VPC フローログトラブルシューティング

• Rate limited: このエラーは、CloudWatch Logs のスロットリングが適用されている場合に発生することがあります。ネットワークインターフェイスのフローログのレコード数が、特定の期間内に発行できるレコードの最大数より多い場合などが該当します。このエラーは、作成できる CloudWatch Logs ロググループの数がクォータに達した場合にも発生することがあります。詳細については、「Amazon CloudWatch ユーザーガイド」の「CloudWatch サービスのクォータ」を参照してください。

• Access error: このエラーは、次のいずれかの原因で発生することがあります。

  • フローログの IAM ロールに、CloudWatch Logs ロググループにフローログレコードを発行するための十分なアクセス許可がありません。

  • IAM ロールにフローログサービスとの信頼関係がない

  • 信頼関係によりフローログサービスがプリンシパルとして指定されていない

  詳細については、「CloudWatch Logs へのフローログ発行のための IAM ロール」を参照してください。

• Unknown error: 内部エラーがフローログサービスで発生しました。

考えられる原因

• フローログはまだ作成中である。場合によっては、ロググループのフローログを作成してからデータが表示されるまでに、10 分以上かかることがあります。

• ネットワークインターフェイスに対して記録されたトラフィックがまだありません。CloudWatch Logs のロググループは、トラフィックの記録時にのみ作成されます。

考えられる原因

• Amazon S3 バケットにデータを発行するフローログを作成している場合、このエラーは、指定された S3 バケットが見つからないか、バケットポリシーでバケットへのログの配信が許可されていないことを示します。

• Amazon CloudWatch Logs にデータを発行するフローログを作成している場合、このエラーは、IAM ロールでロググループへのログの配信が許可されていないことを示します。

ソリューション

• Amazon S3 に配信する場合、既存の S3 バケットの ARN を指定したこと、および ARN が正しい形式であることを確認します。S3 バケットを所有していない場合は、バケットポリシーに必要な許可があり、ARN に正しいアカウント ID とバケット名が使用されていることを確認します。

• CloudWatch Logs に配信する場合は、IAM ロールに必要な許可があることを確認します。

ソリューション

• 不要になったフローログエントリを削除して、バケットのポリシーをクリーンアップします。

• 個々のフローログエントリを以下で置き換えて、バケット全体にアクセス権限を付与します。

  arn:aws:s3:::bucket_name/*

  バケット全体にアクセス権限を付与した場合、新しいフローログのサブスクリプションによってバケットポリシーに新しいアクセス権限が追加されることはありません。