Journaux de flux Amazon VPC Transit Gateway

Transit Gateway Flow Logs est une fonctionnalité d'Amazon VPC Transit Gateways qui vous permet de capturer des informations sur le trafic IP à destination et en provenance de vos passerelles de transit. Les données du journal de flux peuvent être publiées sur Amazon CloudWatch Logs, Amazon S3 ou Firehose. Une fois que vous avez créé un journal de flux, vous pouvez extraire et afficher ses données dans la destination choisie. Les données du journal de flux sont collectées en dehors du chemin d'accès de votre trafic réseau et n'affectent donc pas le débit réseau ou la latence. Vous pouvez créer ou supprimer des journaux de flux sans risque d'impact sur les performances du réseau. Les Transit Gateway Flow Logs capturent les informations liées uniquement aux passerelles de transit, décrites dans Enregistrements Transit Gateway Flow Logs. Si vous souhaitez capturer des informations sur le trafic IP à destination et en provenance des interfaces réseau de votre ordinateurVPCs, utilisez VPC Flow Logs. Consultez la section Journalisation du trafic IP à l'aide de VPC Flow Logs dans le guide de VPC l'utilisateur Amazon pour plus d'informations.

Note

Pour créer un journal de flux de passerelle de transit, vous devez être le propriétaire de la passerelle de transit. Si vous n'êtes pas le propriétaire, le propriétaire de la passerelle de transit doit vous donner son autorisation.

Les données des journaux de flux pour une passerelle de transit surveillée sont enregistrées sous forme d'enregistrements de journaux de flux. Il s'agit d'événements de journaux, composés de champs qui décrivent le flux de trafic. Pour de plus amples informations, veuillez consulter Enregistrements Transit Gateway Flow Logs.

Pour créer un journal de flux, vous spécifiez :

• La ressource pour laquelle vous souhaitez créer le journal de flux.

• Les destinations où publier les données du journal de flux.

Une fois que vous avez créé un journal de flux, plusieurs minutes peuvent s'écouler avant qu'il ne commence à collecter et à publier des données dans les destinations choisies. Les journaux de flux ne capturent pas de flux de journaux en temps réel pour vos passerelles de transit. Pour de plus amples informations, veuillez consulter Création d'un journal de flux Amazon VPC Transit Gateways.

Vous pouvez appliquer des balises à vos journaux de flux. Chaque balise est constituée d'une clé et d'une valeur facultative que vous définissez. Les balises peuvent vous aider à organiser vos journaux de flux, par exemple par objectif ou par propriétaire.

Si vous n'avez plus besoin d'un journal de flux, vous pouvez le supprimer. La suppression d'un journal de flux désactive le service de journal de flux pour la ressource, et aucun nouvel enregistrement de journal de flux n'est créé ou publié sur CloudWatch Logs ou Amazon S3. La suppression du journal de flux ne supprime aucun enregistrement de journal de flux, aucun flux de journal (pour les CloudWatch journaux) ou aucun objet de fichier journal (pour Amazon S3) existant pour une passerelle de transit. Pour supprimer un flux de journal existant, utilisez la console CloudWatch Logs. Pour supprimer des objets de fichier journal existants, utilisez la console Amazon S3. Une fois que vous avez supprimé un journal de flux, plusieurs minutes peuvent s'écouler avant qu'il ne cesse de collecter des données. Pour de plus amples informations, veuillez consulter Supprimer un enregistrement des journaux de flux Amazon VPC Transit Gateways.

Limites

Les restrictions suivantes s'appliquent aux journaux de flux de Transit Gateway :

• Le trafic de multidiffusion n'est pas pris en charge.

• Les pièces jointes Connect ne sont pas prises en charge. Tous les journaux de flux Connect apparaissent sous la pièce jointe de transport et doivent donc être activés sur la passerelle de transit ou sur la pièce jointe de transport Connect.

Enregistrements Transit Gateway Flow Logs

Un enregistrement de journal de flux représente un flux de réseau dans votre passerelle de transit. Chaque enregistrement est une chaîne de caractères avec des champs séparés par des espaces. Un enregistrement inclut des valeurs pour les différents composants du flux de trafic, par exemple la source, la destination et le protocole.

Lorsque vous créez un journal de flux, vous pouvez utiliser le format par défaut pour l'enregistrement de journal de flux ou spécifier un format personnalisé.

Format par défaut

Avec le format par défaut, les enregistrements de journaux de flux incluent tous les champs version 2 à 6, dans l'ordre indiqué dans le tableau Champs disponibles. Vous ne pouvez pas personnaliser ou modifier le format par défaut. Pour capturer les champs supplémentaires ou un sous-ensemble de champs différent, spécifiez plutôt un format personnalisé.

Format personnalisé

Avec un format personnalisé, vous spécifiez quels champs sont inclus dans les enregistrements de journaux de flux et dans quel ordre. Cela vous permet de créer des journaux de flux qui correspondent spécifiquement à vos besoins et d'ignorer les champs qui ne sont pas pertinents. L'utilisation d'un format personnalisé peut également réduire la nécessité de faire appel à des processus distincts pour extraire des informations spécifiques des journaux de flux publiés. Vous pouvez spécifier n'importe quel nombre de champs de journal de flux disponibles, mais vous devez indiquer au moins un champ.

Champs disponibles

Le tableau suivant décrit tous les champs disponibles pour un enregistrement de journal de flux de passerelle de transit. La colonne Version indique la version dans laquelle le champ a été introduit.

Lorsque vous publiez des données du journal de flux sur Amazon S3, le type de données des champs dépend du format du journal de flux. Si le format est en texte brut, tous les champs sont de type STRING. Si le format est Parquet, consultez le tableau des types de données de champ.

Si un champ ne s'applique pas à un enregistrement spécifique ou pourrait ne pas être calculé pour celui-ci, ce dernier affiche le symbole « - » pour cette entrée. Les champs de métadonnées qui ne proviennent pas directement de l'en-tête des paquets sont des approximations optimales, et leurs valeurs peuvent être manquantes ou inexactes.

Champ	Description	Version
version	Indique la version dans laquelle le champ a été introduit. Le format par défaut inclut tous les champs version 2, dans même ordre que dans le tableau. Type de données du parquet : INT _32	2
resource-type	Type de ressource sur laquelle l'abonnement est créé. Pour les journaux de flux de Transit Gateway, ce sera le casTransitGateway. Type de données du parquet : STRING	6
account-id	Compte AWS ID du propriétaire de la passerelle de transit source. Type de données du parquet : STRING	2
tgw-id	ID de la passerelle de transit pour laquelle le trafic est enregistré. Type de données du parquet : STRING	6
tgw-attachment-id	ID de l'attachement de la passerelle de transit pour lequel le trafic est enregistré. Type de données du parquet : STRING	6
tgw-src-vpc-account-id	L' Compte AWS ID du VPC trafic source. Type de données du parquet : STRING	6
tgw-dst-vpc-account-id	L' Compte AWS ID du VPC trafic de destination. Type de données du parquet : STRING	6
tgw-src-vpc-id	L'ID de la source VPC pour la passerelle de transit Type de données du parquet : STRING	6
tgw-dst-vpc-id	L'ID de destination de VPC la passerelle de transit. Type de données du parquet : STRING	6
tgw-src-subnet-id	ID du sous-réseau pour le trafic source de la passerelle de transit. Type de données du parquet : STRING	6
tgw-dst-subnet-id	ID du sous-réseau pour le trafic de destination de la passerelle de transit. Type de données du parquet : STRING	6
tgw-src-eni	ID de la pièce jointe de la passerelle de transit source ENI pour le flux. Type de données du parquet : STRING	6
tgw-dst-eni	ID de la pièce jointe de la passerelle de transit de destination ENI pour le flux. Type de données du parquet : STRING	6
tgw-src-az-id	ID de la zone de disponibilité qui contient la passerelle de transit source pour laquelle le trafic est enregistré. Si le trafic provient d'un sous-emplacement, l'enregistrement affiche un symbole « - » pour ce champ. Type de données du parquet : STRING	6
tgw-dst-az-id	ID de la zone de disponibilité qui contient la passerelle de transit de destination pour laquelle le trafic est enregistré. Type de données du parquet : STRING	6
tgw-pair-attachment-id	Selon la direction du flux, il s'agit de l'identifiant d’attachement de sortie ou d'entrée du flux. Type de données du parquet : STRING	6
srcaddr	Adresse source du trafic entrant. Type de données du parquet : STRING	2
dstaddr	Adresse de destination du trafic sortant. Type de données du parquet : STRING	2
srcport	Port source du trafic Type de données du parquet : INT _32	2
dstport	Port de destination du trafic Type de données du parquet : INT _32	2
protocol	Numéro de IANA protocole du trafic. (pour plus d'informations, consultez la page Assigned Internet Protocol Numbers). Type de données du parquet : INT _64	2
packets	Nombre de paquets transférés pendant le flux. Type de données du parquet : INT _64	2
bytes	Nombre d'octets transférés pendant le flux. Type de données du parquet : INT _64	2
start	Heure, en secondes Unix, à laquelle le premier paquet du flux a été reçu dans l'intervalle d'agrégation. Jusqu'à 60 secondes peuvent s'écouler après la transmission ou la réception du paquet sur la passerelle de transit. Type de données du parquet : INT _64	2
end	Heure, en secondes Unix, à laquelle le dernier paquet du flux a été reçu dans l'intervalle d'agrégation. Jusqu'à 60 secondes peuvent s'écouler après la transmission ou la réception du paquet sur la passerelle de transit. Type de données du parquet : INT _64	2
log-status	Statut du journal de flux : OK — Les données sont consignées normalement dans les destinations choisies. NODATA— Il n'y a pas eu de trafic réseau à destination ou en provenance de l'interface réseau pendant l'intervalle d'agrégation. SKIPDATA— Certains enregistrements du journal de flux ont été ignorés pendant l'intervalle d'agrégation. Cela peut être dû à une contrainte de capacité interne ou à une erreur interne. Type de données du parquet : STRING	2
type	Type de trafic. Les valeurs possibles sont IPv4 | IPv6 |EFA. Pour plus d'informations, consultez Elastic Fabric Adapter dans le guide de EC2 l'utilisateur Amazon. Type de données du parquet : STRING	3
packets-lost-no-route	Paquets perdus en raison de l'absence de route spécifiée. Type de données du parquet : INT _64	6
packets-lost-blackhole	Paquets perdus en raison d'un trou noir. Type de données du parquet : INT _64	6
packets-lost-mtu-exceeded	Les paquets ont été perdus en raison d'une taille supérieure àMTU. Type de données du parquet : INT _64	6
packets-lost-ttl-expired	Les paquets ont été perdus en raison de l'expiration de time-to-live. Type de données du parquet : INT _64	6
tcp-flags	La valeur du masque de bits pour les TCP indicateurs suivants : FIN— 1 SYN— 2 RST— 4 PSH— 8 ACK— 16 SYN- ACK — 18 URG— 32 Important Lorsqu'une entrée du journal de flux ne contient que des ACK paquets, la valeur de l'indicateur est 0, et non 16. Pour des informations générales sur les TCP drapeaux (telles que la signification des drapeaux tels que FINSYN, etACK), consultez la structure des TCP segments sur Wikipedia. TCPles drapeaux peuvent être édités par OR pendant l'intervalle d'agrégation. Pour les connexions courtes, les indicateurs peuvent être placés sur la même ligne dans l'enregistrement du journal de flux, par exemple 19 pour SYN - ACK etFIN, et 3 pour SYN etFIN. Type de données du parquet : INT _32	3
region	Région contenant la passerelle de transit où le trafic est enregistré. Type de données du parquet : STRING	4
flow-direction	La direction du flux par rapport à l'interface où le trafic est capturé. Les valeurs possibles sont les suivantes : ingress | egress. Type de données du parquet : STRING	5
pkt-src-aws-service	Le nom du sous-ensemble de plages d'adresses IP indiquant srcaddr si l'adresse IP source est destinée à un AWS service. Les valeurs possibles sont les suivantes : AMAZON | AMAZON_APPFLOW | AMAZON_CONNECT | API_GATEWAY | CHIME_MEETINGS | CHIME_VOICECONNECTOR | CLOUD9 | CLOUDFRONT | CODEBUILD | DYNAMODB | EBS | EC2 | EC2_INSTANCE_CONNECT | GLOBALACCELERATOR | KINESIS_VIDEO_STREAMS | ROUTE53 | ROUTE53_HEALTHCHECKS | ROUTE53_HEALTHCHECKS_PUBLISHING | ROUTE53_RESOLVER | S3 | WORKSPACES_GATEWAYS. Type de données du parquet : STRING	5
pkt-dst-aws-service	Le nom du sous-ensemble de plages d'adresses IP pour le dstaddr champ, si l'adresse IP de destination est celle d'un AWS service. Pour obtenir une liste des valeurs possibles, consultez le champ pkt-src-aws-service. Type de données du parquet : STRING	5

Contrôler l'utilisation des journaux de flux

Par défaut, les utilisateurs ne sont pas autorisés à utiliser des journaux de flux. Vous pouvez créer une stratégie d'utilisateur qui autorise les utilisateurs à créer, décrire et supprimer des journaux de flux. Pour plus d'informations, consultez la section Accorder IAM aux utilisateurs les autorisations requises pour Amazon EC2 Resources dans la EC2APIréférence Amazon.

Voici un exemple de politique qui accorde aux utilisateurs les autorisations complètes pour créer, décrire et supprimer des journaux de flux.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "ec2:DeleteFlowLogs",
        "ec2:CreateFlowLogs",
        "ec2:DescribeFlowLogs"
      ],
      "Resource": "*"
    }
  ]
}

Une configuration supplémentaire des IAM rôles et des autorisations est requise, selon que vous publiez sur CloudWatch Logs ou Amazon S3. Pour plus d’informations, consultez Enregistrements de Transit Gateway Flow Logs dans Amazon CloudWatch Logs et Enregistrements des journaux de flux des passerelles de transit dans Amazon S3 .

Tarification Transit Gateway Flow Logs

Les frais d'ingestion et de stockage de données pour les journaux payants s'appliquent lorsque vous publiez des journaux de flux Transit Gateway. Pour plus d'informations sur la tarification lors de la publication de journaux vendus, ouvrez Amazon CloudWatch Pricing, puis sous Niveau payant, sélectionnez Logs et recherchez Vended Logs.