Amazon CloudWatch Logs를 사용하여 데이터 전송 모니터링

향상된 모드를 사용하면 DataSync는 작업 로그를 라는 로그 그룹으로 자동으로 전송합니다/aws/datasync. 해당 로그 그룹이에 없는 경우 AWS 리전 DataSync는 작업을 생성할 때 IAM 서비스 연결 역할을 사용하여 사용자를 대신하여 로그 그룹을 생성합니다.

기본 모드를 사용하여 DataSync 작업에 대한 CloudWatch 로그 그룹을 설정하는 방법에는 몇 가지가 있습니다. 콘솔에서 대부분의 경우 DataSync가 로그를 업로드하는 데 필요한 권한을 포함하는 IAM 역할을 자동으로 생성할 수 있습니다. 이 자동 생성된 역할은 최소 권한 관점에서 볼 때 요구 사항을 충족하지 못할 수 있다는 점에 유의하세요.

기존 CloudWatch 로그 그룹을 사용하거나 프로그래밍 방식으로 작업을 생성하는 경우 IAM 역할을 직접 생성해야 합니다.

다음 예제는 이러한 권한을 부여하는 IAM 정책입니다.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "DataSyncLogsToCloudWatchLogs",
            "Effect": "Allow",
            "Action": [
                "logs:PutLogEvents",
                "logs:CreateLogStream"
            ],
            "Principal": {
                "Service": "datasync.amazonaws.com"
            },
            "Condition": {
                "ArnLike": {
                    "aws:SourceArn": [
                        "arn:aws:datasync:region:account-id:task/*"
                    ]
                },
                "StringEquals": {
                    "aws:SourceAccount": "account-id"
                }
            },
            "Resource": "arn:aws:logs:region:account-id:log-group:*:*"
        }
    ]
}

이 정책은 Condition문을 사용하여 지정된 계정의 DataSync 작업만 지정된 CloudWatch 로그 그룹에 액세스할 수 있도록 합니다. 혼동되는 부정 문제를 방지하려면 이러한 Condition에 aws:SourceArn및 aws:SourceAccount글로벌 조건 컨텍스트 키를 사용하는 것이 좋습니다. 자세한 내용은 교차 서비스 혼동된 대리인 방지 단원을 참조하십시오.

DataSync 태스크 또는 태스크를 지정하려면를 태스크 AWS 리전 가 있는의 리전 코드(예: us-west-2)region로 바꾸고를 태스크가 포함된 계정의 AWS 계정 IDaccount-id로 바꿉니다. CloudWatch 로그 그룹을 지정하려면 동일한 값을 바꾸세요. 특정 로그 그룹을 대상으로 지정하도록 Resource문을 변경할 수도 있습니다. SourceArn 및 SourceAccount사용에 대한 자세한 설명은 IAM 사용자 가이드의 글로벌 조건 키를 참조하세요.

정책을 적용하려면 이 정책 설명을 로컬 컴퓨터의 파일에 저장합니다. 그런 다음 다음 AWS CLI 명령을 실행하여 리소스 정책을 적용합니다. 이 예시 명령을 사용하려면 full-path-to-policy-file를 정책 설명이 포함된 파일의 경로로 대체해야 합니다.

aws logs put-resource-policy --policy-name trust-datasync --policy-document file://full-path-to-policy-file

자세한 내용은 Amazon CloudWatch Logs 사용 설명서를 참조하세요.

{
    "Action": "VERIFY",
    "Source": {
        "LocationId": "loc-abcdef01234567890",
        "RelativePath": "directory1/directory2/file1.txt"
    },
    "Destination": {
        "LocationId": "loc-05ab2fdc272204a5f",
        "RelativePath": "directory1/directory2/file1.txt",
        "Metadata": {
            "Type": "Object",
            "ContentSize": 66060288,
            "LastModified": "2024-10-03T20:46:58Z",
            "S3": {
                "SystemMetadata": {
                    "ContentType": "binary/octet-stream",
                    "ETag": "\"1234abcd5678efgh9012ijkl3456mnop\"",
                    "ServerSideEncryption": "AES256"
                },
                "UserMetadata": {
                    "file-mtime": "1602647222/222919600"
                },
                "Tags": {}
            }
        }
    },
    "ErrorCode": "FileNotAtSource",
    "ErrorDetail": "Verification failed due to file being present at the destination but not at the source"
}

[NOTICE] Verification failed > /directory1/directory2/file1.txt
[NOTICE] /directory1/directory2/file1.txt   dstMeta: type=R mode=0755 uid=65534 gid=65534 size=8972938 atime=1728657659/0 mtime=1728657659/0 extAttrsHash=0
[NOTICE]   dstHash: f9c2cca900301d38b0930367d8d587153154af467da0fdcf1bebc0848ec72c0d