Prerequisiti Fase 1: Creare o identificare un VPC Fase 2: creazione di un gruppo di sicurezza Fase 3: creazione dell'endpoint VPC Fase 4: Creare un gruppo di log Fase 5: Aggiungere una politica delle risorse Fase 6: Creare la configurazione syslog Fase 7: Verifica della consegna e dell'estrazione sul campo

Configurazione dell'ingestione di syslog

Questa sezione illustra i passaggi per configurare l'ingestione di syslog in Logs. CloudWatch Creerai un endpoint VPC per il servizio syslog, un gruppo di log per ricevere i messaggi, una politica delle risorse per autorizzare il servizio syslog e una configurazione syslog che indirizza il traffico dall'endpoint VPC al tuo gruppo di log.

Puoi eseguire tutti questi passaggi utilizzando la Console di gestione, o gli SDK. AWS AWS CLI AWS Le seguenti istruzioni forniscono sia la console che gli AWS CLI esempi.

Prerequisiti

L'identità IAM (utente o ruolo) che usi per configurare l'ingestione di syslog deve disporre delle autorizzazioni per creare endpoint VPC, gruppi di log, policy di risorse e configurazioni syslog. La seguente policy di esempio mostra le autorizzazioni minime richieste:


{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "logs:CreateLogGroup",
        "logs:PutResourcePolicy",
        "logs:DeleteResourcePolicy",
        "logs:PutSyslogConfiguration",
        "logs:ListSyslogConfigurations",
        "logs:DeleteSyslogConfiguration"
      ],
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Action": [
        "ec2:CreateVpc",
        "ec2:ModifyVpcAttribute",
        "ec2:CreateSubnet",
        "ec2:CreateSecurityGroup",
        "ec2:AuthorizeSecurityGroupIngress",
        "ec2:CreateVpcEndpoint",
        "ec2:ModifyVpcEndpoint",
        "ec2:DescribeVpcEndpoints"
      ],
      "Resource": "*"
    }
  ]
}

Nota

Se disponi già di un VPC, di una sottorete e di un gruppo di sicurezza, sono necessari solo i e i ec2:CreateVpcEndpoint ec2:DescribeVpcEndpoints permessi per le azioni EC2. ec2:ModifyVpcEndpoint

Fase 1: Creare o identificare un VPC

È necessario un VPC raggiungibile dalla rete locale (tramite VPN o Direct Connect) dove risiedono i dispositivi che generano syslog. Se hai già un VPC collegato al tuo data center, salta questo passaggio e usa gli ID VPC e subnet esistenti.

Nota

L'endpoint VPC crea un'interfaccia di rete elastica (ENI) con un IP privato nella sottorete. I dispositivi locali raggiungono questo IP tramite la connessione VPN o Direct Connect. Assicurati che il routing di rete consenta il traffico dai tuoi dispositivi alla sottorete CIDR.

Fase 2: creazione di un gruppo di sicurezza

Crea un gruppo di sicurezza per l'endpoint VPC che consenta il traffico syslog in entrata dal tuo VPC. Questo controlla quali risorse possono inviare syslog all'endpoint.

Suggerimento

Se prevedi di utilizzare un solo protocollo (ad esempio, TCP+TLS sulla porta 6514), devi solo aprire quella porta nel gruppo di sicurezza.

Fase 3: creazione dell'endpoint VPC

Crea un endpoint VPC di interfaccia che punti al servizio syslog. AWS PrivateLink Ciò fornisce al VPC un punto di accesso privato al servizio CloudWatch Logs syslog.

Nota

È possibile specificare più ID di sottorete in diverse zone di disponibilità durante la creazione dell'endpoint. L'endpoint crea un ENI in ogni sottorete, fornendo una maggiore disponibilità senza la necessità di endpoint VPC separati per zona di disponibilità. È sufficiente un singolo endpoint VPC con sottoreti in più zone di disponibilità.

Console

Per creare l'endpoint VPC (console)

Apri la console Amazon VPC all'indirizzo https://console.aws.amazon.com/vpc/.
Nel riquadro di navigazione, scegli Endpoints, quindi scegli Crea endpoint.
Per il tag Nome, inserisci un nome per l'endpoint (ad esempio,). syslog-vpce
Per Service category (Categoria servizio), scegli AWS services.
Nel campo di ricerca Servizi, inserisci syslog-logs e seleziona il serviziocom.amazonaws.Region.syslog-logs.
Per VPC, seleziona il VPC che hai creato o identificato nel passaggio 1.
Nella sezione Subnet, seleziona una o più zone di disponibilità e scegli le sottoreti in cui desideri creare le interfacce di rete degli endpoint.
Per i gruppi di sicurezza, selezionate il gruppo di sicurezza creato nel passaggio 2 (). syslog-vpce-sg
(Facoltativo) Se desideri limitare il traffico consentito attraverso l'endpoint, configura una policy per gli endpoint VPC. Per ulteriori informazioni, consulta Policy degli endpoint VPC per syslog.
Seleziona Crea endpoint.
Dopo che lo stato dell'endpoint è passato a Disponibile, seleziona l'endpoint e annota il valore dei nomi DNS. Questo è l'indirizzo a cui verranno inviati i dispositivi syslog.

AWS CLI


VPCE_ID=$(aws ec2 create-vpc-endpoint \
  --vpc-id $VPC_ID \
  --service-name com.amazonaws.${REGION}.syslog-logs \
  --vpc-endpoint-type Interface \
  --subnet-ids $SUBNET_ID \
  --security-group-ids $VPCE_SG_ID \
  --region $REGION \
  --query 'VpcEndpoint.VpcEndpointId' --output text)

echo "VPC Endpoint: $VPCE_ID"

Attendi che l'endpoint diventi disponibile (circa 60 secondi), quindi recupera il nome DNS:


VPCE_DNS=$(aws ec2 describe-vpc-endpoints --vpc-endpoint-ids $VPCE_ID \
  --region $REGION --query 'VpcEndpoints[0].DnsEntries[0].DnsName' --output text)

echo "Endpoint DNS: $VPCE_DNS"

Salva il VPCE_DNS valore: configurerai i tuoi dispositivi syslog per l'invio a questo indirizzo.

Fase 4: Creare un gruppo di log

Crea il gruppo di log CloudWatch Logs in cui verranno recapitati i tuoi messaggi syslog. È possibile utilizzare qualsiasi nome di gruppo di log. Si consiglia di utilizzare un /syslog/ prefisso per motivi di chiarezza organizzativa.

Non è necessario creare un flusso di log. Il servizio syslog crea automaticamente un flusso di log denominato VPCE_ID_Syslog_Region (ad esempiovpce-0abc123def456_Syslog_us-east-1) quando viene recapitato il primo messaggio.

Fase 5: Aggiungere una politica delle risorse

Il servizio CloudWatch Logs syslog scrive nel gruppo di log utilizzando Service Principal. syslog.logs.amazonaws.com È necessario concedergli l'autorizzazione tramite una politica delle risorse sul gruppo di log. La aws:SourceArn condizione garantisce che solo il traffico proveniente dal tuo endpoint VPC specifico possa scrivere su questo gruppo di log.


ACCOUNT_ID=$(aws sts get-caller-identity --query 'Account' --output text)

aws logs put-resource-policy \
  --policy-name syslog-ingestion \
  --policy-document '{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "syslog.logs.amazonaws.com"
      },
      "Action": [
        "logs:PutLogEvents",
        "logs:CreateLogStream"
      ],
      "Resource": "arn:aws:logs:'$REGION':'$ACCOUNT_ID':log-group:/syslog/my-devices:*",
      "Condition": {
        "StringEquals": {
          "aws:SourceAccount": "'$ACCOUNT_ID'"
        },
        "ArnEquals": {
          "aws:SourceArn": "arn:aws:ec2:'$REGION':'$ACCOUNT_ID':vpc-endpoint/'$VPCE_ID'"
        }
      }
    }
  ]
}' \
  --region $REGION

Le condizioni contenute nella politica delle risorse forniscono le seguenti protezioni:

aws:SourceAccount— Previene gli attacchi confusi dei vice agenti. Viene accettato solo il traffico del tuo account.
aws:SourceArn— Ambita l'accesso a un endpoint VPC specifico. Se disponi di più endpoint VPC, aggiungili ciascuno come ARN separato nella condizione.

Per consentire a più endpoint VPC di scrivere sullo stesso gruppo di log, usa l'operatore ArnLike condition con un wildcard:


"ArnLike": {
    "aws:SourceArn": "arn:aws:ec2:us-east-1:123456789012:vpc-endpoint/*"
}

Fase 6: Creare la configurazione syslog

Questo passaggio indica al servizio CloudWatch Logs syslog che il traffico in arrivo dall'endpoint VPC deve essere indirizzato al gruppo di log. Senza questa configurazione, il traffico proveniente dall'endpoint viene rifiutato.

La tua pipeline di ingestione di syslog è ora attiva. Tutti i messaggi syslog inviati all'endpoint VPC verranno recapitati al gruppo di log. /syslog/my-devices

Fase 7: Verifica della consegna e dell'estrazione sul campo

Invia un messaggio di prova da qualsiasi host o dispositivo EC2 in grado di raggiungere l'endpoint VPC, quindi CloudWatch utilizza Log Analytics per verificare che il messaggio sia stato recapitato e che i campi strutturati siano stati estratti correttamente. I messaggi vengono in genere visualizzati entro 10-20 secondi.

Invia un messaggio di prova (testo semplice TCP):


echo "<134>1 $(date -u +%Y-%m-%dT%H:%M:%SZ) myhost myapp 1234 - - Hello from syslog" | \
  nc $VPCE_DNS 1514

Verifica la consegna e i campi estratti:

Avvertimento JavaScript è disabilitato o non è disponibile nel tuo browser.

Per usare la documentazione AWS, JavaScript deve essere abilitato. Consulta le pagine della guida del browser per le istruzioni.

Convenzioni dei documenti

Ingestione di Syslog

Configurazione del dispositivo

Configurazione dell'ingestione di syslog

Prerequisiti

Nota

Fase 1: Creare o identificare un VPC

Per creare un VPC (console)

Nota

Fase 2: creazione di un gruppo di sicurezza

Per creare un gruppo di sicurezza (console)

Suggerimento

Fase 3: creazione dell'endpoint VPC

Nota

Per creare l'endpoint VPC (console)

Fase 4: Creare un gruppo di log

Per creare un gruppo di log (console)

Fase 5: Aggiungere una politica delle risorse

Fase 6: Creare la configurazione syslog

Per creare la configurazione syslog (console)

Fase 7: Verifica della consegna e dell'estrazione sul campo

Per verificare la consegna utilizzando Log Analytics (console)