Erstellen eines Flow-Protokolls, das in CloudWatch Logs veröffentlicht - Amazon Virtual Private Cloud

Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Erstellen eines Flow-Protokolls, das in CloudWatch Logs veröffentlicht

Sie können Flow-Protokolle für Ihre VPCs Subnetze oder Netzwerkschnittstellen erstellen. Wenn Sie diese Schritte als Benutzer ausführen, der eine bestimmte IAM Rolle verwendet, stellen Sie sicher, dass die Rolle über Berechtigungen zum Verwenden der iam:PassRole Aktion verfügt.

Voraussetzung

Vergewissern Sie sich, dass der IAM Prinzipal, den Sie zum Erstellen der Anforderung verwenden, über Berechtigungen verfügt, um die iam:PassRole Aktion aufzurufen.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": ["iam:PassRole"],
      "Resource": "arn:aws:iam::account-id:role/flow-log-role-name"
    }
  ]
}
So erstellen Sie ein Flow-Protokoll mithilfe der Konsole

  1. Führen Sie eine der folgenden Aktionen aus:

  2. Klicken Sie auf Actions (Aktionen), Create flow log (Flow-Protokoll erstellen).

  3. Geben Sie für Filter den Typ des zu protokollierenden Verkehrs an. Wählen Sie All (Alle) aus, um sämtlichen akzeptierten und abgelehnten Datenverkehr, Reject (Ablehnen), um nur abgelehnten Datenverkehr, oder Accept (Akzeptieren), um nur akzeptierten Datenverkehr aufzuzeichnen.

  4. Wählen Sie unter Maximum aggregation interval (Maximales Aggregationsintervall) den maximalen Zeitraum aus, in dem ein Flow erfasst und zu einem Flow-Protokolldatensatz aggregiert wird.

  5. Wählen Sie als Ziel die Option An CloudWatchProtokolle senden aus.

  6. Wählen Sie für Zielprotokollgruppe den Namen einer vorhandenen Protokollgruppe aus oder geben Sie den Namen einer neuen Protokollgruppe ein. Wenn Sie einen Namen eingeben, erstellen wir die Protokollgruppe, wenn es zu protokollierenden Verkehr gibt.

  7. Geben Sie im IAMFeld role (Rolle) den Namen der Rolle an, die die die Berechtigungen zum Veröffentlichen von Protokollen in CloudWatch Logs besitzt.

  8. Für Log record format (Datensatzformat protokollieren) wählen Sie das Format für den Flow-Protokolldatensatz aus.

    • Wenn Sie das Standardformat verwenden möchten, wählen Sie AWS default format (-Standardformat) aus.

    • Um ein benutzerdefiniertes Format zu verwenden, wählen Sie Custom format (Benutzerdefiniertes Format) und dann Felder aus Log format (Format protokollieren) aus.

  9. Wählen Sie unter Zusätzliche Metadaten aus, ob Sie Metadaten von Amazon ECS in das Protokollformat aufnehmen möchten.

  10. (Optional) Wählen Sie Add new tag (Neuen Tag hinzufügen) aus, um Tags auf das Flow-Protokoll anzuwenden.

  11. Wählen Sie Create flow log (Flussprotokoll erstellen) aus.

So erstellen Sie ein Flow-Protokoll mit der Befehlszeile

Verwenden Sie einen der folgenden Befehle.

Im folgenden AWS CLI Beispiel für die wird ein Flow-Protokoll erstellt, das den gesamten zulässigen Datenverkehr für das angegebene Subnetz erfasst. Die Flow-Protokolle werden an die angegebene Protokollgruppe übermittelt. Der --deliver-logs-permission-arn Parameter gibt die IAM Rolle an, die für die Veröffentlichung in CloudWatch Logs erforderlich ist.

aws ec2 create-flow-logs --resource-type Subnet --resource-ids subnet-1a2b3c4d --traffic-type ACCEPT --log-group-name my-flow-logs --deliver-logs-permission-arn arn:aws:iam::123456789101:role/publishFlowLogs