Amazon Data Firehose에 게시하는 흐름 로그 생성 - Amazon Virtual Private Cloud

Amazon Data Firehose에 게시하는 흐름 로그 생성

VPC, 서브넷 또는 네트워크 인터페이스에 대한 흐름 로그를 생성할 수 있습니다.

사전 조건
Amazon Data Firehose에 게시하는 흐름 로그 생성 방법

  1. 다음 중 하나를 수행합니다.

  2. 작업(Actions), 흐름 로그 생성(Create flow log)을 선택합니다.

  3. 필터(Filter)에 기록할 트래픽 유형을 지정합니다.

    • 수락 – 수락한 트래픽만 로그합니다.

    • 거부 – 거부한 트래픽만 로그합니다.

    • 모두 – 수락 및 거부한 트래픽을 로그합니다.

  4. 최대 집계 간격(Maximum aggregation interval)에서 흐름이 캡처되어 흐름 로그 레코드로 집계되는 최대 기간을 선택합니다.

  5. 대상(Destination)에서는 다음과 같은 옵션 중 하나를 선택합니다.

    • 동일한 계정의 Amazon Data Firehose로 보내기 - 전송 스트림과 모니터링할 리소스가 동일한 계정에 있습니다.

    • 다른 계정의 Amazon Data Firehose로 보내기 - 전송 스트림과 모니터링할 리소스가 상이한 계정에 있습니다.

  6. Amazon Data Firehose 스트림 이름에는 생성한 전송 스트림을 선택합니다.

  7. [교차 계정 전송만 해당] IAM roles(IAM 역할)에서는 필수 역할을 지정합니다(교차 계정 전송에 대한 IAM 역할 참조).

  8. 로그 레코드 형식에서 흐름 로그 레코드의 형식을 지정합니다.

    • 기본 흐름 로그 레코드 형식을 사용하려면 AWS 기본 형식을 선택하세요.

    • 사용자 지정 형식을 만들려면 사용자 지정 형식을 선택하십시오. 로그 형식(Log format)에 대해 흐름 로그 레코드에 포함할 필드를 선택하세요.

  9. 추가 메타데이터에서 Amazon ECS의 메타데이터를 로그 형식으로 포함할지 선택합니다.

  10. (선택 사항) 태그 추가를 선택하여 흐름 로그에 태그를 적용합니다.

  11. 흐름 로그 생성(Create flow log)을 선택합니다.

명령줄 도구를 사용하여 Amazon Data Firehose에 게시하는 흐름 로그를 생성하는 방법

다음 명령 중 하나를 사용합니다.

다음 AWS CLI 예시에서는 지정된 VPC의 모든 트래픽을 캡처하고 동일한 계정의 지정된 Amazon Data Firehose 전송 스트림에 흐름 로그를 전송하는 흐름 로그를 생성합니다.

aws ec2 create-flow-logs --traffic-type ALL \
  --resource-type VPC \
  --resource-ids vpc-00112233344556677 \
  --log-destination-type kinesis-data-firehose \
  --log-destination arn:aws:firehose:us-east-1:123456789012:deliverystream/flowlogs_stream

다음 AWS CLI 예시에서는 지정된 VPC의 모든 트래픽을 캡처하고 상이한 계정의 지정된 Amazon Data Firehose 전송 스트림에 흐름 로그를 전송하는 흐름 로그를 생성합니다.

aws ec2 create-flow-logs --traffic-type ALL \
  --resource-type VPC \
  --resource-ids vpc-00112233344556677 \
  --log-destination-type kinesis-data-firehose \
  --log-destination arn:aws:firehose:us-east-1:123456789012:deliverystream/flowlogs_stream \
  --deliver-logs-permission-arn arn:aws:iam::source-account:role/mySourceRole \ 
  --deliver-cross-account-role arn:aws:iam::destination-account:role/AWSLogDeliveryFirehoseCrossAccountRole

전송 스트림에 대해 구성한 대상에서 흐름 로그 데이터를 가져올 수 있습니다.