Registrazione di Mail Manager

Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

La registrazione di Mail Manager offre una visibilità dettagliata delle operazioni di Mail Manager. La funzionalità di registrazione tiene traccia del flusso dei messaggi dalla ricezione iniziale presso gli endpoint di ingresso fino all'elaborazione dei messaggi in base ai set di regole e alle regole configurati.

Mail Manager offre la registrazione per le seguenti risorse:

Mail Manager consegna i log utilizzando il servizio Amazon CloudWatch Logs e i log possono essere consegnati a una delle seguenti destinazioni: CloudWatch Logs, Amazon S3 o Amazon Data Firehose.

Configurazione della consegna dei log di Mail Manager

Una consegna di log funzionante è composta da tre elementi:

Questa sezione spiegherà come creare questi oggetti insieme alle autorizzazioni necessarie per utilizzare la registrazione di Mail Manager.

Prerequisiti

Prima di configurare la registrazione di Mail Manager, assicuratevi che:

Autorizzazioni richieste

Dovrai configurare le autorizzazioni dei vendded logs come spiegato nella sezione Logging that requires additional permissions [V2] della Amazon CloudWatch Logs User Guide e applicare le autorizzazioni corrispondenti alla destinazione di consegna:

Inoltre, Mail Manager richiede le seguenti autorizzazioni utente per configurare la consegna dei log:

{
    "Version": "2012-10-17", 
    "Statement": [
        {
           "Sid": "AllowSesMailManagerLogDelivery",
           "Effect": "Allow", 
            "Action": [
                "ses:AllowVendedLogDeliveryForResource"
           ],
           "Resource" [
               "arn:aws:ses:us-east-1:1234567890:mailmanager-ingress-point/inp-xxxxx",
               "arn:aws:ses:us-east-1:1234567890:mailmanager-rule-set/rs-xxxx"
           ]
       }
    ]
}

Abilitazione della registrazione nella console SES

Per abilitare la registrazione delle risorse di Mail Manager utilizzando la console:

Abilitazione della registrazione tramite l'API Logs CloudWatch

Per abilitare la registrazione delle risorse di Mail Manager utilizzando l'API CloudWatch Logs, è necessario:

Puoi visualizzare esempi di politiche di ruoli e autorizzazioni IAM con tutte le autorizzazioni richieste per la tua destinazione di registrazione specifica nella sezione Logging that requires additional permissions [V2] della Amazon CloudWatch Logs User Guide e seguire gli esempi di ruoli e policy di autorizzazione IAM per la tua destinazione di registrazione, inclusa l'autorizzazione degli aggiornamenti alla tua specifica risorsa di destinazione di registrazione, come Logs, S3 o Firehose. CloudWatch

Interpretazione dei log

I registri possono essere utilizzati per ottenere ulteriori informazioni sul flusso dei messaggi ricevuti man mano che vengono elaborati da Mail Manager.

La sezione seguente descrive in dettaglio i diversi campi dei log per ogni risorsa.

Registri degli endpoint in ingresso

I log vengono generati per messaggio.

{
  "resource_arn": "arn:aws:ses:us-east-1:1234567890:mailmanager-ingress-point/inp-xxxxx",
  "event_timestamp": 1728562395042,
  "ingress_point_type": "OPEN" | "AUTH",
  "ingress_point_name": "MyIngressPoint",
  "message_id": "0000llcki1jmushh817gr586f963a5inhkvnh81",
  "message_size_bytes": 100000,
  "rule_set_id": "rs-xxxx",
  "sender_ip_address": "1.2.3.4",
  "smtp_mail_from": "someone@domain.com",
  "smtp_helo": "domain.com",
  "tls_protocol": "TLSv1.2",
  "tls_cipher_suite": "TLS_AES_256_GCM_SHA384",
  "recipients": ["me@mydomain.com", "you@mydomain.com", "they@mydomain.com"],
  "ingress_point_metadata": { // only applies to AUTH Ingress Endpoint
       "password_version": "",
       "secrets_manager_arn": ""
  }
}

CloudWatch Esempio di interrogazioni Logs Insights

Interroga i messaggi inviati da sender@domain.com:

fields @timestamp, @message, @logStream, @log
| filter smtp_mail_from like /sender@domain.com/
| sort @timestamp desc
| limit 10000

Interroga i messaggi con dimensioni superiori a 5000 byte:

fields @timestamp, @message, @logStream, @log
| filter message_size_bytes > 5000
| sort @timestamp desc
| limit 10000

Registri dei set di regole

I log vengono generati per messaggio per azione. Ciò significa che viene generato un record di registro ogni volta che un messaggio viene elaborato da un'azione in una regola del set di regole:

{
   "resource_arn": "arn:aws:ses:us-east-1:1234567890:mailmanager-rule-set/rs-xxxx",
   "event_timestamp": 1732298258254,
   "message_id": "0000llcki1jmushh817gr586f963a5inhkvnh81",
   "rule_set_name": "MyRuleSet",
   "rule_name": "MyRule",
   "rule_index": 1,
   "recipients_matched": ["recipient1@domain.com", "recipient2@domain.com"],
   "action_metadata": {
       "action_name": "WRITE_TO_S3" | "DROP" | "RELAY" | "DELIVER_TO_MAILBOX" | etc.,
       "action_index": 2,
       "action_status": "SUCCESS" | "FAILURE" | "IN_PROGRESS",
       "action_failure": "Access denied"
   }
}

Inoltre, se le condizioni della regola non corrispondono per un messaggio, ovvero se il messaggio non viene elaborato dalla regola, viene pubblicato un unico registro che indica che il messaggio è stato elaborato dal set di regole, ma non è stata eseguita alcuna azione su di esso:

{
   "resource_arn": "arn:aws:ses:us-east-1:1234567890:mailmanager-rule-set/rs-xxxx",
   "event_timestamp": 1732298258254,
   "message_id": "0000llcki1jmushh817gr586f963a5inhkvnh81",
   "rule_set_name": "MyRuleSet",
   "rule_name": "MyRule",
   "rule_index": 1,
   "recipients_matched": [],
}

Esempio di CloudWatch interrogazioni Logs Insights

Interrogazione per un ID di messaggio specifico (mostra il flusso dei messaggi attraverso il set di regole):

fields @timestamp, @message, @logStream, @log
| filter message_id = 'message-id-123'
| sort @timestamp desc
| limit 10000

Query per azioni WRITE_TO_S3 fallite:

fields @timestamp, @message, @logStream, @log
| filter action_metadata.action_name = 'WRITE_TO_S3'
    and action_metadata.action_status = 'FAILURE'
| sort @timestamp desc
| limit 10000

Query per messaggi che non sono stati elaborati dalla seconda regola di un set di regole (il messaggio non soddisfaceva le condizioni della regola):

fields @timestamp, @message, @logStream, @log
| filter recipients_matched = '[]'
    and rule_index = 2
| sort @timestamp desc
| limit 10000