrail

Sie können AWS CloudTrail es verwenden, um Datenereignisse für die Verwendung von CloudWatch Logs API-Schlüsseln zu protokollieren. CloudWatch Logs sendet AWS::Logs::LogGroupAuthorization Datenereignisse für CallWithBearerToken Aufrufe aus, sodass Sie überprüfen können, wann und wie API-Schlüssel zum Senden von Protokollen verwendet werden.

So aktivieren Sie die CloudTrail Protokollierung für die Verwendung von CloudWatch Logs-API-Schlüsseln:

Best Practices

Ereignisse stapeln

Für mehr Leistung und Effizienz:

Fehlerbehandlung

Implementieren Sie die richtige Fehlerbehandlung in Ihrer Anwendung. Allgemeine HTTP-Statuscodes:

Einschränkungen