Amazon CloudWatch Logs によるデータ転送のモニタリング

拡張モードでは、DataSync は という名前のロググループにタスクログを自動的に送信します/aws/datasync。そのロググループが に存在しない場合 AWS リージョン、DataSync は、タスクの作成時に IAM サービスにリンクされたロールを使用して、ユーザーに代わってロググループを作成します。

基本モードを使用して DataSync タスクの CloudWatch ロググループを設定するには、いくつかの方法があります。コンソールでは、ほとんどの場合、DataSync がログをアップロードするために必要なアクセス許可を含む IAM ロールを自動的に作成できます。この自動生成されたロールは、最小特権の観点からはニーズに合わない可能性あることに注意してください。

既存の CloudWatch ロググループを使用する場合、またはプログラムでタスクを作成する場合は、IAM ロールを自分で作成する必要があります。

次の例は、これらのアクセス許可を付与する IAM ポリシーです。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "DataSyncLogsToCloudWatchLogs",
            "Effect": "Allow",
            "Action": [
                "logs:PutLogEvents",
                "logs:CreateLogStream"
            ],
            "Principal": {
                "Service": "datasync.amazonaws.com"
            },
            "Condition": {
                "ArnLike": {
                    "aws:SourceArn": [
                        "arn:aws:datasync:region:account-id:task/*"
                    ]
                },
                "StringEquals": {
                    "aws:SourceAccount": "account-id"
                }
            },
            "Resource": "arn:aws:logs:region:account-id:log-group:*:*"
        }
    ]
}

ポリシーでは、Condition ステートメントを使用して、指定したアカウントの DataSync タスクのみが、指定した CloudWatch ロググループにアクセスできるようにします。混乱した代理問題を防ぐために、これらの Condition ステートメントで aws:SourceArn および aws:SourceAccount グローバル条件コンテキストキーを使用することをお勧めします。詳細については、「サービス間の混乱した代理の防止」を参照してください。

DataSync タスクを指定するには、 をタスク AWS リージョン がある のリージョンコード ( などus-west-2) regionに置き換え、 をタスクを含むアカウントの AWS アカウント ID account-idに置き換えます。CloudWatch ロググループを指定するには、同じ値を置き換えます。Resource ステートメントを修正して、特定のロググループをターゲットにすることもできます。SourceArn および SourceAccount の使用の詳細については、「IAM ユーザーガイド」の「Global condition keys」を参照してください。

ポリシーを適用するには、このポリシーステートメントをローカルコンピュータ上のファイルに保存します。次に、次の AWS CLI コマンドを実行してリソースポリシーを適用します。このサンプルコマンドを使用するには、full-path-to-policy-file を、ポリシーステートメントを含むファイルへのパスに置き換えます。

aws logs put-resource-policy --policy-name trust-datasync --policy-document file://full-path-to-policy-file

詳細については、「Amazon CloudWatch Logs ユーザーガイド」を参照してください。

{
    "Action": "VERIFY",
    "Source": {
        "LocationId": "loc-abcdef01234567890",
        "RelativePath": "directory1/directory2/file1.txt"
    },
    "Destination": {
        "LocationId": "loc-05ab2fdc272204a5f",
        "RelativePath": "directory1/directory2/file1.txt",
        "Metadata": {
            "Type": "Object",
            "ContentSize": 66060288,
            "LastModified": "2024-10-03T20:46:58Z",
            "S3": {
                "SystemMetadata": {
                    "ContentType": "binary/octet-stream",
                    "ETag": "\"1234abcd5678efgh9012ijkl3456mnop\"",
                    "ServerSideEncryption": "AES256"
                },
                "UserMetadata": {
                    "file-mtime": "1602647222/222919600"
                },
                "Tags": {}
            }
        }
    },
    "ErrorCode": "FileNotAtSource",
    "ErrorDetail": "Verification failed due to file being present at the destination but not at the source"
}

[NOTICE] Verification failed > /directory1/directory2/file1.txt
[NOTICE] /directory1/directory2/file1.txt   dstMeta: type=R mode=0755 uid=65534 gid=65534 size=8972938 atime=1728657659/0 mtime=1728657659/0 extAttrsHash=0
[NOTICE]   dstHash: f9c2cca900301d38b0930367d8d587153154af467da0fdcf1bebc0848ec72c0d