Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Zugriffsprotokolle für Amazon VPC Lattice

Zugriffsprotokolle erfassen detaillierte Informationen zu Ihren VPC Lattice-Diensten und Ressourcenkonfigurationen. Sie können diese Zugriffsprotokolle verwenden, um Verkehrsmuster zu analysieren und alle Dienste im Netzwerk zu überprüfen. Für VPC Lattice-Dienste veröffentlichen wir VpcLatticeAccessLogs und für Ressourcenkonfigurationen veröffentlichen wir, VpcLatticeResourceAccessLogs welche separat konfiguriert werden müssen.

Zugriffsprotokolle sind optional und standardmäßig deaktiviert. Nachdem Sie Zugriffsprotokolle aktiviert haben, können Sie sie jederzeit deaktivieren.

Preisgestaltung

Wenn Zugriffsprotokolle veröffentlicht werden, fallen Gebühren an. Protokolle, die AWS nativ in Ihrem Namen veröffentlicht werden, werden als Verkaufsprotokolle bezeichnet. Weitere Informationen zur Preisgestaltung für verkaufte Logs finden Sie unter CloudWatch Amazon-Preise. Wählen Sie Logs aus und sehen Sie sich die Preise unter Vented Logs an.

Zum Aktivieren von Zugriffsprotokollen sind IAM-Berechtigungen erforderlich

Um Zugriffsprotokolle zu aktivieren und die Protokolle an ihre Ziele zu senden, muss die Richtlinie, die dem IAM-Benutzer, der Gruppe oder der Rolle zugeordnet ist, die Sie verwenden, die folgenden Aktionen enthalten.

JSON

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Sid": "ManageVPCLatticeAccessLogSetup",
            "Action": [
                "logs:CreateLogDelivery",
                "logs:GetLogDelivery",
                "logs:UpdateLogDelivery",
                "logs:DeleteLogDelivery",
                "logs:ListLogDeliveries",
                "vpc-lattice:CreateAccessLogSubscription",
                "vpc-lattice:GetAccessLogSubscription",
                "vpc-lattice:UpdateAccessLogSubscription",
                "vpc-lattice:DeleteAccessLogSubscription",
                "vpc-lattice:ListAccessLogSubscriptions"
            ],
            "Resource": [
                "*"
            ]
        }
    ]
}            

Informationen finden Sie im Abschnitt Hinzufügen und Entfernen von IAM-Identitätsberechtigungen im AWS Identity and Access Management -Benutzerhandbuch.

Nachdem Sie die Richtlinie aktualisiert haben, die dem IAM-Benutzer, der Gruppe oder der Rolle zugeordnet ist, den Sie verwenden, gehen Sie zu. Aktivieren der Zugriffsprotokolle

Auf Ziele für Logs zugreifen

Sie können Zugriffsprotokolle an die folgenden Ziele senden.

Aktivieren der Zugriffsprotokolle

Gehen Sie wie folgt vor, um Zugriffsprotokolle so zu konfigurieren, dass Zugriffsprotokolle erfasst und an das von Ihnen gewählte Ziel gesendet werden.

Aktivieren Sie Zugriffsprotokolle mithilfe der Konsole

Sie können während der Erstellung Zugriffsprotokolle für ein Dienstnetzwerk, einen Dienst oder eine Ressourcenkonfiguration aktivieren. Sie können Zugriffsprotokolle auch aktivieren, nachdem Sie eine Dienstnetzwerk-, Dienst- oder Ressourcenkonfiguration erstellt haben, wie im folgenden Verfahren beschrieben.

Aktivieren Sie Zugriffsprotokolle mit dem AWS CLI

Verwenden Sie den CLI-Befehl create-access-log-subscription, um Zugriffsprotokolle für Dienstnetzwerke oder Dienste zu aktivieren.

Nachverfolgung anfordern

VPC Lattice unterstützt mit dem Header x-amzn-requestid die Nachverfolgung und Korrelation von Anfragen über Clients, Ziele und Protokolle hinweg, um die Beobachtbarkeit und das Debuggen zu gewährleisten. Dieser Header kann vom Client gesetzt und gesendet oder von VPC Lattice generiert werden. Er wird an Ziele gesendet und ist auch in Zugriffsprotokollen verfügbar.

Beispiel (Standardantwort)

Das Folgende ist ein Beispiel für eine an den Client gesendete Antwort mit dem Standardverhalten von VPC Lattice, das einen Zufallswert für den Wert des x-amzn-requestid-Headers generiert.

{
    "HTTP/1.1 200 OK
    x-amzn-requestid: a9f2c7a1-6b4f-4c79-9e87-ff5a1234a001"
}

Beispiel (Kundenanfrage überschreiben)

Das Folgende ist ein Beispiel für eine vom Client gesendete Anfrage mit einem Header-Wert.

{
    "GET /my-service/endpoint HTTP/1.1 
    Host: my-api.example.com
    x-amzn-requestid: trace-request-foobar"
}

Beispiel (Standard-Override-Antwort)

Das Folgende ist ein Beispiel für eine Antwort, die mit dem überschriebenen Wert an den Client gesendet wurde.

{
    "HTTP/1.1 200 OK
    x-amzn-requestid: trace-request-foobar"
}

Auf den Inhalt des Protokolls zugreifen

Die folgende Tabelle beschreibt die Felder eines Zugriffsprotokolleintrags.

Beispiel

Es folgt ein Beispiel für einen Protokolleintrag.

{
    "callerPrincipalTags" : "{ "TagA": "ValA", "TagB": "ValB", ... }",
    "hostHeader": "example.com",
    "sslCipher": "-",
    "serviceNetworkArn": "arn:aws:vpc-lattice:us-west-2:123456789012:servicenetwork/svn-1a2b3c4d",
    "resolvedUser": "Unknown",
    "authDeniedReason": "null",
    "requestMethod": "GET",
    "targetGroupArn": "arn:aws:vpc-lattice:us-west-2:123456789012:targetgroup/tg-1a2b3c4d",
    "tlsVersion": "-",
    "userAgent": "-",
    "serverNameIndication": "-",
    "destinationVpcId": "vpc-0abcdef1234567890",
    "sourceIpPort": "178.0.181.150:80",
    "targetIpPort": "131.31.44.176:80",
    "serviceArn": "arn:aws:vpc-lattice:us-west-2:123456789012:service/svc-1a2b3c4d",
    "sourceVpcId": "vpc-0abcdef1234567890",
    "requestPath": "/billing",
    "startTime": "2023-07-28T20:48:45Z",
    "protocol": "HTTP/1.1",
    "responseCode": 200,
    "bytesReceived": 42,
    "bytesSent": 42,
    "duration": 375,
    "requestToTargetDuration": 1,
    "responseFromTargetDuration": 1,
    "grpcResponseCode": 1,
    "requestId": "a9f2c7a1-6b4f-4c79-9e87-ff5a1234a001"
}

Inhalt des Ressourcenzugriffsprotokolls

In der folgenden Tabelle werden die Felder eines Protokolleintrags für den Ressourcenzugriff beschrieben.

Beispiel

Es folgt ein Beispiel für einen Protokolleintrag.

{
    "eventTimestamp": "2024-12-02T10:10:10.123Z",
    "serviceNetworkArn": "arn:aws:vpc-lattice:us-west-2:1234567890:servicenetwork/sn-1a2b3c4d",
    "serviceNetworkResourceAssociationId": "snra-1a2b3c4d",
    "vpcEndpointId": "vpce-01a2b3c4d",
    "sourceVpcArn": "arn:aws:ec2:us-west-2:1234567890:vpc/vpc-01a2b3c4d",
    "resourceConfigurationArn": "arn:aws:vpc-lattice:us-west-2:0987654321:resourceconfiguration/rcfg-01a2b3c4d",
    "protocol": "tcp",
    "sourceIpPort": "172.31.23.56:44076",
    "destinationIpPort": "172.31.31.226:80",
    "gatewayIpPort": "10.0.28.57:49288",
    "resourceIpPort": "10.0.18.190:80"
}

Problembehandlung bei Zugriffsprotokollen

Dieser Abschnitt enthält eine Erläuterung der HTTP-Fehlercodes, die möglicherweise in Zugriffsprotokollen angezeigt werden.