Créez un journal de flux qui publie dans CloudWatch Logs - Amazon Virtual Private Cloud

Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Créez un journal de flux qui publie dans CloudWatch Logs

Vous pouvez créer des journaux de flux pour votre VPCs, vos sous-réseaux ou vos interfaces réseau. Si vous effectuez ces étapes en tant qu'utilisateur utilisant un rôle IAM particulier, assurez-vous que ce rôle dispose des autorisations nécessaires pour utiliser l'action iam:PassRole.

Prérequis

Vérifiez que le principal IAM que vous utilisez pour effectuer la demande disposent des autorisations pour appeler l’action iam:PassRole.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": ["iam:PassRole"],
      "Resource": "arn:aws:iam::account-id:role/flow-log-role-name"
    }
  ]
}
Pour créer un journal de flux à l'aide de la console

  1. Effectuez l’une des actions suivantes :

  2. Choisissez Actions, Create flow log (Créer le journal de flux).

  3. Pour Filter (Filtre), spécifiez le type de trafic à journaliser. Sélectionnez All (Tout) pour journaliser le trafic accepté et refusé, Reject (Rejeter) pour enregistrer uniquement le trafic refusé ou Accept (Accepter) pour enregistrer uniquement le trafic accepté.

  4. Pour Maximum aggregation interval (Intervalle d'agrégation maximal), choisissez la période maximale pendant laquelle un flux est capturé et agrégé dans un enregistrement de journal de flux.

  5. Pour Destination, choisissez Envoyer vers CloudWatch les journaux.

  6. Dans Groupe de journaux de destination, sélectionnez le nom d’un groupe de journaux existant ou entrez le nom d’un nouveau groupe de journaux. Si vous saisissez un nom, nous créons le groupe de journaux lorsqu’il y a du trafic à journaliser.

  7. Pour l'accès au service, choisissez un rôle de service IAM existant autorisé à publier des journaux dans CloudWatch Logs ou créez un nouveau rôle de service.

  8. Pour Log record format (Format d'enregistrement du journal), sélectionnez le format de l'enregistrement du journal de flux.

    • Pour utiliser le format par défaut, choisissez AWS default format (Format par défaut).

    • Pour utiliser un format personnalisé, choisissez Custom format (Format personnalisé), puis sélectionnez des champs dans Log format (Format du journal).

  9. Pour Métadonnées supplémentaires, indiquez si vous souhaitez inclure les métadonnées d’Amazon ECS dans le format du journal.

  10. (Facultatif) Sélectionnez Add new tag (Ajouter une nouvelle balise) pour appliquer des identifications au journal de flux.

  11. Choisissez Créer le journal de flux.

Pour créer un journal de flux à l'aide de la ligne de commande

Utilisez l’une des commandes suivantes.

L' AWS CLI exemple suivant crée un journal de flux qui capture tout le trafic accepté pour le sous-réseau spécifié. Les journaux de flux sont transmis au groupe de journaux spécifié. Le --deliver-logs-permission-arn paramètre spécifie le rôle IAM requis pour publier dans CloudWatch Logs.

aws ec2 create-flow-logs --resource-type Subnet --resource-ids subnet-1a2b3c4d --traffic-type ACCEPT --log-group-name my-flow-logs --deliver-logs-permission-arn arn:aws:iam::123456789101:role/publishFlowLogs