Verhinderung von Protokollrekursionen

Bei Abonnementfiltern besteht das Risiko einer unendlichen Protokollrekursion, die zu einem starken Anstieg der Datenerfassungskosten sowohl in CloudWatch Logs als auch in Ihrem Ziel führen kann, wenn dies nicht verhindert wird. Dies kann auftreten, wenn ein Abonnementfilter einer Protokollgruppe zugeordnet ist, die aufgrund Ihres Workflows zur Abonnementzustellung Protokollereignisse empfängt. Die in die Protokollgruppe aufgenommenen Protokolle werden an das Ziel übermittelt, wodurch die Protokollgruppe weitere Protokolle aufnimmt, die dann erneut an das Ziel weitergeleitet werden, wodurch eine Rekursionsschleife entsteht.

Stellen Sie sich beispielsweise einen Abonnementfilter mit Firehose als Ziel vor, der Protokollereignisse an Amazon S3 übermittelt. Darüber hinaus gibt es auch eine Lambda-Funktion, die neue Ereignisse verarbeitet, die an Amazon S3 übermittelt werden, und einige Protokolle selbst erstellt. Wenn der Abonnementfilter auf die Protokollgruppe der Lambda-Funktion angewendet wird, werden die von der Funktion erzeugten Protokollereignisse an Firehose und Amazon S3 am Ziel weitergeleitet, wodurch die Funktion erneut aufgerufen wird, wodurch weitere Protokolle erstellt und an Firehose und Amazon S3 weitergeleitet werden, was zu einem weiteren Aufruf der Funktion führt usw. Dies geschieht in einer Endlosschleife, was zu einer unerwarteten Erhöhung der Abrechnung für Log-Ingestion, Firehose und Amazon S3 führt.

Wenn die Lambda-Funktion an eine VPC angehängt ist, bei der Flow-Logs für Logs aktiviert sind, kann auch die CloudWatch Log-Gruppe der VPC eine Log-Rekursion auslösen.

Wir empfehlen, keine Abonnementfilter auf Protokollgruppen anzuwenden, die Teil Ihres Workflows zur Abonnementzustellung sind. Verwenden Sie für Abonnementfilter auf Kontoebene den selectionCriteria Parameter in der PutAccountPolicy API, um diese Protokollgruppen aus der Richtlinie auszuschließen.

Berücksichtigen Sie beim Ausschließen von Protokollgruppen die folgenden AWS Dienste, die Protokolle erstellen und möglicherweise Teil Ihrer Workflows zur Abonnementzustellung sind: