Criar um log de fluxo que publique no CloudWatch Logs - Amazon Virtual Private Cloud

Criar um log de fluxo que publique no CloudWatch Logs

É possível criar logs de fluxos para suas VPCs, sub-redes ou interfaces de rede. Caso execute essas etapas como um usuário usando um perfil do IAM específico, verifique se o perfil tem permissões para usar a ação iam:PassRole.

Pré-requisito

Verifique se a entidade principal do IAM que você está usando para fazer a solicitação tem permissões para chamar a ação iam:PassRole.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": ["iam:PassRole"],
      "Resource": "arn:aws:iam::account-id:role/flow-log-role-name"
    }
  ]
}
Para criar um log de fluxo usando o console

  1. Execute um destes procedimentos:

  2. Escolha Actions (Ações), Create flow log (Criar log de fluxo).

  3. Em Filter (Filtrar), especifique o tipo de tráfego a ser registrado em log. Selecione All (Todos) para registrar em log o tráfego aceito e rejeitado, Rejected (Rejeitado) para registrar somente o tráfego rejeitado ou Accepted (Aceito) para registrar somente o tráfego aceito.

  4. Em Maximum aggregation interval (Intervalo máximo de agregação), escolha o período máximo durante o qual um fluxo é capturado e agregado em um registro de log de fluxo.

  5. Para Destination (Destino), escolha Send to CloudWatch Logs (Enviar para o CloudWatch Logs).

  6. Em Grupo de logs de destino, escolha o nome de um grupo de logs existente ou insira o nome de um novo grupo de logs. Se você inserir um nome, criaremos o grupo de registros quando houver tráfego para registrar em log.

  7. Em IAM role (Função do IAM), especifique o nome da função que tem as permissões para publicar logs no CloudWatch Logs.

  8. Para Log record format (Formato de registro de log) , selecione o formato para o registro de log de fluxo.

    • Para usar o formato padrão, escolha AWS default format (Formato padrão da ).

    • Para usar um formato personalizado, escolha Custom format (Formato personalizado) e, em seguida, selecione os campos de Log format (Formato de log) .

  9. Para Metadados adicionais, escolha se quer incluir metadados do Amazon ECS no formato de log.

  10. (Opcional) Escolha Add new tag (Adicionar nova tag) para aplicar tags ao log de fluxo.

  11. Selecione Create flow log (Criar log de fluxo).

Para criar um log de fluxo usando a linha de comando

Use um dos seguintes comandos.

O exemplo de AWS CLI a seguir cria um log de fluxo que captura todo o tráfego aceito para a sub-rede especificada. Os logs de fluxo são entregues ao grupo de logs especificado. O parâmetro --deliver-logs-permission-arn especifica o perfil do IAM necessário para publicar no CloudWatch Logs.

aws ec2 create-flow-logs --resource-type Subnet --resource-ids subnet-1a2b3c4d --traffic-type ACCEPT --log-group-name my-flow-logs --deliver-logs-permission-arn arn:aws:iam::123456789101:role/publishFlowLogs