Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Log di accesso per Amazon VPC Lattice

I log di accesso acquisiscono informazioni dettagliate sui servizi VPC Lattice e sulle configurazioni delle risorse. Puoi utilizzare questi log di accesso per analizzare i modelli di traffico e controllare tutti i servizi della rete. Per i servizi VPC Lattice, pubblichiamo VpcLatticeAccessLogs e per le configurazioni delle risorse, pubblichiamo, VpcLatticeResourceAccessLogs che devono essere configurate separatamente.

I log di accesso sono opzionali e sono disabilitati per impostazione predefinita. Dopo aver abilitato i log di accesso, è possibile disabilitarli in qualsiasi momento.

Prezzi

I costi si applicano quando vengono pubblicati i registri di accesso. I log che vengono pubblicati AWS in modo nativo per conto dell'utente sono denominati log venduti. Per ulteriori informazioni sui prezzi dei log vended, consulta Amazon CloudWatch Pricing, scegli Logs e visualizza i prezzi nella sezione Vended Logs.

Le autorizzazioni IAM sono necessarie per abilitare i log di accesso

Per abilitare i log di accesso e inviare i log alle rispettive destinazioni, devi inserire le seguenti azioni nella policy allegata all'utente, al gruppo o al ruolo IAM che stai utilizzando.

JSON

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Sid": "ManageVPCLatticeAccessLogSetup",
            "Action": [
                "logs:CreateLogDelivery",
                "logs:GetLogDelivery",
                "logs:UpdateLogDelivery",
                "logs:DeleteLogDelivery",
                "logs:ListLogDeliveries",
                "vpc-lattice:CreateAccessLogSubscription",
                "vpc-lattice:GetAccessLogSubscription",
                "vpc-lattice:UpdateAccessLogSubscription",
                "vpc-lattice:DeleteAccessLogSubscription",
                "vpc-lattice:ListAccessLogSubscriptions"
            ],
            "Resource": [
                "*"
            ]
        }
    ]
}            

Per ulteriori informazioni, consulta Aggiunta e rimozione di autorizzazioni per identità IAM nella Guida per l'utente di AWS Identity and Access Management .

Dopo aver aggiornato la policy allegata all'utente, al gruppo o al ruolo IAM che stai utilizzando, vai aAbilitare log di accesso.

Destinazioni dei log di accesso

È possibile inviare i log di accesso alle seguenti destinazioni.

Abilitare log di accesso

Completa la seguente procedura per configurare i log di accesso in modo da acquisire e inviare i log di accesso alla destinazione scelta.

Abilita i log di accesso utilizzando la console

È possibile abilitare i log di accesso per una rete di servizi, un servizio o una configurazione di risorse durante la creazione. È inoltre possibile abilitare i log di accesso dopo aver creato una configurazione di rete di servizio, servizio o risorsa, come descritto nella procedura seguente.

Abilita i log di accesso utilizzando AWS CLI

Usa il comando CLI create-access-log-subscription per abilitare i log di accesso per reti o servizi di servizio.

Richiedi il tracciamento

VPC Lattice supporta il tracciamento e la correlazione delle richieste tra client, target e log per l'osservabilità e il debug con l'intestazione x-amzn-requestid. Questa intestazione può essere impostata e inviata dal client o generata da VPC Lattice e viene inviata alle destinazioni ed è disponibile anche nei log di accesso.

Esempio (risposta predefinita)

Di seguito è riportato un esempio di risposta inviata al client con il comportamento predefinito di VPC Lattice che genera un valore casuale per il valore dell'intestazione x-amzn-requestid.

{
    "HTTP/1.1 200 OK
    x-amzn-requestid: a9f2c7a1-6b4f-4c79-9e87-ff5a1234a001"
}

Esempio (sovrascrivere la richiesta del cliente)

Di seguito è riportato un esempio di richiesta inviata dal client con un valore di intestazione.

{
    "GET /my-service/endpoint HTTP/1.1 
    Host: my-api.example.com
    x-amzn-requestid: trace-request-foobar"
}

Esempio (risposta di sostituzione predefinita)

Di seguito è riportato un esempio di risposta inviata al client con il valore sovrascritto.

{
    "HTTP/1.1 200 OK
    x-amzn-requestid: trace-request-foobar"
}

Contenuti del log di accesso

La seguente tabella descrive i campi di una voce di un log di accesso.

Esempio

Nell'esempio seguente viene mostrata una voce di log.

{
    "callerPrincipalTags" : "{ "TagA": "ValA", "TagB": "ValB", ... }",
    "hostHeader": "example.com",
    "sslCipher": "-",
    "serviceNetworkArn": "arn:aws:vpc-lattice:us-west-2:123456789012:servicenetwork/svn-1a2b3c4d",
    "resolvedUser": "Unknown",
    "authDeniedReason": "null",
    "requestMethod": "GET",
    "targetGroupArn": "arn:aws:vpc-lattice:us-west-2:123456789012:targetgroup/tg-1a2b3c4d",
    "tlsVersion": "-",
    "userAgent": "-",
    "serverNameIndication": "-",
    "destinationVpcId": "vpc-0abcdef1234567890",
    "sourceIpPort": "178.0.181.150:80",
    "targetIpPort": "131.31.44.176:80",
    "serviceArn": "arn:aws:vpc-lattice:us-west-2:123456789012:service/svc-1a2b3c4d",
    "sourceVpcId": "vpc-0abcdef1234567890",
    "requestPath": "/billing",
    "startTime": "2023-07-28T20:48:45Z",
    "protocol": "HTTP/1.1",
    "responseCode": 200,
    "bytesReceived": 42,
    "bytesSent": 42,
    "duration": 375,
    "requestToTargetDuration": 1,
    "responseFromTargetDuration": 1,
    "grpcResponseCode": 1,
    "requestId": "a9f2c7a1-6b4f-4c79-9e87-ff5a1234a001"
}

Contenuto del registro di accesso alle risorse

La tabella seguente descrive i campi di una voce del registro di accesso alle risorse.

Esempio

Nell'esempio seguente viene mostrata una voce di log.

{
    "eventTimestamp": "2024-12-02T10:10:10.123Z",
    "serviceNetworkArn": "arn:aws:vpc-lattice:us-west-2:1234567890:servicenetwork/sn-1a2b3c4d",
    "serviceNetworkResourceAssociationId": "snra-1a2b3c4d",
    "vpcEndpointId": "vpce-01a2b3c4d",
    "sourceVpcArn": "arn:aws:ec2:us-west-2:1234567890:vpc/vpc-01a2b3c4d",
    "resourceConfigurationArn": "arn:aws:vpc-lattice:us-west-2:0987654321:resourceconfiguration/rcfg-01a2b3c4d",
    "protocol": "tcp",
    "sourceIpPort": "172.31.23.56:44076",
    "destinationIpPort": "172.31.31.226:80",
    "gatewayIpPort": "10.0.28.57:49288",
    "resourceIpPort": "10.0.18.190:80"
}

Risolvi i problemi relativi ai log di accesso

Questa sezione contiene una spiegazione dei codici di errore HTTP che potresti visualizzare nei log degli accessi.