View a markdown version of this page

Journalisation nécessitant des autorisations supplémentaires [V2] - Amazon CloudWatch Logs
Exemples de configuration de livraison de journaux

Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Journalisation nécessitant des autorisations supplémentaires [V2]

Certains AWS services utilisent une nouvelle méthode pour envoyer leurs journaux. Il s'agit d'une méthode flexible qui vous permet de configurer la livraison des journaux depuis ces services vers une ou plusieurs des destinations suivantes : CloudWatch Logs, Amazon S3 ou Firehose, ainsi que X-Ray pour la livraison de traces.

La livraison d'un journal de travail comprend trois éléments :

  • ADeliverySource, qui est un objet logique qui représente la ou les ressources qui envoient réellement les journaux.

  • ADeliveryDestination, qui est un objet logique qui représente la destination de livraison réelle.

  • ADelivery, qui connecte une source de livraison à une destination de livraison

Pour configurer la livraison des journaux entre un AWS service pris en charge et une destination, vous devez effectuer les opérations suivantes :

  • Créez une source de diffusion avec PutDeliverySource.

  • Créez une destination de livraison avec PutDeliveryDestination.

  • Si vous distribuez des journaux entre comptes, vous ne pouvez utiliser que les destinations Amazon S3 et Firehose. Vous devez l'utiliser PutDeliveryDestinationPolicydans le compte de destination pour attribuer une IAM politique à la destination. Cette politique autorise la création d'une livraison depuis la source de livraison dans le compte A vers la destination de livraison dans le compte B. Pour la livraison entre comptes, vous devez créer manuellement les politiques d'autorisation vous-même. Pour des exemples de configuration, voirCross-account exemple de livraison.

  • Créez une livraison en associant exactement une source de livraison et une destination de livraison, en utilisant CreateDelivery.

Exemples de configuration de livraison de journaux

Les exemples suivants créent la source et la destination de livraison dans le même AWS compte. Remplacez l'ARN de la ressource source et le type de journal par des valeurs prises en charge par le service qui génère les journaux. Ces exemples ne nécessitent pas de politique de destination de livraison.

Création d'une source de diffusion pour les CloudWatch journaux d'exécution des requêtes de Logs Insights

L'exemple suivant crée une source de livraison pour les CloudWatch journaux d'exécution des requêtes de Logs Insights. Pour connaître les exigences complètes logType et en termes de ressources en ARN, consultez PutDeliverySource.

Note

Le caractère générique de fin log-group:* est obligatoire car les journaux d'exécution des requêtes ne sont pas liés à un seul groupe de journaux. AWS ne prend pas en charge un ARN de groupe de journaux spécifique pour ce type de journal.

aws logs put-delivery-source \
    --name insights-query-logs \
    --resource-arn arn:aws:logs:region:account-id:log-group:* \
    --log-type INSIGHTS_QUERY_LOGS

Création d'une source de diffusion

Créez la source de livraison, puis utilisez l'un des exemples de destination suivants.

aws logs put-delivery-source \
    --name my-delivery-source \
    --resource-arn source-resource-arn \
    --log-type log-type

Créer une livraison vers CloudWatch Logs

Créez une destination de livraison pour un groupe de journaux existant.

aws logs put-delivery-destination \
    --name my-cwl-delivery-destination \
    --delivery-destination-configuration \
    "destinationResourceArn=arn:aws:logs:region:account-id:log-group:log-group-name"

Créez la livraison.

aws logs create-delivery \
    --delivery-source-name my-delivery-source \
    --delivery-destination-arn arn:aws:logs:region:account-id:delivery-destination:my-cwl-delivery-destination

Création d'une livraison vers Amazon S3

Créez une destination de livraison pour un compartiment existant.

aws logs put-delivery-destination \
    --name my-s3-delivery-destination \
    --delivery-destination-configuration \
    "destinationResourceArn=arn:aws:s3:::bucket-name"

Créez la livraison.

aws logs create-delivery \
    --delivery-source-name my-delivery-source \
    --delivery-destination-arn arn:aws:logs:region:account-id:delivery-destination:my-s3-delivery-destination

Pour configurer un préfixe, un chemin de suffixe ou un chemin de destination, Hive-compatible consultez. Format de clé d'objet Amazon S3

Créer une livraison vers Firehose

Créez une destination de livraison pour un flux DirectPut de diffusion existant.

aws logs put-delivery-destination \
    --name my-firehose-delivery-destination \
    --delivery-destination-configuration \
    "destinationResourceArn=arn:aws:firehose:region:account-id:deliverystream/delivery-stream-name"

Créez la livraison.

aws logs create-delivery \
    --delivery-source-name my-delivery-source \
    --delivery-destination-arn arn:aws:logs:region:account-id:delivery-destination:my-firehose-delivery-destination

Créez une livraison à X-Ray

Pour la livraison de traces, utilisez un service source et un type de journal qui prennent en charge la livraison à X-Ray. Créez la destination X-Ray de livraison logique.

aws logs put-delivery-destination \
    --name my-xray-delivery-destination \
    --delivery-destination-type XRAY

Créez la livraison.

aws logs create-delivery \
    --delivery-source-name my-delivery-source \
    --delivery-destination-arn arn:aws:logs:region:account-id:delivery-destination:my-xray-delivery-destination

Pour vérifier la livraison, utilisez la commande suivante.

aws logs describe-deliveries \
    --delivery-source-name-prefix my-delivery-source

Les sections suivantes fournissent les détails des autorisations dont vous avez besoin lorsque vous êtes connecté pour configurer la livraison des journaux à chaque type de destination, à l'aide du processus V2. Ces autorisations peuvent être accordées à un rôle IAM avec lequel vous êtes connecté.

Important

Il est de votre responsabilité de supprimer les ressources de livraison de journaux après avoir supprimé la ressource génératrice de journaux. Pour ce faire, procédez comme suit.

  1. DeliverySupprimez-le à l'aide de l'DeleteDeliveryopération.

  2. DeliverySourceSupprimez-le à l'aide de l'DeleteDeliverySourceopération.

  3. Si le DeliveryDestination fichier associé à DeliverySource celui que vous venez de supprimer n'est utilisé que pour ce DeliverySource paramètre spécifique, vous pouvez le supprimer en utilisant l'DeleteDeliveryDestinationsopération.

Table des matières