Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra. # Journalisation des requêtes Resolver Vous pouvez enregistrer les requêtes DNS suivantes : + Les requêtes provenant d'Amazon Virtual Private Cloud VPCs que vous spécifiez, ainsi que les réponses à ces requêtes DNS. + Requêtes provenant de ressources locales qui utilisent un point de terminaison Resolver entrant. + Requêtes qui utilisent un point de terminaison Resolver sortant pour la résolution DNS récursive. + Requêtes utilisant les règles du pare-feu DNS Resolver pour bloquer, autoriser ou surveiller les listes de domaines. Les journaux de requêtes VPC Resolver incluent des valeurs telles que les suivantes : + La AWS région dans laquelle le VPC a été créé + L'ID du VPC d'origine de la requête + L'adresse IP de l'instance d'origine de la requête + L'ID d'instance de la ressource d'origine de la requête + La date et l'heure auxquelles la requête a été effectuée pour la première fois + Le nom DNS demandé (tel que prod.example.com) + Type de registre DNS (par exemple, A ou AAAA) + Code de réponse DNS, tel que `NoError` ou `ServFail` + Les données de réponse DNS, telles que l'adresse IP retournée en réponse à la requête DNS + Une réponse à une action de règle de pare-feu DNS Pour lire une liste détaillée de toutes les valeurs enregistrées et lire un exemple, veuillez consulter [Valeurs qui apparaissent dans les journaux de requêtes de VPC Resolver](resolver-query-logs-format.md). **Note** Comme c'est le cas pour les résolveurs DNS, les résolveurs mettent en cache les requêtes DNS pendant une durée déterminée par le time-to-live (TTL) du résolveur. Le résolveur VPC Route 53 met en cache les requêtes qui proviennent de vous VPCs et répond à partir du cache chaque fois que cela est possible pour accélérer les réponses. La journalisation des requêtes VPC Resolver enregistre uniquement les requêtes uniques, et non les requêtes auxquelles VPC Resolver est capable de répondre depuis le cache. Supposons par exemple qu'une instance EC2 dans l'une des configurations pour VPCs lesquelles une configuration de journalisation de requêtes enregistre des requêtes soumette une demande pour accounting.example.com. VPC Resolver met en cache la réponse à cette requête et enregistre la requête. Si l'interface Elastic Network de la même instance lance une requête pour accounting.example.com dans le TTL du cache du VPC Resolver, VPC Resolver répond à la requête depuis le cache. La deuxième requête n'est pas consignée. Vous pouvez envoyer les journaux à l'une des AWS ressources suivantes : + Groupe de CloudWatch journaux Amazon CloudWatch Logs (Logs) + Compartiment Amazon S3 (S3) + Flux de diffusion Firehose Pour de plus amples informations, veuillez consulter [AWS ressources auxquelles vous pouvez envoyer les journaux de requêtes de VPC Resolver](resolver-query-logs-choosing-target-resource.md). **Topics** + [AWS ressources auxquelles vous pouvez envoyer les journaux de requêtes de VPC Resolver](resolver-query-logs-choosing-target-resource.md) + [Gestion des configurations de journalisation des requêtes Resolver](resolver-query-logging-configurations-managing.md) # AWS ressources auxquelles vous pouvez envoyer les journaux de requêtes de VPC Resolver **Note** Si vous prévoyez de consigner les requêtes pour les charges de travail avec des requêtes élevées par seconde (QPS), vous devez utiliser Amazon S3 pour vous assurer que vos journaux de requêtes ne sont pas limités lorsqu'ils sont écrits sur votre destination. Si vous utilisez Amazon CloudWatch, vous pouvez augmenter la limite de demandes par seconde pour l'`PutLogEvents`opération. Pour en savoir plus sur l'augmentation de vos CloudWatch limites, consultez la section [Quotas de CloudWatch journaux](https://docs.aws.amazon.com/AmazonCloudWatch/latest/logs/cloudwatch_limits_cwl.html) dans le *guide de CloudWatch l'utilisateur Amazon*. Vous pouvez envoyer les journaux de requêtes VPC Resolver aux ressources suivantes : AWS **Groupe de CloudWatch journaux Amazon CloudWatch Logs (Amazon Logs)** Vous pouvez analyser les journaux à l'aide de Logs Insights et créer des métriques et des alarmes. Pour plus d'informations, consultez le [guide de l'utilisateur d'Amazon CloudWatch Logs](https://docs.aws.amazon.com/AmazonCloudWatch/latest/logs/). **Compartiment Amazon S3 (S3)** Un compartiment S3 est économique pour un archivage à long terme. La latence est généralement plus élevée. Toutes les options de chiffrement côté serveur S3 sont prises en charge. Pour plus d'informations, consultez la section [Protection des données avec un chiffrement côté serveur](https://docs.aws.amazon.com/AmazonS3/latest/userguide/serv-side-encryption.html) dans le *Guide de l'utilisateur d'Amazon S3*. Si vous choisissez le chiffrement côté serveur avec AWS KMS clés (SSE-KMS), vous devez mettre à jour la politique des clés pour votre clé gérée par le client afin que le compte de livraison du journal puisse écrire dans votre compartiment Amazon S3. *Pour plus d'informations sur la politique de clé requise pour une utilisation avec SSE-KMS, consultez la section Chiffrement [côté serveur du compartiment Amazon S3 dans](https://docs.aws.amazon.com/AmazonCloudWatch/latest/logs/AWS-logs-infrastructure-V2-S3.html#AWS-logs-SSE-KMS-S3-V2) le guide de l'utilisateur Amazon. CloudWatch * Si le compartiment S3 se trouve dans un compte que vous possédez, les autorisations requises sont automatiquement ajoutées à votre stratégie de compartiment. Si vous souhaitez envoyer des journaux à un compartiment S3 dans un compte que vous ne possédez pas, le propriétaire du compartiment S3 doit ajouter des autorisations pour votre compte dans sa stratégie de compartiment. Par exemple : **** ``` { "Version":"2012-10-17", "Id": "CrossAccountAccess", "Statement": [ { "Effect": "Allow", "Principal": { "Service": "delivery.logs.amazonaws.com" }, "Action": "s3:PutObject", "Resource": "arn:aws:s3:::your_bucket_name/AWSLogs/your_caller_account/*" }, { "Effect": "Allow", "Principal": { "Service": "delivery.logs.amazonaws.com" }, "Action": "s3:GetBucketAcl", "Resource": "arn:aws:s3:::your_bucket_name" }, { "Effect": "Allow", "Principal": { "AWS": "iam_user_arn_or_account_number_for_root" }, "Action": "s3:ListBucket", "Resource": "arn:aws:s3:::your_bucket_name" } ] } ``` Si vous souhaitez stocker des journaux dans un compartiment S3 central pour votre organisation, nous vous recommandons de configurer vos paramètres de journalisation des requêtes à partir d'un compte centralisé (avec les autorisations nécessaires pour écrire dans un compartiment central) et d'utiliser [RAM](query-logging-configurations-managing-sharing.md) pour partager la configuration entre les comptes. Pour en savoir plus, consultez [Guide de l’utilisateur Amazon Simple Storage Service](https://docs.aws.amazon.com/AmazonS3/latest/userguide/). **Flux de diffusion Firehose** Vous pouvez diffuser les journaux en temps réel vers Amazon OpenSearch Service, Amazon Redshift ou d'autres applications. Pour plus d'informations, consultez le guide du [développeur Amazon Data Firehose](https://docs.aws.amazon.com/firehose/latest/dev/). Pour plus d'informations sur la tarification de la journalisation des requêtes Resolver, consultez les [ CloudWatch tarifs Amazon](https://aws.amazon.com/cloudwatch/pricing/). CloudWatch Les frais de Vended Logs s'appliquent lors de l'utilisation de journaux VPC Resolver, même lorsque les journaux sont publiés directement sur Amazon S3. Pour plus d'informations, consultez la section [*Tarification des journaux* sur Amazon CloudWatch ](https://aws.amazon.com//cloudwatch/pricing/#Vended_Logs). # Gestion des configurations de journalisation des requêtes Resolver ## Configuration (journalisation des requêtes du résolveur VPC) Vous pouvez configurer la journalisation des requêtes VPC Resolver de deux manières : + Association **directe de VPC : associez** VPCs directement à une configuration de journalisation des requêtes. + **Association de profils** : associez une configuration de journalisation des requêtes à un profil Route 53, ce qui applique la journalisation à tous VPCs ceux associés à ce profil. Pour de plus amples informations, veuillez consulter [Associer les configurations de journalisation des requêtes de VPC Resolver à un profil Route 53](profile-associate-query-logging.md). Pour commencer à enregistrer les requêtes DNS provenant de votre VPCs, vous devez effectuer les tâches suivantes dans la console Amazon Route 53 : **Pour configurer la journalisation des requêtes Resolver** 1. Connectez-vous à la console Route 53 AWS Management Console et ouvrez-la à l'adresse [https://console.aws.amazon.com/route53/](https://console.aws.amazon.com/route53/). 1. Développez le menu de la console Route 53. Dans le coin supérieur gauche de la console, sélectionnez l'icone des trois barres horizontales (![\[Menu icon\]](http://docs.aws.amazon.com/fr_fr/Route53/latest/DeveloperGuide/images/menu-icon.png) 1. Dans le menu Resolver, choisissez **Query logging (Journalisation des requêtes)**. 1. Dans le sélecteur de région, choisissez la AWS région dans laquelle vous souhaitez créer la configuration de journalisation des requêtes. Il doit s'agir de la même région que celle dans laquelle vous avez créé VPCs celle pour laquelle vous souhaitez enregistrer les requêtes DNS. Si vous avez plusieurs VPCs régions, vous devez créer au moins une configuration de journalisation des requêtes pour chaque région. 1. Choisissez **Configure query logging (Configurer la journalisation des requêtes)**. 1. Indiquez l'une des valeurs suivantes : **Nom de la configuration de journalisation des requêtes** Saisissez un nom pour votre configuration de journalisation des requêtes. Le nom s'affiche dans la console, dans la liste des configurations de journalisation des requêtes. Saisissez un nom qui vous aidera à retrouver la configuration plus tard. **Destination des journaux de requête** Choisissez le type de AWS ressource à laquelle vous souhaitez que VPC Resolver envoie les journaux de requêtes. Pour plus d'informations sur le choix entre les options (groupe de CloudWatch journaux, compartiment S3 et flux de diffusion Firehose), consultez. [AWS ressources auxquelles vous pouvez envoyer les journaux de requêtes de VPC Resolver](resolver-query-logs-choosing-target-resource.md) Après avoir choisi le type de ressource, vous pouvez créer une autre ressource de ce type ou choisir une ressource existante créée par le AWS compte courant. Vous pouvez uniquement choisir uniquement les ressources qui ont été créées dans la région AWS que vous avez choisie à l'étape 4, c'est-à-dire la région dans laquelle vous créez la configuration de journalisation des requêtes. Si vous choisissez de créer une nouvelle ressource, celle-ci sera créée dans la même région. **VPCs pour enregistrer les requêtes pour** Cette configuration d'enregistrement des requêtes enregistrera les requêtes DNS qui proviennent du fichier VPCs que vous avez choisi. **Cochez la case pour chaque VPC de la région actuelle pour lequel vous souhaitez que VPC Resolver enregistre les requêtes, puis choisissez Choisir.** **Alternative** : au lieu de l'associer VPCs directement, vous pouvez associer cette configuration de journalisation des requêtes à un profil Route 53, qui appliquera la journalisation à tous VPCs ceux associés à ce profil. Pour de plus amples informations, veuillez consulter [Associer les configurations de journalisation des requêtes de VPC Resolver à un profil Route 53](profile-associate-query-logging.md). La diffusion des journaux VPC ne peut être activée qu'une seule fois pour un type de destination spécifique. Les journaux ne peuvent pas être diffusés vers plusieurs destinations du même type. Par exemple, les journaux VPC ne peuvent pas être livrés à 2 destinations Amazon S3. 1. Choisissez **Configure query logging (Configurer la journalisation des requêtes)**. **Note** Vous devriez commencer à voir ces requêtes DNS exécutées par les ressources de votre VPC dans les journaux quelques minutes après avoir créé avec succès la configuration de journalisation. # Valeurs qui apparaissent dans les journaux de requêtes de VPC Resolver Chaque fichier journal contient une entrée de journal par requête DNS qu'Amazon Route 53 a reçu de la part de résolveurs DNS à l'emplacement périphérique correspondant. Chaque entrée du journal contient les valeurs suivantes : **version** Le numéro de version de ce journal de requêtes. La version actuelle est `1.1`. La valeur de la version est une version majeure et mineure au format **major\$1version.minor\$1version**. Par exemple, vous pouvez avoir une valeur `version` de `1.7`, où `1 ` est la version majeure, et `7` est la version mineure. La version majeure est incrémentée si Route 53 apporte à la structure du journal une modification qui n'est pas rétrocompatible. Cela inclut la suppression d'un champ JSON déjà existant ou la modification de la représentation du contenu d'un champ (par exemple, un format de date). La version mineure est incrémentée si Route 53 ajoute de nouveaux champs au fichier journal. Cela peut se produire si de nouvelles informations sont disponibles pour certaines ou toutes les requêtes DNS existantes dans un VPC. **account\$1id** L'ID du AWS compte qui a créé le VPC. **region** La AWS région dans laquelle vous avez créé le VPC. **vpc\$1id** L'ID du VPC d'origine de la requête. **query\$1timestamp** La date et l'heure à laquelle la requête a été soumise, au format ISO 8601 et en temps universel coordonné (UTC), par exemple `2017-03-16T19:20:177Z`. Pour plus d'informations sur le format ISO 8601, consultez l'article Wikipédia [ISO 8601](https://en.wikipedia.org/wiki/ISO_8601). Pour plus d'informations sur UTC, consultez l'article Wikipédia [Temps universel coordonné](https://en.wikipedia.org/wiki/Coordinated_Universal_Time). **query\$1name** Le nom de domaine (example.com) ou nom de sous-domaine (www.example.com) indiqué dans la requête. **query\$1type** Type de registre DNS indiqué dans la requête, ou `ANY`. Pour en savoir plus sur les types pris en charge par Route 53, veuillez consulter [Types d'enregistrements DNS pris en charge](ResourceRecordTypes.md). **query\$1class** La classe de la requête. **rcode** Le code de réponse DNS renvoyé par VPC Resolver en réponse à la requête DNS. Il indique si la requête était valide ou non. Le code de réponse le plus courant est `NOERROR`, ce qui signifie que la requête était valide. Si la réponse indique qu'elle n'est pas valide, Resolver retourne un code de réponse qui explique pourquoi elle ne l'est pas. Pour une liste des codes de réponse possibles, consultez le [DNS RCODEs](https://www.iana.org/assignments/dns-parameters/dns-parameters.xhtml#dns-parameters-6) sur le site Web de l'IANA. **answer\$1type** Type d'enregistrement DNS (tel que A, MX ou CNAME) de la valeur renvoyée par VPC Resolver en réponse à la requête. Pour en savoir plus sur les types pris en charge par Route 53, veuillez consulter [Types d'enregistrements DNS pris en charge](ResourceRecordTypes.md). **rdata** La valeur renvoyée par VPC Resolver en réponse à la requête. Par exemple, pour un enregistrement A, il s'agit d'une adresse IP au IPv4 format. Pour un registre CNAME, il s'agit du nom de domaine dans le registre CNAME. **answer\$1class** Classe de réponse du résolveur VPC à la requête. **srcaddr** Adresse IP de l'hôte à l'origine de la requête. **srcport** Le port de l'instance d'origine de la requête. **transport** Le protocole utilisé pour soumettre la requête DNS. **srcids** IDs du `instance``resolver_endpoint`, et de `resolver_network_interface` celui d'où provient ou est passée la requête DNS. **instance** L'ID de l'instance d'origine de la requête. Si vous voyez un ID d'instance dans les journaux de requêtes de Route 53 VPC Resolver qui n'est pas visible dans votre compte, cela peut être dû au fait que la requête DNS provient soit d' AWS Lambda Amazon EKS AWS CloudShell, soit de la console Fargate, que vous avez utilisée. **resolver\$1endpoint** L'ID du point de terminaison du résolveur qui transmet la requête DNS aux serveurs DNS locaux. Si vous avez des enregistrements CNAME qui intègrent différentes règles de transfert utilisant différents points de terminaison du résolveur, les journaux des requêtes indiquent uniquement l'ID du dernier point de terminaison du résolveur utilisé dans la chaîne. Pour suivre le chemin de résolution complet sur plusieurs points de terminaison, vous pouvez corréler les journaux entre différentes configurations de journalisation des requêtes. **firewall\$1rule\$1group\$1id** L'ID du groupe de règles de pare-feu DNS correspondant au nom de domaine de la requête. Ce champ n'est renseigné que si le pare-feu DNS a trouvé une correspondance pour une règle dont l'action est définie pour alerter ou bloquer. Pour plus d'informations sur les groupes de règles de pare-feu, consultez [Règles et groupes de règles de pare-feu DNS](resolver-dns-firewall-rule-groups.md). **firewall\$1rule\$1action** L'action indiquée par la règle qui correspond au nom de domaine de la requête. Ce champ n'est renseigné que si le pare-feu DNS a trouvé une correspondance pour une règle dont l'action est définie pour alerter ou bloquer. **firewall\$1domain\$1list\$1id** La liste des domaines indiquée par la règle qui correspond au nom de domaine de la requête. Ce champ n'est renseigné que si le pare-feu DNS a trouvé une correspondance pour une règle dont l'action est définie pour alerter ou bloquer. **additional\$1properties** Informations supplémentaires sur les événements de livraison du journal. **is\$1delayed** : s'il y a un retard dans la livraison des journaux. # Exemple de journal de requêtes Route 53 VPC Resolver Voici un exemple de journal de requête d'un résolveur : ``` { "srcaddr": "4.5.64.102", "vpc_id": "vpc-7example", "answers": [ { "Rdata": "203.0.113.9", "Type": "PTR", "Class": "IN" } ], "firewall_rule_group_id": "rslvr-frg-01234567890abcdef", "firewall_rule_action": "BLOCK", "query_name": "15.3.4.32.in-addr.arpa.", "firewall_domain_list_id": "rslvr-fdl-01234567890abcdef", "query_class": "IN", "srcids": { "instance": "i-0d15cd0d3example" }, "rcode": "NOERROR", "query_type": "PTR", "transport": "UDP", "version": "1.100000", "account_id": "111122223333", "srcport": "56067", "query_timestamp": "2021-02-04T17:51:55Z", "region": "us-east-1" } ``` # Partage des configurations de journalisation des requêtes de Resolver avec d'autres comptes AWS Vous pouvez partager les configurations de journalisation des requêtes que vous avez créées à l'aide d'un AWS compte avec d'autres AWS comptes. Pour partager des configurations, la console Route 53 VPC Resolver s'intègre à AWS Resource Access Manager. Pour plus d'informations sur Resource Access Manager, consultez le [Guide de l'utilisateur Resource Access Manager](https://docs.aws.amazon.com/ram/latest/userguide/what-is.html). Notez ce qui suit : **Association à VPCs des configurations de journalisation de requêtes partagées** Si un autre AWS compte a partagé une ou plusieurs configurations avec le vôtre, vous pouvez l' VPCs associer à la configuration de la même manière que vous l' VPCs associez aux configurations que vous avez créées. **Suppression ou annulation du partage d'une configuration** Si vous partagez une configuration avec d'autres comptes, puis que vous la supprimez ou que vous arrêtez de la partager, et si un ou plusieurs comptes VPCs étaient associés à la configuration, le résolveur VPC Route 53 arrête de consigner les requêtes DNS provenant de ces comptes. VPCs **Nombre maximum de configurations de journalisation des requêtes VPCs pouvant être associées à une configuration** Lorsqu'un compte crée une configuration et la partage avec un ou plusieurs autres comptes, le nombre maximum de comptes VPCs pouvant être associés à la configuration est appliqué par compte. Par exemple, si votre organisation possède 10 000 comptes, vous pouvez créer la configuration de journalisation des requêtes dans le compte central et la partager AWS RAM pour la partager avec les comptes de l'organisation. Les comptes de l'organisation associeront ensuite la configuration à leur VPCs comptage par rapport aux associations VPC de configuration du journal des requêtes de leur compte par Région AWS limite de 100. Toutefois, s' VPCs ils se trouvent tous dans un seul compte, il peut être nécessaire d'augmenter les limites de service du compte. Pour les quotas actuels du résolveur VPC, consultez. [Quotas sur le résolveur VPC Route 53](DNSLimitations.md#limits-api-entities-resolver) **Permissions** Pour partager une règle avec un autre AWS compte, vous devez être autorisé à utiliser l'[PutResolverQueryLogConfigPolicy](https://docs.aws.amazon.com/Route53/latest/APIReference/API_route53resolver_PutResolverQueryLogConfigPolicy.html)action. **Restrictions relatives au AWS compte avec lequel une règle est partagée** Le compte avec lequel une règle est partagée ne peut pas modifier ni supprimer la règle. **Identification** Seul le compte qui a créé une règle peut ajouter, supprimer ou consulter les balises de la règle. Pour consulter le statut de partage actuel d'une règle (y compris le compte qui a partagé la règle ou le compte avec lequel une règle est partagée) et partager des règles avec un autre compte, exécutez la procédure suivante. **Pour consulter l'état du partage et partager les configurations de journalisation des requêtes avec un autre AWS compte** 1. Connectez-vous à la console Route 53 AWS Management Console et ouvrez-la à l'adresse [https://console.aws.amazon.com/route53/](https://console.aws.amazon.com/route53/). 1. Dans le panneau de navigation, choisissez **Query Logging (Journalisation des requêtes)**. 1. Dans la barre de navigation, choisissez la région dans laquelle vous avez créé la règle. La colonne **Sharing status (Statut de partage)** affiche le statut de partage actuel des règles qui ont été créées par le compte actuel ou qui sont partagées avec le compte actuel : + **Non partagé** : le AWS compte actuel a créé la règle, et celle-ci n'est partagée avec aucun autre compte. + **Shared by me (Partagé par moi)** : le compte actuel a créé la règle et l'a partagée avec un ou plusieurs comptes. + **Shared with me (Partagé avec moi)** : un autre compte a créé la règle et l'a partagée avec le compte actuel. 1. Choisissez le nom de la règle dont vous souhaitez afficher les informations de partage ou que vous souhaitez partager avec un autre compte. Sur la *rule name* page **Règle :**, la valeur sous **Propriétaire** indique l'ID du compte qui a créé la règle. Il s'agit du compte actuel, à moins que la valeur **Sharing status (Statut de partage)** soit **Shared with me (Partagée avec moi)**. Dans ce cas, l'option **Owner (Propriétaire)** désigne le compte qui a créé la règle et l'a partagée avec le compte actuel. L'état du partage est également affiché. 1. Choisissez **Partager la configuration** pour ouvrir la AWS RAM console 1. Pour créer un partage de ressources, suivez les étapes décrites dans la section [Création d'un partage de ressources AWS RAM dans](https://docs.aws.amazon.com/ram/latest/userguide/working-with-sharing-create.html) le *guide de AWS RAM l'utilisateur*. **Note** Vous ne pouvez pas mettre à jour les paramètres de partage. Si vous voulez modifier l'un des paramètres suivants, vous devez repartager une règle avec les nouveaux paramètres, puis supprimer les anciens paramètres de partage.