Registra la prevenzione della ricorsione

Esiste il rischio di causare una ricorsione infinita dei log con i filtri di abbonamento, che può portare a un notevole aumento della fatturazione di importazione sia CloudWatch nei registri che nella destinazione, se non viene impedita. Ciò può verificarsi quando un filtro di sottoscrizione è associato a un gruppo di log che riceve eventi di registro come risultato del flusso di lavoro di distribuzione degli abbonamenti. I log inseriti nel gruppo di log verranno recapitati alla destinazione, facendo sì che il gruppo di log inserisca altri log che verranno poi nuovamente inoltrati alla destinazione, creando un ciclo di ricorsione.

Ad esempio, considera un filtro di sottoscrizione con destinazione Firehose, che invia gli eventi di registro ad Amazon S3. Inoltre, esiste anche una funzione Lambda che elabora i nuovi eventi distribuiti ad Amazon S3 e produce automaticamente alcuni log. Se il filtro di sottoscrizione viene applicato al gruppo di log della funzione Lambda, gli eventi di log prodotti dalla funzione verranno inoltrati a Firehose e Amazon S3 alla destinazione, che richiamerà nuovamente la funzione, generando e inoltrando altri log a Firehose e Amazon S3, provocando un'altra chiamata della funzione e così via. Ciò avverrà in un ciclo infinito, con conseguente aumento imprevisto della fatturazione per l'ingestione dei log, Firehose e Amazon S3.

Se la funzione Lambda è collegata a una VPC con i log di flusso abilitati per CloudWatch Logs, anche il gruppo VPC di log può causare una ricorsione di log.

Ti consigliamo di non applicare i filtri di abbonamento ai gruppi di log che fanno parte del flusso di lavoro di distribuzione degli abbonamenti. Per i filtri di abbonamento a livello di account, utilizza il selectionCriteria parametro in PutAccountPolicy API per escludere questi gruppi di log dalla policy.

Quando escludi i gruppi di log, prendi in considerazione i seguenti AWS servizi che producono registri e possono far parte dei flussi di lavoro di distribuzione degli abbonamenti:

• Amazon EC2 con Fargate

• Lambda

• AWS Step Functions

• Log VPC di flusso di Amazon abilitati per CloudWatch Logs

Nota

Gli eventi di registro prodotti dal gruppo di log di una destinazione Lambda non verranno inoltrati alla funzione Lambda per una politica di filtro di sottoscrizione a livello di account. In questo caso, l'esclusione dell'utilizzo del gruppo di log della funzione Lambda di destinazione non selectionCriteria è richiesta per le politiche di sottoscrizione dell'account.