Registro de solicitudes con registro de acceso al servidor
El registro de acceso al servidor brinda registros detallados para las solicitudes realizadas a un bucket. Los registros de acceso al servidor se pueden utilizar para realizar análisis operativos, comprender su postura de seguridad y cobrar a los usuarios.
Amazon S3 recopila periódicamente registros de acceso, los consolida y los envía al destino que elija. Puede enviar los registros a Registros de Amazon CloudWatch o a un bucket de uso general de Amazon S3.
nota
Los registros de acceso del servidor no registran información relacionada con errores de redirección a regiones erróneas para las regiones lanzadas después del 20 de marzo de 2019. Los errores de redirección de región incorrecta se producen cuando se realiza una solicitud de un objeto o bucket fuera de la región en la que existe el bucket.
Opciones de entrega
Puede entregar los registros de acceso al servidor a dos destinos. Puede usar uno o ambos.
-
Registros de Amazon CloudWatch: envía registros en formato estructurado a un grupo de registros de Registros de CloudWatch. Puede consultar los registros con información de Registros de CloudWatch, agregar registros de cuentas y regiones y cifrar registros con AWS KMS. Desde el grupo de registros, también puede enviar registros a Amazon S3 en formato JSON o Apache Parquet, o duplicar registros a tablas de S3 en formato Apache Iceberg para análisis de SQL. Se aplican tarifas de ingesta de registros del proveedor de CloudWatch.
-
Bucket de uso general de Amazon S3: envía registros en formato de texto delimitado por espacios a un bucket de Amazon S3 que especifique. La entrega de registros no conlleva ningún cargo. Solo paga por el almacenamiento de los archivos de registros. El bucket de destino debe estar en la misma Región de AWS y Cuenta de AWS que el bucket de origen.
En la tabla siguiente, se comparan las dos opciones de entrega.
| Funcionalidad | Registros de Amazon CloudWatch | Bucket de uso general de Amazon S3 |
|---|---|---|
| Destinos | Grupo de registro de Registros de CloudWatch, Amazon S3 (JSON o Parquet) o Amazon Data Firehose. La entrega de grupos de registros de Registros de CloudWatch se puede ampliar para duplicar los registros en tablas de S3 en formato Iceberg. | Bucket de Amazon S3 (texto delimitado por espacios) |
| Formato de registro | JSON estructurado (grupo de registros), JSON o Apache Parquet (Amazon S3), Apache Iceberg (tablas de S3) | Texto delimitado por espacios |
| Consulta | Información de Registros de CloudWatch (grupo de registros), Amazon Athena o Spark (tablas de S3) | Amazon Athena |
| Análisis de SQL mediante tablas de S3 | Sí (duplicado de Iceberg automático) | No (requiere ETL) |
| Agregación entre cuentas | Sí (los destinos de Amazon S3 y Firehose admiten la entrega entre cuentas) | No (solo en la misma cuenta) |
| Agregación entre regiones | Sí (los destinos de Amazon S3 y Firehose admiten la entrega entre regiones) | No (solo en la misma región) |
| AWS KMSCifrado de | Sí | No (solo SSE-S3) |
| Configuración | API de Registros de CloudWatch o consola de Amazon S3. | API de Amazon S3 (PutBucketLogging) o consola |
| Latencia de entrega | Unas horas | Unas horas |
Envío de archivos de registro de servidor según el mejor esfuerzo
Las entradas de registro de acceso al servidor se envían según el "mejor esfuerzo", es decir, en la medida que sea posible. En la mayoría de las solicitudes de registros para un bucket debidamente configurado se envían archivos de registro. La mayoría de las entradas de registro se envían en el plazo de unas horas después de su registro, pero se pueden entregar con mayor frecuencia.
No se garantiza que los registros de servidores estén completos ni que lleguen de manera puntual. La entrada de registro de una solicitud determinada puede enviarse mucho después de que la solicitud se haya procesado realmente, y es probable no se envíe en absoluto. Es posible que incluso vea una duplicación de una entrada de registro. El objetivo de los registros de servidores es darle una idea de la naturaleza del tráfico al que se enfrenta su bucket. Aunque es poco usual perder o duplicar entradas registros, tenga en cuenta que el registro del servidor no pretende ser un recuento completo de todas las solicitudes.
Debido a la naturaleza de mejor esfuerzo del registro de servidores, sus informes de uso podrían incluir una o varias solicitudes de acceso que no aparecen en un registro de servidor enviado. Puede encontrar estos informes de uso en Informes de costes y uso en la consola de Administración de facturación y costos de AWS.
Los cambios del estado de los registros del bucket surten efecto con el tiempo
Los cambios del estado de registros de un bucket demoran un tiempo en implementarse efectivamente en el envío de archivos de registro. Por ejemplo, si habilita los registros para un bucket, algunas solicitudes que se realizan a la hora siguiente pueden registrarse, mientras que otras no. Supongamos que cambia el bucket de destino para registros del bucket A al bucket B. Es posible que algunos registros para la siguiente hora se sigan entregando al bucket A, mientras que otros se envíen al bucket B del destino nuevo. De forma similar, si cambia el grupo de registros de Registros de CloudWatch usado para la entrega, es posible que algunos registros se sigan entregando al grupo de registros anterior durante la transición. En todos los casos, finalmente se aplica la nueva configuración sin que tenga que adoptar medidas adicionales.
Precios
El costo del registro de acceso al servidor depende de la opción de entrega que utilice.
-
Registros de Amazon CloudWatch: se paga por la ingesta según las tarifas de los registros del proveedor de CloudWatch, con precios escalonados basados en el volumen. Registros de CloudWatch comprime los registros antes de almacenarlos, por lo que el volumen almacenado es considerablemente inferior al volumen ingerido. Si habilita el duplicado de tablas de S3, no se cobrará ningún cargo adicional por el almacenamiento o el mantenimiento de las tablas. Solo paga por las solicitudes de consulta a los precios de las tablas de S3. Para ver las tarifas actuales, consulte Precios de CloudWatch
. -
Bucket de uso general de Amazon S3: la entrega de registros no conlleva ningún cargo. Solo paga por el almacenamiento de los archivos de registro con las tarifas de almacenamiento estándar de Amazon S3. No contemplamos los cargos de transferencia de datos por la entrega de los archivos de registro, pero sí aplicamos el cargo de la tasa normal de transferencia de datos por obtener acceso a los archivos de registro. Para conocer las tarifas actuales, consulte Precios de Amazon S3
.
Para obtener más información acerca de la entrega y el uso de registros de acceso al servidor, consulte las siguientes secciones.
