콘솔을 사용하여 Amazon S3로 로그 데이터 내보내기 - Amazon CloudWatch Logs
동일한 계정에 내보내기다른 계정에 내보내기

기계 번역으로 제공되는 번역입니다. 제공된 번역과 원본 영어의 내용이 상충하는 경우에는 영어 버전이 우선합니다.

콘솔을 사용하여 Amazon S3로 로그 데이터 내보내기

다음 예제에서는 Amazon CloudWatch 콘솔을 사용하여 이름이 인 Amazon CloudWatch Logs 로그 그룹에서 라는 Amazon S3 버킷my-log-group으로 모든 데이터를 내보냅니다my-exported-logs.

SSE에서KMS 암호화된 S3 버킷으로 로그 데이터 내보내기가 지원됩니다. DSSE로KMS 암호화된 버킷으로 내보내기는 지원되지 않습니다.

내보내기 설정 방법에 대한 세부 정보는 내보내려는 Amazon S3 버킷이 내보내는 로그와 동일한 계정에 있는지, 또는 다른 계정에 있는지에 따라 다릅니다.

동일한 계정에 내보내기

Amazon S3 버킷이 내보내는 로그와 동일한 계정에 있는 경우 이 섹션의 지침을 사용합니다.

1단계: Amazon S3 버킷 생성

CloudWatch 로그용으로 특별히 생성된 버킷을 사용하는 것이 좋습니다. 그러나 기존 버킷을 사용하고 싶으면 2단계로 건너뛸 수 있습니다.

참고

S3 버킷은 내보낼 로그 데이터와 동일한 리전에 있어야 합니다. CloudWatch 로그는 다른 리전의 S3 버킷으로 데이터 내보내기를 지원하지 않습니다.

S3 버킷을 생성하려면,

  1. 에서 Amazon S3 콘솔을 엽니다https://console.aws.amazon.com/s3/.

  2. 필요한 경우, 지역을 변경합니다. 탐색 모음에서 CloudWatch 로그가 있는 리전을 선택합니다.

  3. Create Bucket(버킷 생성)을 선택합니다.

  4. Bucket Name(버킷 이름)에 버킷의 이름을 입력합니다.

  5. 리전 에서 CloudWatch 로그 데이터가 있는 리전을 선택합니다.

  6. 생성(Create)을 선택합니다.

2단계: 액세스 권한 설정

5단계에서 내보내기 작업을 생성하려면 AmazonS3ReadOnlyAccess IAM 역할 및 다음 권한으로 로그인해야 합니다.

  • logs:CreateExportTask

  • logs:CancelExportTask

  • logs:DescribeExportTasks

  • logs:DescribeLogStreams

  • logs:DescribeLogGroups

액세스 권한을 제공하려면 사용자, 그룹 또는 역할에 권한을 추가하세요:

  • 의 사용자 및 그룹 AWS IAM Identity Center:

    권한 세트를 생성합니다. AWS IAM Identity Center 사용 설명서의 권한 세트 생성의 지침을 따릅니다.

  • 자격 증명 공급자를 IAM 통해 에서 관리되는 사용자:

    ID 페더레이션을 위한 역할을 생성합니다. IAM 사용 설명서의 타사 자격 증명 공급자(페더레이션)에 대한 역할 생성의 지침을 따릅니다.

  • IAM 사용자:

    • 사용자가 맡을 수 있는 역할을 생성합니다. IAM 사용 설명서의 IAM 사용자 역할 생성의 지침을 따릅니다.

    • (권장되지 않음)정책을 사용자에게 직접 연결하거나 사용자를 사용자 그룹에 추가합니다. IAM 사용 설명서의 사용자(콘솔)에 권한 추가의 지침을 따릅니다.

3단계: S3 버킷에 대한 권한 설정

기본적으로 모든 S3 버킷 및 객체는 비공개입니다. 리소스 소유자(버킷을 생성한 AWS 계정 )만 버킷과 해당 버킷이 포함하는 객체에 액세스할 수 있습니다. 그러나 리소스 소유자는 액세스 정책을 작성하여 다른 리소스 및 사용자에게 액세스 권한을 부여할 수 있습니다.

정책을 설정할 때 의도한 로그 스트림만 버킷으로 내보내도록 임의로 생성되는 문자열을 버킷의 접두사로 포함할 것을 권장합니다.

중요

S3 버킷을 더 안전하게 내보내려면 이제 로그 데이터를 S3 버킷으로 내보낼 수 있는 소스 계정 목록을 지정해야 합니다.

다음 예제에서 IDs aws:SourceAccount 키의 계정 목록은 사용자가 로그 데이터를 S3 버킷으로 내보낼 수 있는 계정입니다. aws:SourceArn 키는 작업이 수행되는 리소스가 됩니다. 이를 특정 로그 그룹으로 제한하거나 이 예와 같이 와일드카드를 사용할 수 있습니다.

동일한 계정 내에서 내보내기를 허용하려면 S3 버킷이 생성된 계정의 계정 ID도 포함하는 것이 좋습니다.

Amazon S3 버킷에 대한 권한을 설정하려면

  1. Amazon S3 콘솔에서 1단계에서 생성한 버킷을 선택합니다.

  2. 권한, 버킷 정책을 선택합니다.

  3. Bucket Policy Editor(버킷 정책 편집기)에 다음 정책을 추가합니다. my-exported-logs을(를) S3 버킷의 이름으로 변경합니다. 보안 주체에 올바른 리전 엔드포인트(예: us-west-1)를 지정해야 합니다.

    {
    "Version": "2012-10-17",
    "Statement": [
      {
          "Action": "s3:GetBucketAcl",
          "Effect": "Allow",
          "Resource": "arn:aws:s3:::my-exported-logs",
          "Principal": { "Service": "logs.Region.amazonaws.com" },
          "Condition": {
            "StringEquals": {
                "aws:SourceAccount": [
                    "AccountId1",
                    "AccountId2",
                    ...
                ]
            },
            "ArnLike": {
                    "aws:SourceArn": [
                        "arn:aws:logs:Region:AccountId1:log-group:*",
                        "arn:aws:logs:Region:AccountId2:log-group:*",
                        ...
                     ]
            }
          }
      },
      {
          "Action": "s3:PutObject" ,
          "Effect": "Allow",
          "Resource": "arn:aws:s3:::my-exported-logs/*",
          "Principal": { "Service": "logs.Region.amazonaws.com" },
          "Condition": {
            "StringEquals": {
                "s3:x-amz-acl": "bucket-owner-full-control",
                "aws:SourceAccount": [
                    "AccountId1",
                    "AccountId2",
                    ...
                ]
            },
            "ArnLike": {
                    "aws:SourceArn": [
                        "arn:aws:logs:Region:AccountId1:log-group:*",
                        "arn:aws:logs:Region:AccountId2:log-group:*",
                        ...
                    ]
            }
          }
      }
    ]
}

  4. 저장을 선택하여 버킷에서 액세스 정책으로 방금 추가한 정책을 설정합니다. 이 정책을 통해 CloudWatch Logs는 로그 데이터를 S3 버킷으로 내보낼 수 있습니다. 버킷 소유자는 내보낸 모든 개체에 대해 모든 권한을 가집니다.

    주의

    기존 버킷에 이미 하나 이상의 정책이 연결되어 있는 경우 해당 정책 또는 정책에 대한 CloudWatch Logs 액세스 문을 추가합니다. 발생한 권한 집합이 버킷에 액세스하는 사용자에게 적절한지를 여부를 평가하는 것이 좋습니다.

(선택 사항) 4단계: SSE-로 암호화된 버킷으로 내보내기KMS

이 단계는 를 사용하여 서버 측 암호화를 사용하는 S3 버킷으로 내보내는 경우에만 필요합니다 AWS KMS keys. 이 암호화를 SSE-라고 합니다KMS.

SSE-로 암호화된 버킷으로 내보내려면KMS

  1. AWS KMS 콘솔을 https://console.aws.amazon.com/km 에서 엽니다.

  2. 를 변경하려면 페이지 오른쪽 상단의 리전 선택기를 AWS 리전사용합니다.

  3. 탐색 창에서 Customer managed keys(고객 관리형 키)를 선택합니다.

    Create key(키 생성)를 선택합니다.

  4. 키 유형에 대해 대칭을 선택합니다.

  5. Key usage(키 사용)에서 Encrypt and decrypt(암호화 및 해독)를 선택한 다음 Next(다음)를 선택합니다.

  6. Add labels(레이블 추가)에서 키의 별칭을 입력하고 필요에 따라 설명이나 태그를 추가합니다. 그런 다음 Next(다음)를 선택합니다.

  7. Key administrators(키 관리자)에서 이 키를 관리할 수 있는 사용자를 선택한 다음 Next(다음)를 선택합니다.

  8. Define key usage permissions(키 사용 권한 정의)에서 변경하지 않고 Next(다음)를 선택합니다.

  9. 설정을 검토한 다음 Finish(완료)를 선택합니다.

  10. Customer managed keys(고객 관리형 키) 페이지로 돌아가서 방금 생성한 키의 이름을 선택합니다.

  11. Key policy(키 정책) 탭에서 Switch to policy view(정책 보기로 전환)를 선택합니다.

  12. Key policy(키 정책) 섹션에서 Edit(편집)를 선택합니다.

  13. 키 정책 문 목록에 다음 문을 추가합니다. 이 경우 를 바꿉니다.Region 를 로그의 리전으로 바꾸고 account-ARN KMS 키를 소유한 계정ARN의 를 사용합니다.

    {
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "Allow CWL Service Principal usage",
            "Effect": "Allow",
            "Principal": {
                "Service": "logs.Region.amazonaws.com"
            },
            "Action": [
                "kms:GenerateDataKey",
                "kms:Decrypt"
            ],
            "Resource": "*"
        },
        {
            "Sid": "Enable IAM User Permissions",
            "Effect": "Allow",
            "Principal": {
                "AWS": "account-ARN"
            },
            "Action": [
                "kms:GetKeyPolicy*",
                "kms:PutKeyPolicy*",
                "kms:DescribeKey*",
                "kms:CreateAlias*",
                "kms:ScheduleKeyDeletion*",
                "kms:Decrypt"
            ],
            "Resource": "*"
        }
    ]
}

  14. Save changes(변경 사항 저장)를 선택합니다.

  15. 에서 Amazon S3 콘솔을 엽니다https://console.aws.amazon.com/s3/.

  16. 1단계: S3 버킷 생성에서 생성한 버킷을 찾아 버킷 이름을 선택합니다.

  17. 속성(Properties) 탭을 선택합니다. Default Encryption(기본 암호화)에서 Edit(편집)를 선택합니다.

  18. Server-side encryption(서버 측 암호화)에서 Enable(활성화)을 선택합니다.

  19. 암호화 유형에서 AWS Key Management Service 키(SSE-KMS)를 선택합니다.

  20. AWS KMS 키에서 선택을 선택하고 생성한 키를 찾습니다.

  21. Bucket Key(버킷 키)에서 Enable(활성화)을 선택합니다.

  22. Save changes(변경 사항 저장)를 선택합니다.

5단계: 내보내기 작업 생성

이 단계에서는 로그 그룹에서 로그를 내보낼 수 있도록 내보내기 태스크를 생성합니다.

CloudWatch 콘솔을 사용하여 Amazon S3로 데이터를 내보내려면

  1. 2단계: 액세스 권한 설정에 설명된 대로 충분한 권한으로 로그인합니다.

  2. 에서 CloudWatch 콘솔을 엽니다https://console.aws.amazon.com/cloudwatch/.

  3. 탐색 창에서 로그 그룹을 선택합니다.

  4. 로그 그룹 화면에서 로그 그룹의 이름을 선택합니다.

  5. Actions(작업)에서 Export data to Amazon S3(Amazon S3로 데이터 내보내기)를 선택합니다.

  6. Export data to Amazon S3(Amazon S3로 데이터 내보내기) 화면의 Define data export(데이터 내보내기 정의)에서 From(부터) 및 To(까지)를 사용하여 내보낼 데이터에 대한 시간 범위를 설정합니다.

  7. 로그 그룹에 여러 개의 로그 스트림이 있는 경우에는 로그 스트림 접두사를 제공하여 로그 그룹 데이터를 특정 스트림으로 제한할 수 있습니다. 고급을 선택하고 스트림 접두사에 로그 스트림 접두사를 입력합니다.

  8. Choose S3 bucket(S3 버킷 선택)에서 S3 버킷과 연관된 계정을 선택합니다.

  9. S3 bucket name(S3 버킷 이름)에서 S3 버킷을 선택합니다.

  10. S3 Bucket prefix(S3 버킷 접두사)에 버킷 정책에서 지정한 임의로 생성된 문자열을 입력합니다.

  11. Export(내보내기)를 선택하여 Amazon S3로 로그 데이터를 내보냅니다.

  12. Amazon S3로 내보낸 로그 데이터의 상태를 보려면 Actions(작업)을 선택한 다음 View all exports to Amazon S3(Amazon S3에 대한 모든 내보내기 보기)를 선택합니다.

다른 계정에 내보내기

Amazon S3 버킷이 내보내는 로그와 다른 계정에 있는 경우 이 섹션의 지침을 사용합니다.

1단계: Amazon S3 버킷 생성

CloudWatch 로그용으로 특별히 생성된 버킷을 사용하는 것이 좋습니다. 그러나 기존 버킷을 사용하고 싶으면 2단계로 건너뛸 수 있습니다.

참고

S3 버킷은 내보낼 로그 데이터와 동일한 리전에 있어야 합니다. CloudWatch 로그는 다른 리전의 S3 버킷으로 데이터 내보내기를 지원하지 않습니다.

S3 버킷을 생성하려면,

  1. 에서 Amazon S3 콘솔을 엽니다https://console.aws.amazon.com/s3/.

  2. 필요한 경우, 지역을 변경합니다. 탐색 모음에서 CloudWatch 로그가 있는 리전을 선택합니다.

  3. Create Bucket(버킷 생성)을 선택합니다.

  4. Bucket Name(버킷 이름)에 버킷의 이름을 입력합니다.

  5. 리전 에서 CloudWatch 로그 데이터가 있는 리전을 선택합니다.

  6. 생성(Create)을 선택합니다.

2단계: 액세스 권한 설정

먼저 새 IAM 정책을 생성하여 CloudWatch Logs가 대상 계정의 대상 Amazon S3 버킷에 대한 s3:PutObject 권한을 갖도록 해야 합니다.

생성하는 정책은 대상 버킷이 AWS KMS 암호화를 사용하는지 여부에 따라 달라집니다.

Amazon S3 버킷으로 로그를 내보내는 IAM 정책을 생성하려면

  1. 에서 IAM 콘솔을 엽니다https://console.aws.amazon.com/iam/.

  2. 왼쪽의 탐색 창에서 정책을 선택합니다.

  3. 정책 생성을 선택합니다.

  4. 정책 편집기 섹션에서 을 선택합니다JSON.

  5. 대상 버킷이 AWS KMS 암호화를 사용하지 않는 경우 다음 정책을 편집기에 붙여넣습니다.

    {
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "s3:PutObject",
            "Resource": "arn:aws:s3:::my-exported-logs/*"
        }
    ]
}

    대상 버킷이 AWS KMS 암호화를 사용하는 경우 다음 정책을 편집기에 붙여넣습니다.

    {
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "s3:PutObject",
      "Resource": "arn:aws:s3:::my-exported-logs/*"
    },
    {
      "Effect": "Allow",
      "Action": [
        "kms:GenerateDataKey",
        "kms:Decrypt"
      ],
      "Resource": "ARN_OF_KMS_KEY"
    }
  ]
}

  6. Next(다음)를 선택합니다.

  7. 정책 이름을 입력합니다. 이 이름을 사용하여 IAM 정책을 역할에 연결합니다.

  8. 정책 생성을 선택하여 새 정책을 저장합니다.

5단계에서 내보내기 작업을 생성하려면 AmazonS3ReadOnlyAccess IAM 역할로 로그인해야 합니다. 또한 방금 생성한 IAM 정책과 다음 권한으로 로그인해야 합니다.

  • logs:CreateExportTask

  • logs:CancelExportTask

  • logs:DescribeExportTasks

  • logs:DescribeLogStreams

  • logs:DescribeLogGroups

액세스 권한을 제공하려면 사용자, 그룹 또는 역할에 권한을 추가하세요:

  • 의 사용자 및 그룹 AWS IAM Identity Center:

    권한 세트를 생성합니다. AWS IAM Identity Center 사용 설명서의 권한 세트 생성의 지침을 따릅니다.

  • 자격 증명 공급자를 IAM 통해 에서 관리되는 사용자:

    ID 페더레이션을 위한 역할을 생성합니다. IAM 사용 설명서의 타사 자격 증명 공급자(페더레이션)에 대한 역할 생성의 지침을 따릅니다.

  • IAM 사용자:

    • 사용자가 맡을 수 있는 역할을 생성합니다. IAM 사용 설명서의 IAM 사용자 역할 생성의 지침을 따릅니다.

    • (권장되지 않음)정책을 사용자에게 직접 연결하거나 사용자를 사용자 그룹에 추가합니다. IAM 사용 설명서의 사용자(콘솔)에 권한 추가의 지침을 따릅니다.

3단계: S3 버킷에 대한 권한 설정

기본적으로 모든 S3 버킷 및 객체는 비공개입니다. 리소스 소유자(버킷을 생성한 AWS 계정 )만 버킷과 해당 버킷이 포함하는 객체에 액세스할 수 있습니다. 그러나 리소스 소유자는 액세스 정책을 작성하여 다른 리소스 및 사용자에게 액세스 권한을 부여할 수 있습니다.

정책을 설정할 때 의도한 로그 스트림만 버킷으로 내보내도록 임의로 생성되는 문자열을 버킷의 접두사로 포함할 것을 권장합니다.

중요

S3 버킷을 더 안전하게 내보내려면 이제 로그 데이터를 S3 버킷으로 내보낼 수 있는 소스 계정 목록을 지정해야 합니다.

다음 예제에서 IDs aws:SourceAccount 키의 계정 목록은 사용자가 로그 데이터를 S3 버킷으로 내보낼 수 있는 계정입니다. aws:SourceArn 키는 작업이 수행되는 리소스가 됩니다. 이를 특정 로그 그룹으로 제한하거나 이 예와 같이 와일드카드를 사용할 수 있습니다.

동일한 계정 내에서 내보내기를 허용하려면 S3 버킷이 생성된 계정의 계정 ID도 포함하는 것이 좋습니다.

Amazon S3 버킷에 대한 권한을 설정하려면

  1. Amazon S3 콘솔에서 1단계에서 생성한 버킷을 선택합니다.

  2. 권한, 버킷 정책을 선택합니다.

  3. Bucket Policy Editor(버킷 정책 편집기)에 다음 정책을 추가합니다. my-exported-logs을(를) S3 버킷의 이름으로 변경합니다. 보안 주체에 올바른 리전 엔드포인트(예: us-west-1)를 지정해야 합니다.

    {
    "Version": "2012-10-17",
    "Statement": [
      {
          "Action": "s3:GetBucketAcl",
          "Effect": "Allow",
          "Resource": "arn:aws:s3:::my-exported-logs",
          "Principal": { "Service": "logs.Region.amazonaws.com" },
          "Condition": {
            "StringEquals": {
                "aws:SourceAccount": [
                    "AccountId1",
                    "AccountId2",
                    ...
                ]
            },
            "ArnLike": {
                    "aws:SourceArn": [
                        "arn:aws:logs:Region:AccountId1:log-group:*",
                        "arn:aws:logs:Region:AccountId2:log-group:*",
                        ...
                     ]
            }
          }
      },
      {
          "Action": "s3:PutObject" ,
          "Effect": "Allow",
          "Resource": "arn:aws:s3:::my-exported-logs/*",
          "Principal": { "Service": "logs.Region.amazonaws.com" },
          "Condition": {
            "StringEquals": {
                "s3:x-amz-acl": "bucket-owner-full-control",
                "aws:SourceAccount": [
                    "AccountId1",
                    "AccountId2",
                    ...
                ]
            },
            "ArnLike": {
                    "aws:SourceArn": [
                        "arn:aws:logs:Region:AccountId1:log-group:*",
                        "arn:aws:logs:Region:AccountId2:log-group:*",
                        ...
                    ]
            }
          }
      },
      {
          "Effect": "Allow",
          "Principal": {
            "AWS": "arn:aws:iam::create_export_task_caller_account:role/role_name"
          },
          "Action": "s3:PutObject",
          "Resource": "arn:aws:s3:::my-exported-logs/*",
          "Condition": {
            "StringEquals": {
                "s3:x-amz-acl": "bucket-owner-full-control"
            }
          }
       }
    ]
}

  4. 저장을 선택하여 버킷에서 액세스 정책으로 방금 추가한 정책을 설정합니다. 이 정책을 통해 CloudWatch Logs는 로그 데이터를 S3 버킷으로 내보낼 수 있습니다. 버킷 소유자는 내보낸 모든 개체에 대해 모든 권한을 가집니다.

    주의

    기존 버킷에 이미 하나 이상의 정책이 연결되어 있는 경우 해당 정책 또는 정책에 대한 CloudWatch Logs 액세스 문을 추가합니다. 발생한 권한 집합이 버킷에 액세스하는 사용자에게 적절한지를 여부를 평가하는 것이 좋습니다.

(선택 사항) 4단계: SSE-로 암호화된 버킷으로 내보내기KMS

이 단계는 를 사용하여 서버 측 암호화를 사용하는 S3 버킷으로 내보내는 경우에만 필요합니다 AWS KMS keys. 이 암호화를 SSE-라고 합니다KMS.

SSE-로 암호화된 버킷으로 내보내려면KMS

  1. AWS KMS 콘솔을 https://console.aws.amazon.com/kms 에서 엽니다.

  2. 를 변경하려면 페이지 오른쪽 상단의 리전 선택기를 AWS 리전사용합니다.

  3. 탐색 창에서 Customer managed keys(고객 관리형 키)를 선택합니다.

    Create key(키 생성)를 선택합니다.

  4. 키 유형에 대해 대칭을 선택합니다.

  5. Key usage(키 사용)에서 Encrypt and decrypt(암호화 및 해독)를 선택한 다음 Next(다음)를 선택합니다.

  6. Add labels(레이블 추가)에서 키의 별칭을 입력하고 필요에 따라 설명이나 태그를 추가합니다. 그런 다음 Next(다음)를 선택합니다.

  7. Key administrators(키 관리자)에서 이 키를 관리할 수 있는 사용자를 선택한 다음 Next(다음)를 선택합니다.

  8. Define key usage permissions(키 사용 권한 정의)에서 변경하지 않고 Next(다음)를 선택합니다.

  9. 설정을 검토한 다음 Finish(완료)를 선택합니다.

  10. Customer managed keys(고객 관리형 키) 페이지로 돌아가서 방금 생성한 키의 이름을 선택합니다.

  11. Key policy(키 정책) 탭에서 Switch to policy view(정책 보기로 전환)를 선택합니다.

  12. Key policy(키 정책) 섹션에서 Edit(편집)를 선택합니다.

  13. 키 정책 문 목록에 다음 문을 추가합니다. 이 경우 를 바꿉니다.Region 를 로그의 리전으로 바꾸고 account-ARN KMS 키를 소유한 계정ARN의 를 사용합니다.

    {
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "Allow CWL Service Principal usage",
            "Effect": "Allow",
            "Principal": {
                "Service": "logs.Region.amazonaws.com"
            },
            "Action": [
                "kms:GenerateDataKey",
                "kms:Decrypt"
            ],
            "Resource": "*"
        },
        {
            "Sid": "Enable IAM User Permissions",
            "Effect": "Allow",
            "Principal": {
                "AWS": "account-ARN"
            },
            "Action": [
                "kms:GetKeyPolicy*",
                "kms:PutKeyPolicy*",
                "kms:DescribeKey*",
                "kms:CreateAlias*",
                "kms:ScheduleKeyDeletion*",
                "kms:Decrypt"
            ],
            "Resource": "*"
        },
        {
            "Sid": "Enable IAM Role Permissions",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::create_export_task_caller_account:role/role_name"
            },
            "Action": [
                "kms:GenerateDataKey",
                "kms:Decrypt"
            ],
            "Resource": "ARN_OF_KMS_KEY"
        }
    ]
}

  14. Save changes(변경 사항 저장)를 선택합니다.

  15. 에서 Amazon S3 콘솔을 엽니다https://console.aws.amazon.com/s3/.

  16. 1단계: S3 버킷 생성에서 생성한 버킷을 찾아 버킷 이름을 선택합니다.

  17. 속성(Properties) 탭을 선택합니다. Default Encryption(기본 암호화)에서 Edit(편집)를 선택합니다.

  18. Server-side encryption(서버 측 암호화)에서 Enable(활성화)을 선택합니다.

  19. 암호화 유형에서 AWS Key Management Service 키(SSE-KMS)를 선택합니다.

  20. AWS KMS 키에서 선택을 선택하고 생성한 키를 찾습니다.

  21. Bucket Key(버킷 키)에서 Enable(활성화)을 선택합니다.

  22. Save changes(변경 사항 저장)를 선택합니다.

5단계: 내보내기 작업 생성

이 단계에서는 로그 그룹에서 로그를 내보낼 수 있도록 내보내기 태스크를 생성합니다.

CloudWatch 콘솔을 사용하여 Amazon S3로 데이터를 내보내려면

  1. 2단계: 액세스 권한 설정에 설명된 대로 충분한 권한으로 로그인합니다.

  2. 에서 CloudWatch 콘솔을 엽니다https://console.aws.amazon.com/cloudwatch/.

  3. 탐색 창에서 로그 그룹을 선택합니다.

  4. 로그 그룹 화면에서 로그 그룹의 이름을 선택합니다.

  5. Actions(작업)에서 Export data to Amazon S3(Amazon S3로 데이터 내보내기)를 선택합니다.

  6. Export data to Amazon S3(Amazon S3로 데이터 내보내기) 화면의 Define data export(데이터 내보내기 정의)에서 From(부터) 및 To(까지)를 사용하여 내보낼 데이터에 대한 시간 범위를 설정합니다.

  7. 로그 그룹에 여러 개의 로그 스트림이 있는 경우에는 로그 스트림 접두사를 제공하여 로그 그룹 데이터를 특정 스트림으로 제한할 수 있습니다. 고급을 선택하고 스트림 접두사에 로그 스트림 접두사를 입력합니다.

  8. Choose S3 bucket(S3 버킷 선택)에서 S3 버킷과 연관된 계정을 선택합니다.

  9. S3 bucket name(S3 버킷 이름)에서 S3 버킷을 선택합니다.

  10. S3 Bucket prefix(S3 버킷 접두사)에 버킷 정책에서 지정한 임의로 생성된 문자열을 입력합니다.

  11. Export(내보내기)를 선택하여 Amazon S3로 로그 데이터를 내보냅니다.

  12. Amazon S3로 내보낸 로그 데이터의 상태를 보려면 Actions(작업)을 선택한 다음 View all exports to Amazon S3(Amazon S3에 대한 모든 내보내기 보기)를 선택합니다.