Protokollierung zusätzlicher Aktivitäten aus Amazon-Cognito-Benutzerpools

Sie können Ihren Benutzerpool so konfigurieren, dass detaillierte Protokolle einiger zusätzlicher Aktivitäten an eine CloudWatch Protokollgruppe gesendet werden. Diese Protokolle haben eine feinere Granularität als die darin enthaltenen und können bei der Fehlerbehebung in AWS CloudTrail Ihrem Benutzerpool nützlich sein. Wenn Sie diese Funktion aktivieren, können Sie die Protokollgruppe auswählen, an die Amazon Cognito Protokolle senden soll. Die Protokollierung von Benutzeraktivitäten ist nützlich, wenn Sie den Status von E-Mail- und SMS-Nachrichten ermitteln möchten, die Ihr Benutzerpool mit Amazon SNS und Amazon SES übermittelt hat.

Derzeit können Sie nur Benutzerbenachrichtigungsprotokolle auf Fehler-Ebene aus Ihrem Benutzerpool bereitstellen.

Die detaillierte Protokollierung ersetzt oder ändert die folgenden Protokollfunktionen von Benutzerpools nicht.

1. CloudTrail Protokolle von routinemäßigen Benutzeraktivitäten wie Registrierung und Anmeldung.

2. Analyse der Benutzeraktivitäten im großen Maßstab mit CloudWatch Metriken.

Separat finden Sie auch Protokolle von Benutzerimportaufträgen und Lambda-Triggern unter CloudWatch Logs. Amazon Cognito und Lambda speichern diese Protokolle in anderen Protokollgruppen als denen, die Sie für detaillierte Aktivitätsprotokolle angeben.

Sie können detaillierte Aktivitätsprotokolle mit der Amazon Cognito Cognito-Benutzerpools-API in einer SetLogDeliveryConfigurationAPI-Anfrage konfigurieren. Sie können die Protokollierungskonfiguration eines Benutzerpools in einer GetLogDeliveryConfigurationAPI-Anfrage einsehen.

Sie müssen diese Anfragen mit AWS Anmeldeinformationen autorisieren, die über die folgenden Berechtigungen verfügen.

{
    "Version": "2012-10-17",
    "Statement": [
            {
            "Sid": "ManageUserPoolLogs",
            "Action": [
                "cognito-idp:SetLogDeliveryConfiguration",
                "cognito-idp:GetLogDeliveryConfiguration",
            ],
            "Resource": [
                "*"
            ],
            "Effect": "Allow"
        },
        {
            "Sid": "CognitoLog",
            "Action": [
                "logs:CreateLogDelivery",
                "logs:GetLogDelivery",
                "logs:UpdateLogDelivery",
                "logs:DeleteLogDelivery",
                "logs:ListLogDeliveries"
            ],
            "Resource": [
                "*"
            ],
            "Effect": "Allow"
        },
        {
            "Sid": "CognitoLoggingCWL",
            "Action": [
                "logs:PutResourcePolicy",
                "logs:DescribeResourcePolicies",
                "logs:DescribeLogGroups"
            ],
            "Resource": [
                "*"
            ],
            "Effect": "Allow"
        }
    ]
}

Es folgt ein Beispielereignis in einem Benutzerpool. Dieses Protokollschema kann sich ändern. Einige Felder werden möglicherweise mit Nullwerten protokolliert.

{
    "eventTimestamp": "1687297330677",
    "eventSource": "USER_NOTIFICATION",
    "logLevel": "ERROR",
    "message": {
        "details": "String"
    },
    "logSourceId": {
        "userPoolId": "String"
    }
}

Die Bereitstellung von Protokollen von Amazon Cognito ist das optimale Szenario. Die Menge der Protokolle, die Ihr Benutzerpool bereitstellt, und Ihre Dienstkontingente für CloudWatch Protokolle können sich auf die Übermittlung von Protokollen auswirken.

CloudWatch Protokollgebühren fallen an, wenn die Protokollzustellung aktiviert ist. Weitere Informationen finden Sie unter CloudWatch Preise für verkaufte Logs in Amazon.

Um Protokolle an Protokollgruppen mit einer Ressourcenrichtlinie mit einer Größe von mehr als 5 120 Zeichen zu senden, konfigurieren Sie eine Protokollgruppe mit einem Pfad, der mit /aws/vendedlogs beginnt. Weitere Informationen finden Sie unter Aktivieren der Protokollierung für bestimmte AWS Dienste.