View a markdown version of this page

Esportazione di dati di log in Amazon S3 tramite la console - CloudWatch Registri Amazon
Same-account esportazione (console)Cross-account esportazione (console)

Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Esportazione di dati di log in Amazon S3 tramite la console

Nei seguenti esempi, utilizzi la CloudWatch console Amazon per esportare tutti i dati da un gruppo di CloudWatch log di Amazon Logs denominato my-log-group in un bucket Amazon S3 denominato. amzn-s3-demo-bucket

È supportata l'esportazione dei dati di log in bucket S3 crittografati da. SSE-KMS L'esportazione in bucket crittografati con non è supportata. DSSE-KMS

I dettagli su come configuri l'esportazione dipendono dal fatto che il bucket Amazon S3 in cui desideri esportare si trovi nello stesso account dei log che vengono esportati o in un account diverso.

Same-account esportazione (console)

Se il bucket Amazon S3 si trova nello stesso account dei log che vengono esportati, segui le istruzioni in questa sezione.

Crea un bucket Amazon S3 (console)

Ti consigliamo di utilizzare un bucket creato appositamente per Logs. CloudWatch Tuttavia, se intendi utilizzare un bucket esistente, puoi passare alla fase 2.

Nota

Il bucket Amazon S3 deve risiedere nella stessa Regione dei dati di registro da esportare. CloudWatch Logs non supporta l'esportazione di dati in bucket Amazon S3 in una regione diversa.

Come creare un bucket Amazon S3.

  1. Apri la console Amazon S3 all'indirizzo. https://console.aws.amazon.com/s3/

  2. Se necessario, modificare la regione . Dalla barra di navigazione, scegli la regione in cui risiedono i tuoi CloudWatch log.

  3. Scegli Crea bucket.

  4. In Bucket Name (Nome bucket), immettere il nome del bucket.

  5. Per Regione, seleziona la regione in cui risiedono i dati dei tuoi CloudWatch log.

  6. Scegli Create (Crea).

Configura le autorizzazioni di accesso (console)

Per creare l'attività di esportazione, è necessario accedere con il ruolo AmazonS3ReadOnlyAccess IAM e disporre delle seguenti autorizzazioni:

  • logs:CreateExportTask

  • logs:CancelExportTask

  • logs:DescribeExportTasks

  • logs:DescribeLogStreams

  • logs:DescribeLogGroups

Per fornire l’accesso, aggiungi autorizzazioni agli utenti, gruppi o ruoli:

  • Utenti e gruppi in Centro identità AWS IAM:

    Crea un set di autorizzazioni. Segui le istruzioni riportate nella pagina Create a permission set (Creazione di un set di autorizzazioni) nella Guida per l’utente di Centro identità AWS IAM .

  • Utenti gestiti in IAM tramite un provider di identità:

    Crea un ruolo per la federazione delle identità. Segui le istruzioni riportate nella pagina Create a role for a third-party identity provider (federation) della Guida per l’utente IAM.

  • Utenti IAM:

Imposta le autorizzazioni su un bucket Amazon S3 (console)

Per impostazione predefinita, tutti gli oggetti e i bucket Amazon S3 sono privati. Solo il proprietario della risorsa, colui Account AWS che ha creato il bucket, può accedere al bucket e a tutti gli oggetti in esso contenuti. Tuttavia, il proprietario della risorsa può concedere le autorizzazioni di accesso ad altre risorse e ad altri utenti mediante una policy di accesso.

Quando si imposta la policy, consigliamo di includere una stringa generata in modo casuale come prefisso per il bucket, in modo che solo i flussi di log vengano esportati nel bucket.

Importante

Per rendere più sicure le esportazioni verso i bucket Amazon S3, ora è necessario specificare l'elenco degli account di origine autorizzati a esportare i dati di log nel bucket S3.

Nel seguente esempio, l'elenco degli ID di account nella aws:SourceAccount chiave sarebbe costituito dagli account da cui un utente può esportare i dati di log nel tuo bucket Amazon S3. La chiave aws:SourceArn è la risorsa per la quale viene intrapresa l'azione. Puoi limitarla a un gruppo di log specifico o utilizzare un jolly come mostrato in questo esempio.

Ti consigliamo di includere anche l'ID dell'account in cui è stato creato il bucket S3 per consentire l'esportazione all'interno dello stesso account.

Impostazione delle autorizzazioni su un bucket Amazon S3

  1. Nella console Amazon S3, scegli il bucket che hai creato.

  2. Selezionare Permissions (Autorizzazioni), Add bucket policy (Aggiungi policy bucket).

  3. In Bucket Policy Editor (Editor della policy del bucket), aggiungi la seguente policy. Cambia amzn-s3-demo-bucket nel nome del bucket S3. Assicurati di specificare l'endpoint corretto della regione, come us-west-1, per Principale.

    JSON
    
{
    "Version":"2012-10-17",
    "Statement": [
      {
          "Sid": "AllowCloudWatchLogsGetBucketAcl",
          "Action": "s3:GetBucketAcl",
          "Effect": "Allow",
          "Resource": "arn:aws:s3:::amzn-s3-demo-bucket",
          "Principal": { "Service": "logs.us-east-1.amazonaws.com" },
          "Condition": {
            "StringEquals": {
                "aws:SourceAccount": [
                    "123456789012",
                    "111122223333"
                ]
            },
            "ArnLike": {
                    "aws:SourceArn": [
                        "arn:aws:logs:us-east-1:123456789012:log-group:*",
                        "arn:aws:logs:us-east-1:111122223333:log-group:*"
                    ]
            }
          }
      },
      {
          "Sid": "AllowCloudWatchLogsPutObject",
          "Action": "s3:PutObject",
          "Effect": "Allow",
          "Resource": "arn:aws:s3:::amzn-s3-demo-bucket/*",
          "Principal": { "Service": "logs.us-east-1.amazonaws.com" },
          "Condition": {
            "StringEquals": {
                "s3:x-amz-acl": "bucket-owner-full-control",
                "aws:SourceAccount": [
                    "123456789012",
                    "111122223333"
                ]
            },
            "ArnLike": {
                    "aws:SourceArn": [
                        "arn:aws:logs:us-east-1:123456789012:log-group:*",
                        "arn:aws:logs:us-east-1:111122223333:log-group:*"
                    ]
            }
          }
      }
    ]
}

  4. Seleziona Save (Salva) per impostare la policy appena aggiunta come la policy di accesso all'interno del bucket. Questa policy consente a CloudWatch Logs di esportare i dati di log nel tuo bucket Amazon S3. Il proprietario del bucket dispone di autorizzazioni complete su tutti gli oggetti esportati.

    avvertimento

    Se al bucket esistente sono già associate una o più policy, aggiungi le istruzioni per l'accesso di CloudWatch Logs a tale policy o policy. Consigliamo di valutare il set di autorizzazioni risultante per verificare che siano adeguate agli utenti che accederanno al bucket.

(Facoltativo) Esportazione verso un bucket Amazon S3 di destinazione crittografato con (console) SSE-KMS

Questo passaggio è necessario solo se si esporta in un bucket Amazon S3 che utilizza la crittografia lato server con. AWS KMS keys Questa crittografia è nota come. SSE-KMS

Per esportare in un bucket crittografato con SSE-KMS

  1. Apri la AWS KMS console all'indirizzo. https://console.aws.amazon.com/kms

  2. Per modificare il Regione AWS, usa il selettore di regione nell'angolo in alto a destra della pagina.

  3. Nella barra di navigazione a sinistra, scegli Customer managed keys (Chiavi gestite dal cliente).

    Scegli Create Key (Crea chiave).

  4. Alla voce Key type (Tipo di chiave), scegliere Symmetric (Simmetrica).

  5. Per Key usage (Utilizzo della chiave), scegli Encrypt and decrypt (Crittografa e decrittografa), quindi scegli Next (Avanti).

  6. In Add labels (Aggiungi etichette), inserisci un alias per la chiave e, facoltativamente, aggiungi una descrizione o dei tag. Quindi scegli Successivo.

  7. In Key administrators (Amministratori delle chiavi), seleziona chi può amministrare questa chiave, quindi scegli Next (Avanti).

  8. In Define key usage permissions (Definisci le autorizzazioni per utilizzare la chiave), non apportare modifiche e scegli Next (Avanti).

  9. Esamina le impostazioni e scegli Finish (Fine).

  10. Torna alla pagina Customer managed keys (Chiavi gestite dal cliente) e scegli il nome della chiave che hai appena creato.

  11. Nella sezione Key policy (Policy chiave), scegli Switch to policy view (Passa alla visualizzazione della policy).

  12. Nella sezione Key policy (Policy chiave), scegli Edit (Modifica).

  13. Aggiungi la seguente istruzione all'elenco delle istruzioni della policy chiave. Quando lo fai, sostituiscilo Region con la regione dei tuoi log e sostituiscilo account-ARN con l'ARN dell'account che possiede la chiave KMS.

    JSON
    {
    "Version":"2012-10-17",
    "Statement": [
        {
            "Sid": "Allow CWL Service Principal usage",
            "Effect": "Allow",
            "Principal": {
                "Service": "logs.Region.amazonaws.com"
            },
            "Action": [
                "kms:GenerateDataKey",
                "kms:Decrypt"
            ],
            "Resource": "*"
        },
        {
            "Sid": "Enable IAM User Permissions",
            "Effect": "Allow",
            "Principal": {
                "AWS": "account-ARN"
            },
            "Action": [
                "kms:GetKeyPolicy*",
                "kms:PutKeyPolicy*",
                "kms:DescribeKey*",
                "kms:CreateAlias*",
                "kms:ScheduleKeyDeletion*",
                "kms:Decrypt"
            ],
            "Resource": "*"
        }
    ]
}

  14. Scegli Save changes (Salva modifiche).

  15. Apri la console Amazon S3 all'indirizzo. https://console.aws.amazon.com/s3/

  16. Cerca il bucket che hai creato in Crea un bucket S3 (CLI) e scegli il nome del bucket.

  17. Scegliere la scheda Properties (Proprietà). Quindi, in Default Encryption (Crittografia predefinita), scegli Edit (Modifica).

  18. In Server-side Crittografia, scegli Abilita.

  19. In Tipo di crittografia, scegli AWS Key Management Service la chiave (SSE-KMS).

  20. Scegli tra AWS KMS le tue chiavi e trova la chiave che hai creato.

  21. Per Bucket key (Chiave bucket), scegli Enable (Abilita).

  22. Scegli Save changes (Salva modifiche).

Crea un'attività di esportazione (console)

In questa procedura, si crea l'attività di esportazione per l'esportazione dei log da un gruppo di log.

Per esportare dati in Amazon S3 utilizzando la console CloudWatch

  1. Accedi con le autorizzazioni sufficienti come documentato in Configura le autorizzazioni di accesso (console).

  2. Apri la CloudWatch console all'indirizzo. https://console.aws.amazon.com/cloudwatch/

  3. Nel pannello di navigazione, selezionare Log groups (Gruppi di log).

  4. Nella schermata Gruppi di log, scegliere il nome del gruppo di log.

  5. Scegli Actions (Operazioni), Export data to Amazon S3 (Esporta dati in Amazon S3.

  6. Nella schermata Export data to Amazon S3 (Esporta dati in Amazon S3), in Define data export (Definizione dell'esportazione dei dati), impostare l'intervallo di tempo per i dati da esportare in From (Da) e To (A).

  7. Se il gruppo di log dispone di più flussi di log, puoi fornire un prefisso del flusso di log per limitare i dati del gruppo di log a un flusso specifico. Scegliere Advanced (Avanzato) e immettere il prefisso del flusso di log in Stream prefix (Prefisso flusso).

  8. In Choose S3 bucket (Scegli bucket S3), seleziona l'account associato al bucket S3.

  9. In S3 bucket name (Nome bucket S3), seleziona un bucket &S3;.

  10. Per Prefisso bucket S3, immettere la stringa generata in modo casuale specificata nella policy del bucket.

  11. Seleziona Esporta per esportare i dati di log in Amazon S3.

  12. Per visualizzare lo stato dei dati di log esportati in Amazon S3, scegli Operazioni, quindi Visualizza tutte le esportazioni in Amazon S3.

Cross-account esportazione (console)

Se il bucket Amazon S3 si trova in un account diverso da quello dei log che vengono esportati, segui le istruzioni in questa sezione.

Crea un bucket Amazon S3 per l'esportazione su più account (console)

Ti consigliamo di utilizzare un bucket creato appositamente per Logs. CloudWatch Tuttavia, se desideri utilizzare un bucket esistente, puoi saltare questa procedura.

Nota

Il bucket Amazon S3 deve risiedere nella stessa Regione dei dati di registro da esportare. CloudWatch Logs non supporta l'esportazione di dati in bucket Amazon S3 in una regione diversa.

Come creare un bucket Amazon S3.

  1. Apri la console Amazon S3 all'indirizzo. https://console.aws.amazon.com/s3/

  2. Se necessario, modificare la regione . Dalla barra di navigazione, scegli la regione in cui risiedono i tuoi CloudWatch log.

  3. Scegli Crea bucket.

  4. In Bucket Name (Nome bucket), immettere il nome del bucket.

  5. Per Regione, seleziona la regione in cui risiedono i dati dei tuoi CloudWatch log.

  6. Scegli Create (Crea).

Configura le autorizzazioni di accesso per l'esportazione su più account (console)

Innanzitutto, devi creare una nuova policy IAM per consentire a CloudWatch Logs di avere l's3:PutObjectazione per il bucket Amazon S3 di destinazione nell'account di destinazione.

Oltre all's3:PutObjectazione, le azioni aggiuntive incluse nella policy dipendono dal fatto che il bucket di destinazione utilizzi la AWS KMS crittografia o abbia gli ACL abilitati utilizzando l'impostazione S3 Object Ownership.

  • Se utilizzi la crittografia KMS, aggiungi le kms:Decrypt azioni kms:GenerateDataKey e per la risorsa chiave

  • Se gli ACL sono abilitati nel bucket, aggiungi l's3:PutObjectAclazione per la risorsa del bucket

Passa amzn-s3-demo-bucket al nome del bucket S3 di destinazione nelle seguenti politiche.

Creazione di una policy IAM per esportare i log in un bucket Amazon S3

  1. Aprire la console IAM all'indirizzo https://console.aws.amazon.com/iam/.

  2. Nel riquadro di navigazione a sinistra, seleziona Policies (Policy).

  3. Scegli Crea policy.

  4. Nella sezione Editor di policy, scegli l'opzione JSON.

  5. Se il bucket di destinazione non utilizza la AWS KMS crittografia, incolla la seguente policy nell'editor.

    JSON
    {
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "s3:PutObject",
            "Resource": "arn:aws:s3:::amzn-s3-demo-bucket/*"
        }
    ]
}

    Se il bucket di destinazione utilizza la AWS KMS crittografia, incolla la seguente policy nell'editor.

    JSON
    {
  "Version":"2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "s3:PutObject",
      "Resource": "arn:aws:s3:::amzn-s3-demo-bucket/*"
    },
    {
      "Effect": "Allow",
      "Action": [
        "kms:GenerateDataKey",
        "kms:Decrypt"
      ],
      "Resource": "arn:aws:kms:us-east-1:123456789012:key/1234abcd-12ab-34cd-56ef-1234567890ab"
    }
  ]
}

    Se gli ACL sono abilitati nel bucket di destinazione, aggiungi s3: PutObjectAcl a s3: PutObject Action block nelle politiche precedenti.

    JSON
    {
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
               "s3:PutObject",
               "s3:PutObjectAcl"
            ],
            "Resource": "arn:aws:s3:::amzn-s3-demo-bucket/*"
        }
    ]
}

  6. Scegli Next (Successivo).

  7. Inserire un nome per la policy. Utilizzerai questo nome per collegare la policy al tuo ruolo IAM.

  8. Quindi, per salvare la nuova policy, seleziona Crea policy.

Per creare un'attività di esportazione, devi accedere con un ruolo IAM a cui è allegata la policy AmazonS3ReadOnlyAccess gestita, la policy IAM creata sopra e anche con le seguenti autorizzazioni:

  • logs:CreateExportTask

  • logs:CancelExportTask

  • logs:DescribeExportTasks

  • logs:DescribeLogStreams

  • logs:DescribeLogGroups

Per fornire l’accesso, aggiungi autorizzazioni agli utenti, gruppi o ruoli:

  • Utenti e gruppi in Centro identità AWS IAM:

    Crea un set di autorizzazioni. Segui le istruzioni riportate nella pagina Create a permission set (Creazione di un set di autorizzazioni) nella Guida per l’utente di Centro identità AWS IAM .

  • Utenti gestiti in IAM tramite un provider di identità:

    Crea un ruolo per la federazione delle identità. Segui le istruzioni riportate nella pagina Create a role for a third-party identity provider (federation) della Guida per l’utente IAM.

  • Utenti IAM:

Imposta le autorizzazioni su un bucket S3 per l'esportazione su più account (console)

Per impostazione predefinita, tutti i bucket e gli oggetti S3 sono privati. Solo il proprietario della risorsa, colui Account AWS che ha creato il bucket, può accedere al bucket e a tutti gli oggetti in esso contenuti. Tuttavia, il proprietario della risorsa può concedere le autorizzazioni di accesso ad altre risorse e ad altri utenti mediante una policy di accesso.

Quando si imposta la policy, consigliamo di includere una stringa generata in modo casuale come prefisso per il bucket, in modo che solo i flussi di log vengano esportati nel bucket.

Importante

Per rendere più sicure le esportazioni verso i bucket S3, ora ti chiediamo di specificare l'elenco degli account di origine autorizzati a esportare i dati di log nel tuo bucket S3.

Nell'esempio seguente, l'elenco degli ID di account nella aws:SourceAccount chiave sarebbe costituito dagli account da cui un utente può esportare i dati di registro nel bucket S3. La chiave aws:SourceArn è la risorsa per la quale viene intrapresa l'azione. Puoi limitarla a un gruppo di log specifico o utilizzare un jolly come mostrato in questo esempio.

Ti consigliamo di includere anche l'ID dell'account in cui è stato creato il bucket S3 per consentire l'esportazione all'interno dello stesso account.

Impostazione delle autorizzazioni su un bucket Amazon S3

  1. Nella console Amazon S3, scegli il bucket che hai creato.

  2. Selezionare Permissions (Autorizzazioni), Add bucket policy (Aggiungi policy bucket).

  3. In Bucket Policy Editor (Editor della policy del bucket), aggiungi la seguente policy. Cambia amzn-s3-demo-bucket nel nome del bucket S3. Assicurati di specificare l'endpoint corretto della regione, come us-east-1, per Principale.

    JSON
    
{
    "Version":"2012-10-17",
    "Statement": [
      {
          "Action": "s3:GetBucketAcl",
          "Effect": "Allow",
          "Resource": "arn:aws:s3:::amzn-s3-demo-bucket",
          "Principal": { "Service": "logs.us-east-1.amazonaws.com" },
          "Condition": {
            "StringEquals": {
                "aws:SourceAccount": [
                    "123456789012",
                    "111122223333"
                ]
            },
            "ArnLike": {
                    "aws:SourceArn": [
                        "arn:aws:logs:us-east-1:123456789012:log-group:*",
                        "arn:aws:logs:us-east-1:111122223333:log-group:*"
                    ]
            }
          }
      },
      {
          "Action": "s3:PutObject",
          "Effect": "Allow",
          "Resource": "arn:aws:s3:::amzn-s3-demo-bucket/*",
          "Principal": { "Service": "logs.us-east-1.amazonaws.com" },
          "Condition": {
            "StringEquals": {
                "s3:x-amz-acl": "bucket-owner-full-control",
                "aws:SourceAccount": [
                    "123456789012",
                    "111122223333"
                ]
            },
            "ArnLike": {
                    "aws:SourceArn": [
                        "arn:aws:logs:us-east-1:123456789012:log-group:*",
                        "arn:aws:logs:us-east-1:111122223333:log-group:*"
                    ]
            }
          }
      },
      {
          "Effect": "Allow",
          "Principal": {
            "AWS": "arn:aws:iam::111122223333:role/role_name"
          },
          "Action": "s3:PutObject",
          "Resource": "arn:aws:s3:::amzn-s3-demo-bucket/*",
          "Condition": {
            "StringEquals": {
                "s3:x-amz-acl": "bucket-owner-full-control"
            }
          }
       }
    ]
}

  4. Seleziona Save (Salva) per impostare la policy appena aggiunta come la policy di accesso all'interno del bucket. Questa policy consente a CloudWatch Logs di esportare i dati di registro nel bucket S3. Il proprietario del bucket dispone di autorizzazioni complete su tutti gli oggetti esportati.

    avvertimento

    Se al bucket esistente sono già associate una o più policy, aggiungi le istruzioni per l'accesso di CloudWatch Logs a quella o alle policy. Consigliamo di valutare il set di autorizzazioni risultante per verificare che siano adeguate agli utenti che accederanno al bucket.

(Facoltativo) Esportazione verso un bucket Amazon S3 di destinazione crittografato SSE-KMS per l'esportazione su più account (console)

Questa procedura è necessaria solo se si esporta in un bucket S3 che utilizza la crittografia lato server con. AWS KMS keys Questa crittografia è nota come. SSE-KMS

Per esportare in un bucket crittografato con SSE-KMS

  1. Apri la AWS KMS console all'indirizzo. https://console.aws.amazon.com/kms

  2. Per modificare il Regione AWS, usa il selettore di regione nell'angolo in alto a destra della pagina.

  3. Nella barra di navigazione a sinistra, scegli Customer managed keys (Chiavi gestite dal cliente).

    Scegli Create Key (Crea chiave).

  4. Alla voce Key type (Tipo di chiave), scegliere Symmetric (Simmetrica).

  5. Per Key usage (Utilizzo della chiave), scegli Encrypt and decrypt (Crittografa e decrittografa), quindi scegli Next (Avanti).

  6. In Add labels (Aggiungi etichette), inserisci un alias per la chiave e, facoltativamente, aggiungi una descrizione o dei tag. Quindi scegli Successivo.

  7. In Key administrators (Amministratori delle chiavi), seleziona chi può amministrare questa chiave, quindi scegli Next (Avanti).

  8. In Define key usage permissions (Definisci le autorizzazioni per utilizzare la chiave), non apportare modifiche e scegli Next (Avanti).

  9. Esamina le impostazioni e scegli Finish (Fine).

  10. Torna alla pagina Customer managed keys (Chiavi gestite dal cliente) e scegli il nome della chiave che hai appena creato.

  11. Nella sezione Key policy (Policy chiave), scegli Switch to policy view (Passa alla visualizzazione della policy).

  12. Nella sezione Key policy (Policy chiave), scegli Edit (Modifica).

  13. Aggiungi la seguente istruzione all'elenco delle istruzioni della policy chiave. Quando lo fai, sostituiscilo us-east-1 con la regione dei tuoi log, account-ARN con l'ARN dell'account che possiede la chiave KMS, con il numero di account che possiede la chiave KMS, 123456789012 con l'ID della chiave kms e key_id role_name con il ruolo utilizzato per creare l'attività di esportazione.

    JSON
    {
    "Version":"2012-10-17",
    "Statement": [
        {
            "Sid": "Allow CWL Service Principal usage",
            "Effect": "Allow",
            "Principal": {
            "Service": "logs.us-east-1.amazonaws.com"
            },
            "Action": [
                "kms:GenerateDataKey",
                "kms:Decrypt"
            ],
            "Resource": "*"
        },
        {
            "Sid": "Enable IAM User Permissions",
            "Effect": "Allow",
            "Principal": {
                "AWS": "account-ARN"
            },
            "Action": [
                "kms:GetKeyPolicy*",
                "kms:PutKeyPolicy*",
                "kms:DescribeKey*",
                "kms:CreateAlias*",
                "kms:ScheduleKeyDeletion*",
                "kms:Decrypt"
            ],
            "Resource": "*"
        },
        {
            "Sid": "Enable IAM Role Permissions",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::111122223333:role/role_name"
            },
            "Action": [
                "kms:GenerateDataKey",
                "kms:Decrypt"
            ],
            "Resource": "arn:aws:kms:us-east-1:123456789012:key/key-id"
        }
    ]
}

  14. Scegli Save changes (Salva modifiche).

  15. Apri la console Amazon S3 all'indirizzo. https://console.aws.amazon.com/s3/

  16. Cerca il bucket che hai creato in Crea un bucket S3 (CLI) e scegli il nome del bucket.

  17. Scegliere la scheda Properties (Proprietà). Quindi, in Default Encryption (Crittografia predefinita), scegli Edit (Modifica).

  18. In Server-side Crittografia, scegli Abilita.

  19. In Tipo di crittografia, scegli AWS Key Management Service la chiave (SSE-KMS).

  20. Scegli tra AWS KMS le tue chiavi e trova la chiave che hai creato.

  21. Per Bucket key (Chiave bucket), scegli Enable (Abilita).

  22. Scegli Save changes (Salva modifiche).

Crea un'attività di esportazione per l'esportazione su più account (console)

In questa procedura, si crea l'attività di esportazione per l'esportazione dei log da un gruppo di log.

Per esportare dati in Amazon S3 utilizzando la console CloudWatch

  1. Accedi con le autorizzazioni sufficienti come documentato in Configura le autorizzazioni di accesso (console).

  2. Apri la CloudWatch console all'indirizzo. https://console.aws.amazon.com/cloudwatch/

  3. Nel pannello di navigazione, selezionare Log groups (Gruppi di log).

  4. Nella schermata Gruppi di log, scegliere il nome del gruppo di log.

  5. Scegli Actions (Operazioni), Export data to Amazon S3 (Esporta dati in Amazon S3.

  6. Nella schermata Export data to Amazon S3 (Esporta dati in Amazon S3), in Define data export (Definizione dell'esportazione dei dati), impostare l'intervallo di tempo per i dati da esportare in From (Da) e To (A).

  7. Se il gruppo di log dispone di più flussi di log, puoi fornire un prefisso del flusso di log per limitare i dati del gruppo di log a un flusso specifico. Scegliere Advanced (Avanzato) e immettere il prefisso del flusso di log in Stream prefix (Prefisso flusso).

  8. In Choose S3 bucket (Scegli bucket S3), seleziona l'account associato al bucket S3.

  9. In S3 bucket name (Nome bucket S3), seleziona un bucket S3.

  10. Per Prefisso bucket S3, immettere la stringa generata in modo casuale specificata nella policy del bucket.

  11. Seleziona Esporta per esportare i dati di log in Amazon S3.

  12. Per visualizzare lo stato dei dati di log esportati in Amazon S3, scegli Operazioni, quindi Visualizza tutte le esportazioni in Amazon S3.