Journalisation du gestionnaire de courrier

Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

La journalisation du gestionnaire de courrier fournit une visibilité détaillée des opérations de votre gestionnaire de courrier. La fonctionnalité de journalisation suit le flux des messages depuis leur réception initiale aux points de terminaison d'entrée jusqu'au traitement des messages en fonction des ensembles de règles et des règles que vous avez configurés.

Mail Manager propose la journalisation des ressources suivantes :

Mail Manager fournit les journaux à l'aide du service Amazon CloudWatch Logs et les journaux peuvent être envoyés vers l'une des destinations suivantes : CloudWatch Logs, Amazon S3 ou Amazon Data Firehose.

Configuration de la livraison du journal Mail Manager

La livraison d'un journal de travail comprend trois éléments :

Cette section explique comment créer ces objets ainsi que les autorisations nécessaires pour utiliser la journalisation de Mail Manager.

Prérequis

Avant de configurer la journalisation de Mail Manager, assurez-vous que :

Autorisations requises

Vous devez configurer les autorisations relatives aux journaux vendus, comme expliqué dans la section Journalisation nécessitant des autorisations supplémentaires [V2] du guide de l'utilisateur d'Amazon CloudWatch Logs, et appliquer les autorisations correspondant à votre destination de livraison :

En outre, Mail Manager nécessite les autorisations utilisateur suivantes pour configurer la remise des journaux :

{
    "Version": "2012-10-17", 
    "Statement": [
        {
           "Sid": "AllowSesMailManagerLogDelivery",
           "Effect": "Allow", 
            "Action": [
                "ses:AllowVendedLogDeliveryForResource"
           ],
           "Resource" [
               "arn:aws:ses:us-east-1:1234567890:mailmanager-ingress-point/inp-xxxxx",
               "arn:aws:ses:us-east-1:1234567890:mailmanager-rule-set/rs-xxxx"
           ]
       }
    ]
}

Activation de la connexion dans la console SES

Pour activer la journalisation des ressources de Mail Manager à l'aide de la console :

Activer la journalisation à l'aide de l'API CloudWatch Logs

Pour activer la journalisation des ressources Mail Manager à l'aide de l'API CloudWatch Logs, vous devez :

Vous pouvez consulter des exemples de règles de rôle et d'autorisations IAM avec toutes les autorisations requises pour votre destination de journalisation spécifique dans la section Journalisation nécessitant des autorisations supplémentaires [V2] du guide de l'utilisateur Amazon CloudWatch Logs, et suivre les exemples de règles de rôle et d'autorisations IAM pour votre destination de journalisation, notamment en autorisant les mises à jour de votre ressource de destination de journalisation spécifique, telle que CloudWatch Logs, S3 ou Firehose.

Interprétation des journaux

Les journaux peuvent être utilisés pour obtenir des informations supplémentaires sur le flux de vos messages reçus au fur et à mesure qu'ils sont traités par Mail Manager.

La section suivante détaille les différents champs des journaux pour chaque ressource.

Journaux des terminaux entrants

Les journaux sont générés par message.

{
  "resource_arn": "arn:aws:ses:us-east-1:1234567890:mailmanager-ingress-point/inp-xxxxx",
  "event_timestamp": 1728562395042,
  "ingress_point_type": "OPEN" | "AUTH",
  "ingress_point_name": "MyIngressPoint",
  "message_id": "0000llcki1jmushh817gr586f963a5inhkvnh81",
  "message_size_bytes": 100000,
  "rule_set_id": "rs-xxxx",
  "sender_ip_address": "1.2.3.4",
  "smtp_mail_from": "someone@domain.com",
  "smtp_helo": "domain.com",
  "tls_protocol": "TLSv1.2",
  "tls_cipher_suite": "TLS_AES_256_GCM_SHA384",
  "recipients": ["me@mydomain.com", "you@mydomain.com", "they@mydomain.com"],
  "ingress_point_metadata": { // only applies to AUTH Ingress Endpoint
       "password_version": "",
       "secrets_manager_arn": ""
  }
}

Exemples de requêtes CloudWatch Logs Insights

Messages de requête provenant de sender@domain.com :

fields @timestamp, @message, @logStream, @log
| filter smtp_mail_from like /sender@domain.com/
| sort @timestamp desc
| limit 10000

Messages de requête d'une taille supérieure à 5 000 octets :

fields @timestamp, @message, @logStream, @log
| filter message_size_bytes > 5000
| sort @timestamp desc
| limit 10000

Journaux des ensembles de règles

Les journaux sont générés par message et par action. Cela signifie qu'un enregistrement de journal est généré chaque fois qu'un message est traité par une action dans une règle du jeu de règles :

{
   "resource_arn": "arn:aws:ses:us-east-1:1234567890:mailmanager-rule-set/rs-xxxx",
   "event_timestamp": 1732298258254,
   "message_id": "0000llcki1jmushh817gr586f963a5inhkvnh81",
   "rule_set_name": "MyRuleSet",
   "rule_name": "MyRule",
   "rule_index": 1,
   "recipients_matched": ["recipient1@domain.com", "recipient2@domain.com"],
   "action_metadata": {
       "action_name": "WRITE_TO_S3" | "DROP" | "RELAY" | "DELIVER_TO_MAILBOX" | etc.,
       "action_index": 2,
       "action_status": "SUCCESS" | "FAILURE" | "IN_PROGRESS",
       "action_failure": "Access denied"
   }
}

En outre, si les conditions de la règle ne correspondent pas pour un message, c'est-à-dire que le message n'est pas traité par la règle, un seul journal est publié pour indiquer que le message a été traité par l'ensemble de règles, mais qu'aucune action n'a été effectuée sur celui-ci :

{
   "resource_arn": "arn:aws:ses:us-east-1:1234567890:mailmanager-rule-set/rs-xxxx",
   "event_timestamp": 1732298258254,
   "message_id": "0000llcki1jmushh817gr586f963a5inhkvnh81",
   "rule_set_name": "MyRuleSet",
   "rule_name": "MyRule",
   "rule_index": 1,
   "recipients_matched": [],
}

Exemples de requêtes CloudWatch Logs Insights

Requête pour un identifiant de message spécifique (indique le flux des messages dans l'ensemble de règles) :

fields @timestamp, @message, @logStream, @log
| filter message_id = 'message-id-123'
| sort @timestamp desc
| limit 10000

Requête concernant les actions WRITE_TO_S3 ayant échoué :

fields @timestamp, @message, @logStream, @log
| filter action_metadata.action_name = 'WRITE_TO_S3'
    and action_metadata.action_status = 'FAILURE'
| sort @timestamp desc
| limit 10000

Requête pour les messages qui n'ont pas été traités par la deuxième règle d'un ensemble de règles (le message ne répondait pas aux conditions de la règle) :

fields @timestamp, @message, @logStream, @log
| filter recipients_matched = '[]'
    and rule_index = 2
| sort @timestamp desc
| limit 10000