Amazon CloudWatch Logs

En este tema se proporciona información para enviar los registros de tráfico de ACL web a un grupo de CloudWatch registros.

nota

Se le cobrará por el registro además de los cargos por su uso de AWS WAF. Para obtener más información, consulte Precios para registrar la información de tráfico de la ACL web.

Para enviar registros a Amazon CloudWatch Logs, debe crear un grupo de CloudWatch registros de registros. Cuando habilita el inicio de sesión AWS WAF, proporciona el ARN del grupo de registros. Después de habilitar el registro para su ACL web, AWS WAF envía los registros al grupo de CloudWatch registros en flujos de registros.

Al utilizar CloudWatch los registros, puede explorar los registros de su ACL web en la AWS WAF consola. En su página web de ACL, seleccione la pestaña Registro de información. Esta opción se suma a la información de registro que se proporciona para CloudWatch los registros a través de la CloudWatch consola.

Configure el grupo de registros para los registros de la ACL AWS WAF web en la misma región que la ACL web y con la misma cuenta que utilizó para administrar la ACL web. Para obtener información sobre la configuración de un grupo de CloudWatch registros, consulte Trabajar con grupos de registros y flujos de registros.

Cuotas para CloudWatch los grupos de registros

CloudWatch Logs tiene una cuota máxima de rendimiento predeterminada, que se comparte entre todos los grupos de registros de una región, y que puede solicitar que se aumente. Si tus requisitos de registro son demasiado altos para la configuración de rendimiento actual, verás las métricas de limitación de tu cuenta. PutLogEvents Para ver el límite en la consola de Service Quotas y solicitar un aumento, consulta la PutLogEvents cuota de CloudWatch Logs.

Denominación de grupos de registro

Los nombres de sus grupos de registro deben empezar aws-waf-logs- por y terminar con el sufijo que desee, por ejemplo, aws-waf-logs-testLogGroup2.

El formato del ARN resultante es el siguiente:

arn:aws:logs:Region:account-id:log-group:aws-waf-logs-log-group-suffix

Los flujos de registros tienen un formato similar al siguiente:

Region_web-acl-name_log-stream-number

A continuación se muestra un ejemplo de flujo de registro para la ACL web TestWebACL en la región us-east-1.

us-east-1_TestWebACL_0

Permisos necesarios para publicar CloudWatch registros en Logs

La configuración del registro de tráfico de ACL web para un grupo de CloudWatch registros requiere la configuración de permisos que se describe en esta sección. Los permisos se configuran automáticamente cuando utiliza una de las políticas gestionadas de acceso AWS WAF completo, AWSWAFConsoleFullAccess o bienAWSWAFFullAccess. Si desea administrar un acceso más detallado a sus registros y AWS WAF recursos, puede configurar los permisos usted mismo. Para obtener información sobre la administración de permisos, consulte Administración del acceso a AWS los recursos en la Guía del usuario de IAM. Para obtener información sobre las políticas administradas de AWS WAF , consulte AWS políticas gestionadas para AWS WAF.

Estos permisos le permiten cambiar la configuración de registro de la ACL web, configurar la entrega de CloudWatch registros para los registros y recuperar información sobre su grupo de registros. Estos permisos deben estar asociados al usuario que utilice para administrar AWS WAF.

{
   "Version":"2012-10-17",
   "Statement":[
      {
         "Action":[

            "wafv2:PutLoggingConfiguration",
            "wafv2:DeleteLoggingConfiguration"
         ],
         "Resource":[
            "*"
         ],
         "Effect":"Allow",
         "Sid":"LoggingConfigurationAPI"
      }
      {
         "Sid":"WebACLLoggingCWL",
         "Action":[
            "logs:CreateLogDelivery",
            "logs:DeleteLogDelivery",
            "logs:PutResourcePolicy",
            "logs:DescribeResourcePolicies",
            "logs:DescribeLogGroups"
         ],
         "Resource":[
            "*"
         ],
         "Effect":"Allow"
      }
   ]
}

Cuando se permiten acciones en todos AWS los recursos, se indica en la política con una "Resource" configuración de"*". Esto significa que las acciones están permitidas en todos los AWS recursos compatibles con cada acción. Por ejemplo, la acción wafv2:PutLoggingConfiguration solo se admite para registrar los recursos de configuración wafv2.