啟用 Application Load Balancer 的連線日誌 - Elastic Load Balancing
步驟 1：建立 S3 儲存貯體步驟 2：連接政策到您的 S3 儲存貯體步驟 3：設定連線日誌步驟 4：確認儲存貯體許可故障診斷

本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

啟用 Application Load Balancer 的連線日誌

當您為負載平衡器啟用連線日誌時，您必須指定負載平衡器將存放日誌的 S3 儲存貯體名稱。儲存貯體必須具有儲存貯體政策，能授予 Elastic Load Balancing 寫入儲存貯體的許可。

步驟 1：建立 S3 儲存貯體

啟用連線日誌時，您必須為連線日誌指定 S3 儲存貯體。您可以使用現有的儲存貯體，或特別為連線日誌建立儲存貯體。儲存貯體必須符合下列需求。

要求

  • 儲存貯體與負載平衡器必須位於相同的 Region (區域)。儲存貯體和負載平衡器可以由不同的帳戶擁有。

  • 支援的唯一伺服器端加密選項是 Amazon S3-managed金鑰 （SSE-S3）。如需詳細資訊，請參閱 Amazon S3-managed加密金鑰 （SSE-S3）。

使用 Amazon S3 主控台建立 S3 儲存貯體

  1. 在 開啟 Amazon S3 主控台https://console.aws.amazon.com/s3/。

  2. 選擇建立儲存貯體。

  3. 在 Create bucket (建立儲存貯體) 頁面上，執行下列操作：

    1. 針對 Bucket name (儲存貯體名稱)，輸入儲存貯體的名稱。該名稱在 Amazon S3 中所有現有的儲存貯體名稱之間，不得重複。在某些區域，可能會對儲存貯體的名稱進行其他限制。如需詳細資訊，請參閱 Amazon Simple Storage Service 使用者指南中的儲存貯體限制與局限。

    2. 針對 AWS 區域，選取您建立負載平衡器時所在的區域。

    3. 對於預設加密 ，選擇 Amazon S3-managed金鑰 （SSE-S3）。

    4. 選擇建立儲存貯體。

步驟 2：連接政策到您的 S3 儲存貯體

您的 S3 儲存貯體必須具有儲存貯體政策，授予 Elastic Load Balancing 將連線日誌寫入儲存貯體的許可。儲存貯體政策是以存取政策語言編寫的JSON陳述式集合，用於定義儲存貯體的存取許可。每個陳述式包含單一許可的相關資訊，且包含一系列的元素。

如果您使用的是已連接政策的現有儲存貯體，您可以將 Elastic Load Balancing 連線日誌的陳述式新增至政策。如果您這樣做，建議您評估產生的一組許可，以確保它們適合需要存取儲存貯體以進行連線日誌的使用者。

可用的儲存貯體政策

您將使用的儲存貯體政策取決於 AWS 區域 和 區域類型。以下每個可展開的區段都包含儲存貯體政策以及在何時使用該政策的資訊。

此政策會將許可授予指定的日誌交付服務。針對下列「區域」內的「可用區域」和「本地區域」中的負載平衡器使用此政策：

  • 亞太區域 (海德拉巴)

  • 亞太區域 （馬來西亞）

  • 亞太區域 (墨爾本)

  • 歐洲 (西班牙)

  • 歐洲 (蘇黎世)

  • 以色列 (特拉維夫)

  • 中東 （UAE）

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "logdelivery.elasticloadbalancing.amazonaws.com"
      },
      "Action": "s3:PutObject",
      "Resource": "arn:aws:s3:::bucket-name/prefix/AWSLogs/aws-account-id/*"
    }
  ]
}

此政策會將許可授予指定的 Elastic Load Balancing 帳戶 ID。針對下列清單中 「區域」內的「可用區域」或「本地區域」中的負載平衡器使用此政策。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::elb-account-id:root"
      },
      "Action": "s3:PutObject",
       "Resource": "s3-bucket-arn"
    }
  ]
}

Replace (取代) elb-account-id 搭配您 區域的 Elastic Load Balancing AWS 帳戶 的 ID：

  • 美國東部 (維吉尼亞北部) – 127311923021

  • 美國東部 (俄亥俄) – 033677994240

  • 美國西部 (加利佛尼亞北部) – 027434742980

  • 美國西部 (奧勒岡) – 797873946194

  • 非洲 (開普敦) – 098369216593

  • 亞太區域 (香港) – 754344448648

  • 亞太區域 (雅加達) – 589379963580

  • 亞太區域 (孟買) – 718504428378

  • 亞太區域 (大阪) – 383597477331

  • 亞太區域 (首爾) – 600734575887

  • 亞太區域 (新加坡) – 114774131450

  • 亞太區域 (雪梨) – 783225319266

  • 亞太區域 (東京) – 582318560864

  • 加拿大 (中部) – 985666609251

  • 歐洲 (法蘭克福) – 054676820928

  • 歐洲 (愛爾蘭) – 156460612806

  • 歐洲 (倫敦) – 652711504416

  • 歐洲 (米蘭) – 635631232127

  • 歐洲 (巴黎) – 009996457667

  • 歐洲 (斯德哥爾摩) – 897822967062

  • 中東 (巴林) – 076674570225

  • 南美洲 (聖保羅) – 507241528517

Replace (取代) s3-bucket-arn 連線日誌位置ARN的 。ARN 您指定的 取決於您在步驟 3 中啟用連線日誌時是否計劃指定字首。

ARN 具有字首的範例 S3 儲存貯體

儲存貯體名稱為 amzn-s3-demo-logging-bucket，字首為 ，logging-prefix而 AWS 具有負載平衡器的帳戶 ID 為 111122223333。

arn:aws:s3:::amzn-s3-demo-logging-bucket/logging-prefix/AWSLogs/111122223333/*
沒有字首的範例 S3 儲存貯體ARN範例

儲存貯體名稱為 amzn-s3-，demo-logging-bucket 而 AWS 具有負載平衡器的帳戶 ID 為 111122223333。

arn:aws:s3:::amzn-s3-demo-logging-bucket/AWSLogs/111122223333/*

此政策會將許可授予指定的 Elastic Load Balancing 帳戶 ID。在可用區域或下方清單中 AWS GovCloud (US) 區域中的本機區域，使用此政策作為負載平衡器。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws-us-gov:iam::elb-account-id:root"
      },
      "Action": "s3:PutObject",
      "Resource": "s3-bucket-arn"
    }
  ]
}

Replace (取代) elb-account-id 搭配您 AWS GovCloud (US) 區域的 AWS 帳戶 Elastic Load Balancing 的 ID：

  • AWS GovCloud （美國西部） – 048591011584

  • AWS GovCloud （美國東部） – 190560391635

Replace (取代) s3-bucket-arn 存取日誌ARN的 儲存貯體。

ARN 具有字首的範例 S3 儲存貯體

儲存貯體名稱為 amzn-s3-demo-logging-bucket，字首為 logging-prefix， AWS 具有負載平衡器的帳戶 ID 為 111122223333。

arn:aws-us-gov:s3:::amzn-s3-demo-logging-bucket/logging-prefix/AWSLogs/111122223333/*
沒有字首的範例 S3 ARN 儲存貯體

儲存貯體名稱為 ，amzn-s3-demo-logging-bucket而 AWS 具有負載平衡器的帳戶 ID 為 111122223333。

arn:aws-us-gov:s3:::amzn-s3-demo-logging-bucket/AWSLogs/111122223333/*
使用 Amazon S3 主控台將連線日誌的儲存貯體政策連接至儲存貯體

  1. 在 開啟 Amazon S3 主控台https://console.aws.amazon.com/s3/。

  2. 選取儲存貯體的名稱，開啟其詳細資訊頁面。

  3. 選擇 Permissions (許可)，然後選擇 Bucket policy (儲存貯體政策)、Edit (編輯)。

  4. 更新儲存貯體政策，授予所需許可。

  5. 選擇 Save changes (儲存變更)。

步驟 3：設定連線日誌

使用下列程序來設定連線日誌，以擷取日誌檔案並將其傳送至 S3 儲存貯體。

要求

儲存貯體必須符合步驟 1 中所述的要求，且您必須按照步驟 2 所述連接儲存貯體政策。如果您指定字首，則不得包含字串 "AWSLogs"。

使用主控台啟用負載平衡器的連線日誌

  1. 在 開啟 Amazon EC2主控台https://console.aws.amazon.com/ec2/。

  2. 在導覽窗格中，選擇 Load Balancers (負載平衡器)。

  3. 選取您負載平衡器的名稱來開啟其詳細資訊頁面。

  4. 在屬性索引標籤中，選擇編輯。

  5. 針對監控 ，開啟連線日誌 。

  6. 針對 S3 URI，輸入日誌檔案URI的 S3。URI 您指定的 取決於您是否使用字首。

    • URI 加上字首： s3://bucket-name/prefix

    • URI 沒有字首： s3://bucket-name

  7. 選擇 Save changes (儲存變更)。

使用 啟用連線日誌 AWS CLI

使用 modify-load-balancer-attributes命令。

管理連線日誌的 S3 儲存貯體

刪除您為連線日誌設定的儲存貯體之前，請務必停用連線日誌。否則，如果有具有相同名稱和所需儲存貯體政策的新儲存貯體，但在非您擁有的 AWS 帳戶 中建立，Elastic Load Balancing 可以將負載平衡器的連線日誌寫入此新儲存貯體。

步驟 4：確認儲存貯體許可

為您的負載平衡器啟用連線日誌後，Elastic Load Balancing 會驗證 S3 儲存貯體並建立測試檔案，以確保儲存貯體政策指定所需的許可。您可以使用 Amazon S3 主控台來確認是否已建立測試檔案。測試檔案不是實際的連線日誌檔案；它不包含範例記錄。

驗證 Elastic Load Balancing 已在 S3 儲存貯體中建立測試檔案

  1. 在 開啟 Amazon S3 主控台https://console.aws.amazon.com/s3/。

  2. 選取您為連線日誌指定的儲存貯體名稱。

  3. 導覽到測試檔案，ELBConnectionLogTestFile。位置取決於您是否使用字首。

    • 具有字首的位置：amzn-s3-demo-logging-bucket/prefix/AWSLogs/123456789012/ELBConnectionLogTestFile

    • 沒有字首的位置：amzn-s3-demo-logging-bucket/AWSLogs/123456789012/ELBConnectionLogTestFile

故障診斷

如果您收到存取遭拒錯誤，則以下是可能的原因：

  • 儲存貯體政策不會授予 Elastic Load Balancing 將連線日誌寫入儲存貯體的許可。確認您正在使用適合該區域的正確儲存貯體政策。驗證資源ARN是否使用您在啟用連線日誌時指定的相同儲存貯體名稱。如果您在啟用連線日誌時未指定字首，請確認資源ARN不包含字首。

  • 儲存貯體使用不支援的伺服器端加密選項。儲存貯體必須使用 Amazon S3-managed金鑰 （SSE-S3）。