Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

Registros de acceso a Amazon VPC Lattice

Los registros de acceso recopilan información detallada sobre sus servicios y configuraciones de recursos de VPC Lattice. Puede usar estos registros de acceso para analizar los patrones de tráfico y controlar todos los servicios de la red. Para los servicios de VPC Lattice, publicamos VpcLatticeAccessLogs y para las configuraciones de recursos, publicamos las VpcLatticeResourceAccessLogs que deben configurarse por separado.

Los registros de acceso son opcionales y están deshabilitados de forma predeterminada. Después de habilitar los registros de acceso, puede deshabilitarlos en cualquier momento.

Precios

Los cargos se aplican cuando se publican los registros de acceso. Los registros que se publican de AWS forma nativa en su nombre se denominan registros vendidos. Para obtener más información sobre los precios de los registros vendidos, consulta los CloudWatch precios de Amazon, selecciona Logs y consulta los precios en Vended Logs.

IAMpermisos necesarios para habilitar los registros de acceso

Para habilitar los registros de acceso y enviarlos a sus destinos, debe incluir las siguientes acciones en la política asociadas al IAM usuario, grupo o rol que esté utilizando.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Sid": "ManageVPCLatticeAccessLogSetup",
            "Action": [
                "logs:CreateLogDelivery",
                "logs:GetLogDelivery",
                "logs:UpdateLogDelivery",
                "logs:DeleteLogDelivery",
                "logs:ListLogDeliveries",
                "vpc-lattice:CreateAccessLogSubscription",
                "vpc-lattice:GetAccessLogSubscription",
                "vpc-lattice:UpdateAccessLogSubscription",
                "vpc-lattice:DeleteAccessLogSubscription",
                "vpc-lattice:ListAccessLogSubscriptions"
            ],
            "Resource": [
                "*"
            ]
        }
    ]
}            

Para obtener más información, consulte Añadir y eliminar permisos de IAM identidad en la Guía del AWS Identity and Access Management usuario.

Una vez que haya actualizado la política asociada al IAM usuario, grupo o rol que esté utilizando, vaya aHabilitación de registros de acceso.

Destinos de registro de acceso

Puede enviar registros de acceso a los siguientes destinos.

Habilitación de registros de acceso

Complete el siguiente procedimiento para configurar los registros de acceso a fin de capturar y entregar los registros de acceso al destino que elija.

Habilitación de registro de acceso desde la consola

Puede habilitar los registros de acceso para una red de servicios, un servicio o una configuración de recursos durante la creación. También puede habilitar los registros de acceso después de crear una configuración de red de servicio, servicio o recurso, tal como se describe en el siguiente procedimiento.

Habilitación de registros de acceso mediante la AWS CLI

Use el CLI comando create-access-log-subscriptionpara habilitar los registros de acceso a las redes o servicios de servicio.

Contenidos del registro de acceso

En la siguiente tabla se describen los campos de una entrada de registro de acceso.

Ejemplo

A continuación, se muestra un ejemplo de entrada de registro.

{
    "hostHeader": "example.com",
    "sslCipher": "-",
    "serviceNetworkArn": "arn:aws:vpc-lattice:us-west-2:123456789012:servicenetwork/svn-1a2b3c4d",
    "resolvedUser": "Unknown",
    "authDeniedReason": "null",
    "requestMethod": "GET",
    "targetGroupArn": "arn:aws:vpc-lattice:us-west-2:123456789012:targetgroup/tg-1a2b3c4d",
    "tlsVersion": "-",
    "userAgent": "-",
    "serverNameIndication": "-",
    "destinationVpcId": "vpc-0abcdef1234567890",
    "sourceIpPort": "178.0.181.150:80",
    "targetIpPort": "131.31.44.176:80",
    "serviceArn": "arn:aws:vpc-lattice:us-west-2:123456789012:service/svc-1a2b3c4d",
    "sourceVpcId": "vpc-0abcdef1234567890",
    "requestPath": "/billing",
    "startTime": "2023-07-28T20:48:45Z",
    "protocol": "HTTP/1.1",
    "responseCode": 200,
    "bytesReceived": 42,
    "bytesSent": 42,
    "duration": 375,
    "requestToTargetDuration": 1,
    "responseFromTargetDuration": 1,
    "grpcResponseCode": 1
}

Contenido del registro de acceso a los recursos

En la siguiente tabla se describen los campos de una entrada del registro de acceso a los recursos.

Ejemplo

A continuación, se muestra un ejemplo de entrada de registro.

{
    "eventTimestamp": "2024-12-02T10:10:10.123Z",
    "serviceNetworkArn": "arn:aws:vpc-lattice:us-west-2:1234567890:servicenetwork/sn-1a2b3c4d",
    "serviceNetworkResourceAssociationId": "snra-1a2b3c4d",
    "vpcEndpointId": "vpce-01a2b3c4d",
    "sourceVpcArn": "arn:aws:ec2:us-west-2:1234567890:vpc/vpc-01a2b3c4d",
    "resourceConfigurationArn": "arn:aws:vpc-lattice:us-west-2:0987654321:resourceconfiguration/rcfg-01a2b3c4d",
    "protocol": "tcp",
    "sourceIpPort": "172.31.23.56:44076",
    "destinationIpPort": "172.31.31.226:80",
    "gatewayIpPort": "10.0.28.57:49288",
    "resourceIpPort": "10.0.18.190:80"
}

Solución de problemas en el registro de acceso

Esta sección contiene una explicación de los códigos de HTTP error que pueden aparecer en los registros de acceso.