Configurar o registro em log padrão (v2)

Use o console do CloudFront para criar uma nova distribuição ou atualizar uma existente.

Na seção Registro em log padrão, em Entrega de logs, escolha Ativado.

(Opcional) Em Registro de cookie, especifique se você deseja incluir cookies em seus logs.

Na seção Entregar para, especifique o serviço que deve receber seus logs:

Em Destino, selecione o recurso para seu serviço. Se você ainda não criou seu recurso, pode escolher Criar ou consultar a documentação a seguir.

Em Configurações adicionais: opcional, você pode especificar as seguintes opções:

1. Em Seleção de campos, escolha o nome dos campos de log que você deseja entregar ao seu destino. Você pode selecionar campos de log de acesso e um subconjunto de campos de log em tempo real.

2. (Somente para o Amazon S3) Em Particionamento, especifique o caminho para particionar os dados do arquivo de log.

3. (Somente para o Amazon S3) Em Formato de arquivo compatível com o Hive, você pode marcar a caixa de seleção para usar caminhos do S3 compatíveis com o Hive. Isso ajuda a simplificar o carregamento de novos dados em suas ferramentas compatíveis com o Hive.

4. Em Formato de saída, especifique o formato de sua preferência.

   nota

   Se você escolher Parquet, essa opção incorrerá em cobranças do CloudWatch pela conversão dos logs de acesso em Apache Parquet. Para ter mais informações, consulte a seção sobre logs fornecidos em Definição de preço do Amazon CloudWatch.

5. Em Delimitador de campo, especifique como separar os campos de log.

Conclua as etapas para atualizar ou criar sua distribuição.

Para adicionar outro destino, escolha Adicionar outro destino e repita as etapas 4 a 7.

Na página Logs, verifique se o status dos logs padrão está ativado ao lado da distribuição.

Para ter mais informações sobre a entrega do registro em log padrão e os campos de log, consulte Referência do registro em log padrão.

Depois de criar uma distribuição, obtenha o nome de recurso da Amazon (ARN).

Você pode encontrar o ARN na página Distribuição no console do CloudFront ou usar a operação de API GetDistribution. Um ARN de distribuição segue o formato arn:aws:cloudfront::123456789012:distribution/d111111abcdef8.

Em seguida, use a operação de API PutDeliverySource do CloudWatch para criar uma origem de entrega para a distribuição.

1. Insira um nome para a origem de entrega.

2. Passe o resourceArn da distribuição.

3. Em logType, especifique ACCESS_LOGS como o tipo de log que será coletado.

4. exemplo Exemplo do comando put-delivery-source da AWS CLI

   Veja abaixo um exemplo de configuração de origem de entrega para uma distribuição.

   aws logs put-delivery-source --name S3-delivery --resource-arn arn:aws:cloudfront::123456789012:distribution/d111111abcdef8 --log-type ACCESS_LOGS

   Saída

   {
    "deliverySource": {
    "name": "S3-delivery",
    "arn": "arn:aws:logs:us-east-1:123456789012:delivery-source:S3-delivery",
    "resourceArns": [
    "arn:aws:cloudfront::123456789012:distribution/d111111abcdef8"
    ],
    "service": "cloudfront",
    "logType": "ACCESS_LOGS"
    }
   } 

Use a operação de API PutDeliveryDestination para configurar onde armazenar os logs.

1. Em destinationResourceArn, especifique o ARN do destino. Isso pode ser um grupo de logs do CloudWatch Logs, a um fluxo de entrega do Firehose ou um bucket do Amazon S3.

2. Em outputFormat, especifique o formato de saída para os logs.

3. exemplo Exemplo do comando put-delivery-destination da AWS CLI

   Veja abaixo um exemplo de configuração de destino de entrega para um bucket do Amazon S3.

   aws logs put-delivery-destination --name S3-destination --delivery-destination-configuration destinationResourceArn=arn:aws:s3:::amzn-s3-demo-bucket

   Saída

   {
       "name": "S3-destination",
       "arn": "arn:aws:logs:us-east-1:123456789012:delivery-destination:S3-destination",
       "deliveryDestinationType": "S3",
       "deliveryDestinationConfiguration": {
           "destinationResourceArn": "arn:aws:s3:::amzn-s3-demo-bucket"
       }
   }

Use a operação de API CreateDelivery para vincular a origem de entrega ao destino que você criou nas etapas anteriores. Essa operação de API associa a fonte de entrega ao destino final.

1. Para deliverySourceName, especifique o nome da origem.

2. Para deliveryDestinationArn, especifique o ARN do destino de entrega.

3. Para fieldDelimiter, especifique a string para separar cada campo de log.

4. Para recordFields, especifique os campos de log que você deseja.

5. Se você estiver usando o S3, especifique se deseja usar enableHiveCompatiblePath e suffixPath.

aws logs create-delivery --delivery-source-name cf-delivery --delivery-destination-arn arn:aws:logs:us-east-1:123456789012:delivery-destination:S3-destination

{
    "id": "abcNegnBoTR123",
    "arn": "arn:aws:logs:us-east-1:123456789012:delivery:abcNegnBoTR123",
    "deliverySourceName": "cf-delivery",
    "deliveryDestinationArn": "arn:aws:logs:us-east-1:123456789012:delivery-destination:S3-destination",
    "deliveryDestinationType": "S3",
    "recordFields": [
        "date",
        "time",
        "x-edge-location",
        "sc-bytes",
        "c-ip",
        "cs-method",
        "cs(Host)",
        "cs-uri-stem",
        "sc-status",
        "cs(Referer)",
        "cs(User-Agent)",
        "cs-uri-query",
        "cs(Cookie)",
        "x-edge-result-type",
        "x-edge-request-id",
        "x-host-header",
        "cs-protocol",
        "cs-bytes",
        "time-taken",
        "x-forwarded-for",
        "ssl-protocol",
        "ssl-cipher",
        "x-edge-response-result-type",
        "cs-protocol-version",
        "fle-status",
        "fle-encrypted-fields",
        "c-port",
        "time-to-first-byte",
        "x-edge-detailed-result-type",
        "sc-content-type",
        "sc-content-len",
        "sc-range-start",
        "sc-range-end",
        "c-country",
        "cache-behavior-path-pattern"
    ],
     "fieldDelimiter": ""
}

No console do CloudFront, na página Logs, verifique se o status dos logs padrão está Habilitado ao lado da distribuição.

Para ter mais informações sobre a entrega do registro em log padrão e os campos de log, consulte Referência do registro em log padrão.

Para criar o destino da entrega de logs, você pode inserir o comando da AWS CLI a seguir. Este exemplo usa a string MyLogPrefix para criar um prefixo para os logs de acesso.

aws logs put-delivery-destination --name cloudfront-delivery-destination --delivery-destination-configuration "destinationResourceArn=arn:aws:s3:::amzn-s3-demo-bucket-cloudfront-logs/MyLogPrefix"

Saída

{
    "deliveryDestination": {
        "name": "cloudfront-delivery-destination",
        "arn": "arn:aws:logs:us-east-1:222222222222:delivery-destination:cloudfront-delivery-destination",
        "deliveryDestinationType": "S3",
        "deliveryDestinationConfiguration": {"destinationResourceArn": "arn:aws:s3:::amzn-s3-demo-bucket-cloudfront-logs/MyLogPrefix"}
    }
}

Adicione a política de recursos para o destino de entrega de logs a fim de permitir que a conta de origem crie uma entrega de logs.

Na política a seguir, substitua 111111111111 pelo ID da conta de origem e especifique o ARN do destino de entrega com base na saída da etapa 1.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowCreateDelivery",
            "Effect": "Allow",
            "Principal": {"AWS": "111111111111"},
            "Action": ["logs:CreateDelivery"],
            "Resource": "arn:aws:logs:us-east-1:222222222222:delivery-destination:cloudfront-delivery-destination"
        }
    ]
}

Salve o arquivo, como deliverypolicy.json, por exemplo.

Para anexar a política anterior ao destino de entrega, digite o comando da AWS CLI a seguir.

aws logs put-delivery-destination-policy --delivery-destination-name cloudfront-delivery-destination --delivery-destination-policy file://deliverypolicy.json

Adicione a declaração abaixo à política de bucket do Amazon S3 de destino, substituindo o ARN do recurso e o ID da conta de origem. Essa política permite que a entidade principal do serviço delivery.logs.amazonaws.com execute a ação s3:PutObject.

{
    "Sid": "AWSLogsDeliveryWrite",
    "Effect": "Allow",
    "Principal": {"Service": "delivery.logs.amazonaws.com"},
    "Action": "s3:PutObject",
    "Resource": "arn:aws:s3:::amzn-s3-demo-bucket-cloudfront-logs/*",
    "Condition": {
        "StringEquals": {
            "s3:x-amz-acl": "bucket-owner-full-control",
            "aws:SourceAccount": "111111111111"
        },
        "ArnLike": {"aws:SourceArn": "arn:aws:logs:us-east-1:111111111111:delivery-source:*"}
    }
}

Se você estiver usando o AWS KMS para seu bucket, adicione a declaração a seguir à política de chave do KMS para conceder permissões à entidade principal do serviço delivery.logs.amazonaws.com.

{
    "Sid": "Allow Logs Delivery to use the key",
    "Effect": "Allow",
    "Principal": {"Service": "delivery.logs.amazonaws.com"},
    "Action": [
        "kms:Encrypt",
        "kms:Decrypt",
        "kms:ReEncrypt*",
        "kms:GenerateDataKey*",
        "kms:DescribeKey"
    ],
    "Resource": "",
    "Condition": {
        "StringEquals": {"aws:SourceAccount": "111111111111"},
        "ArnLike": {"aws:SourceArn": "arn:aws:logs:us-east-1:111111111111:delivery-source:"}
    }
}

Crie uma origem de entrega para o registro em log padrão do CloudFront para que possa enviar arquivos de log ao CloudWatch Logs.

Você pode inserir o comando da AWS CLI a seguir, substituindo o nome e o ARN da sua distribuição.

aws logs put-delivery-source --name s3-cf-delivery --resource-arn arn:aws:cloudfront::111111111111:distribution/E1TR1RHV123ABC --log-type ACCESS_LOGS

Saída

{
    "deliverySource": {
        "name": "s3-cf-delivery",
        "arn": "arn:aws:logs:us-east-1:111111111111:delivery-source:s3-cf-delivery",
        "resourceArns": ["arn:aws:cloudfront::111111111111:distribution/E1TR1RHV123ABC"],
        "service": "cloudfront",
        "logType": "ACCESS_LOGS"
    }
}

Crie uma entrega para associar a origem de entrega de logs da conta de origem e o destino de entrega de logs da conta de destino.

No comando da AWS CLI a seguir, especifique o ARN do destino de entrega com base na saída da Etapa 1: configurar a conta de destino.

aws logs create-delivery --delivery-source-name s3-cf-delivery --delivery-destination-arn arn:aws:logs:us-east-1:222222222222:delivery-destination:cloudfront-delivery-destination

Saída

{
    "delivery": {
        "id": "OPmOpLahVzhx1234",
        "arn": "arn:aws:logs:us-east-1:111111111111:delivery:OPmOpLahVzhx1234",
        "deliverySourceName": "s3-cf-delivery",
        "deliveryDestinationArn": "arn:aws:logs:us-east-1:222222222222:delivery-destination:cloudfront-delivery-destination",
        "deliveryDestinationType": "S3",
        "recordFields": [
            "date",
            "time",
            "x-edge-location",
            "sc-bytes",
            "c-ip",
            "cs-method",
            "cs(Host)",
            "cs-uri-stem",
            "sc-status",
            "cs(Referer)",
            "cs(User-Agent)",
            "cs-uri-query",
            "cs(Cookie)",
            "x-edge-result-type",
            "x-edge-request-id",
            "x-host-header",
            "cs-protocol",
            "cs-bytes",
            "time-taken",
            "x-forwarded-for",
            "ssl-protocol",
            "ssl-cipher",
            "x-edge-response-result-type",
            "cs-protocol-version",
            "fle-status",
            "fle-encrypted-fields",
            "c-port",
            "time-to-first-byte",
            "x-edge-detailed-result-type",
            "sc-content-type",
            "sc-content-len",
            "sc-range-start",
            "sc-range-end",
            "c-country",
            "cache-behavior-path-pattern"
        ],
        "fieldDelimiter": "\t"
    }
}

Verifique se a entrega entre contas foi bem-sucedida.

1. Na conta de origem, faça login no console do CloudFront e escolha sua distribuição. Na guia Registro em log, em Tipo, você verá uma entrada criada para a entrega de logs entre contas do S3.

2. Na conta de destino, faça login no console do Amazon S3 e escolha seu bucket do Amazon S3. Você verá o prefixo MyLogPrefix no nome do bucket e quaisquer logs de acesso entregues a essa pasta.

Faça login no console do CloudFront.

Selecione Distribuição e escolha o ID de sua distribuição.

Escolha Registro em log e, em Destinos de log padrão, selecione o destino.

Selecione Gerenciar e, em seguida, Excluir.

Repita a etapa anterior se você tiver mais de um registro em log padrão.