前提条件ステップ 1: VPC を作成または識別するステップ 2: セキュリティグループを作成するステップ 3: VPC エンドポイントの作成ステップ 4: ロググループを作成するステップ 5: リソースポリシーを追加するステップ 6: syslog 設定を作成するステップ 7: 配信とフィールド抽出を検証する

syslog 取り込みの設定

このセクションでは、CloudWatch Logs への syslog 取り込みを設定する手順について説明します。syslog サービスの VPC エンドポイント、メッセージを受信するロググループ、syslog サービスを承認するリソースポリシー、VPC エンドポイントからロググループにトラフィックをルーティングする syslog 設定を作成します。

AWS マネジメントコンソール、、または AWS SDKs を使用して AWS CLI、これらのすべてのステップを実行できます。次の手順では、コンソールと AWS CLI 例の両方を示します。

前提条件

syslog 取り込みの設定に使用する IAM ID (ユーザーまたはロール) には、VPC エンドポイント、ロググループ、リソースポリシー、および syslog 設定を作成するアクセス許可が必要です。次のポリシー例は、最低限必要なアクセス許可を示しています。


{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "logs:CreateLogGroup",
        "logs:PutResourcePolicy",
        "logs:DeleteResourcePolicy",
        "logs:PutSyslogConfiguration",
        "logs:ListSyslogConfigurations",
        "logs:DeleteSyslogConfiguration"
      ],
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Action": [
        "ec2:CreateVpc",
        "ec2:ModifyVpcAttribute",
        "ec2:CreateSubnet",
        "ec2:CreateSecurityGroup",
        "ec2:AuthorizeSecurityGroupIngress",
        "ec2:CreateVpcEndpoint",
        "ec2:ModifyVpcEndpoint",
        "ec2:DescribeVpcEndpoints"
      ],
      "Resource": "*"
    }
  ]
}

注記

既に VPC、サブネット、およびセキュリティグループがある場合は、EC2 アクションの ec2:CreateVpcEndpoint、ec2:ModifyVpcEndpoint、およびアクセスec2:DescribeVpcEndpoints許可のみが必要です。

ステップ 1: VPC を作成または識別する

syslog 生成デバイスが存在するオンプレミスネットワーク (VPN または Direct Connect 経由) から到達可能な VPC が必要です。データセンターに既に VPC が接続されている場合は、このステップをスキップし、既存の VPC とサブネット IDsを使用します。

注記

VPC エンドポイントは、サブネットにプライベート IP を持つ Elastic Network Interface (ENI) を作成します。オンプレミスデバイスは、VPN または Direct Connect 接続を介してこの IP に到達します。ネットワークルーティングで、デバイスからサブネット CIDR へのトラフィックが許可されていることを確認します。

ステップ 2: セキュリティグループを作成する

VPC エンドポイントのセキュリティグループを作成し、VPC からのインバウンド syslog トラフィックを許可します。これにより、エンドポイントに syslog を送信できるリソースが制御されます。

Console

セキュリティグループを作成するには (コンソール)

Amazon VPC コンソールの https://console.aws.amazon.com/vpc/ を開いてください。
ナビゲーションペインで、セキュリティグループを選択し、セキュリティグループの作成を選択します。
[Security group name] (セキュリティグループ名) に syslog-vpce-sg と入力します。
[Description] (説明) に Allow syslog traffic to VPC endpoint と入力します。
VPC の場合は、ステップ 1 で作成または識別した VPC を選択します。
インバウンドルールセクションで、ルールの追加を選択し、次のルールを追加します。
- ルール 1: タイプ = カスタム TCP、ポート範囲 = 6514、ソース = 10.0.0.0/16 (VPC CIDR)
- ルール 2: タイプ = カスタム TCP、ポート範囲 = 1514、ソース = 10.0.0.0/16
- ルール 3: タイプ = カスタム UDP、ポート範囲 = 514、ソース = 10.0.0.0/16
[セキュリティグループの作成] を選択してください。

AWS CLI


VPCE_SG_ID=$(aws ec2 create-security-group \
  --group-name syslog-vpce-sg \
  --description "Allow syslog traffic to VPC endpoint" \
  --vpc-id $VPC_ID \
  --region $REGION \
  --query 'GroupId' --output text)

# Allow TCP+TLS (port 6514), TCP plaintext (port 1514), and UDP (port 514)
aws ec2 authorize-security-group-ingress --group-id $VPCE_SG_ID \
  --protocol tcp --port 6514 --cidr 10.0.0.0/16 --region $REGION
aws ec2 authorize-security-group-ingress --group-id $VPCE_SG_ID \
  --protocol tcp --port 1514 --cidr 10.0.0.0/16 --region $REGION
aws ec2 authorize-security-group-ingress --group-id $VPCE_SG_ID \
  --protocol udp --port 514 --cidr 10.0.0.0/16 --region $REGION

ヒント

1 つのプロトコル (ポート 6514 の TCP+TLS など) のみを使用する場合は、セキュリティグループでそのポートを開くだけで済みます。

ステップ 3: VPC エンドポイントの作成

syslog AWS PrivateLink サービスを指すインターフェイス VPC エンドポイントを作成します。これにより、VPC は CloudWatch Logs syslog サービスへのプライベートエントリポイントになります。

注記

エンドポイントの作成時に、異なるアベイラビリティーゾーン間で複数のサブネット IDs を指定できます。エンドポイントは各サブネットに ENI を作成し、アベイラビリティーゾーンごとに個別の VPC エンドポイントを必要とせずに、より高い可用性を提供します。複数のアベイラビリティーゾーンにサブネットを持つ 1 つの VPC エンドポイントで十分です。

Console

VPC エンドポイントを作成するには (コンソール)

Amazon VPC コンソールの https://console.aws.amazon.com/vpc/ を開いてください。
ナビゲーションペインで、エンドポイントを選択し、エンドポイントの作成を選択します。
Name タグには、エンドポイントの名前を入力します (例: syslog-vpce)。
[Service category] (サービスカテゴリ) で、[AWS services] (のサービス) を選択します。
サービス検索フィールドに、サービスと入力syslog-logsして選択しますcom.amazonaws.Region.syslog-logs。
VPC の場合は、ステップ 1 で作成または識別した VPC を選択します。
サブネットセクションで、1 つ以上のアベイラビリティーゾーンを選択し、エンドポイントネットワークインターフェイスを作成するサブネットを選択します。
セキュリティグループで、ステップ 2 () で作成したセキュリティグループを選択しますsyslog-vpce-sg。
(オプション) エンドポイントを介して許可されるトラフィックを制限する場合は、VPC エンドポイントポリシーを設定します。詳細については、「syslog の VPC エンドポイントポリシー」を参照してください。
エンドポイントの作成 を選択します。
エンドポイントの状態が Available に変わったら、エンドポイントを選択し、DNS 名値を書き留めます。これは、syslog デバイスが送信するアドレスです。

AWS CLI


VPCE_ID=$(aws ec2 create-vpc-endpoint \
  --vpc-id $VPC_ID \
  --service-name com.amazonaws.${REGION}.syslog-logs \
  --vpc-endpoint-type Interface \
  --subnet-ids $SUBNET_ID \
  --security-group-ids $VPCE_SG_ID \
  --region $REGION \
  --query 'VpcEndpoint.VpcEndpointId' --output text)

echo "VPC Endpoint: $VPCE_ID"

エンドポイントが使用可能になるまで (約 60 秒) 待ってから、DNS 名を取得します。


VPCE_DNS=$(aws ec2 describe-vpc-endpoints --vpc-endpoint-ids $VPCE_ID \
  --region $REGION --query 'VpcEndpoints[0].DnsEntries[0].DnsName' --output text)

echo "Endpoint DNS: $VPCE_DNS"

VPCE_DNS 値を保存する – このアドレスに送信するように syslog デバイスを設定します。

ステップ 4: ロググループを作成する

syslog メッセージが配信される CloudWatch Logs ロググループを作成します。任意のロググループ名を使用できます。組織を明確にするために、/syslog/プレフィックスを使用することをお勧めします。

ログストリームを作成する必要はありません。syslog サービスは、最初のメッセージが配信されると、 VPCE_ID_Syslog_Region という名前のログストリーム ( などvpce-0abc123def456_Syslog_us-east-1) を自動的に作成します。

ステップ 5: リソースポリシーを追加する

CloudWatch Logs syslog サービスは、syslog.logs.amazonaws.comサービスプリンシパルを使用してロググループに書き込みます。ロググループのリソースポリシーを介してアクセス許可を付与する必要があります。このaws:SourceArn条件により、特定の VPC エンドポイントからのトラフィックのみがこのロググループに書き込むことができます。


ACCOUNT_ID=$(aws sts get-caller-identity --query 'Account' --output text)

aws logs put-resource-policy \
  --policy-name syslog-ingestion \
  --policy-document '{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "syslog.logs.amazonaws.com"
      },
      "Action": [
        "logs:PutLogEvents",
        "logs:CreateLogStream"
      ],
      "Resource": "arn:aws:logs:'$REGION':'$ACCOUNT_ID':log-group:/syslog/my-devices:*",
      "Condition": {
        "StringEquals": {
          "aws:SourceAccount": "'$ACCOUNT_ID'"
        },
        "ArnEquals": {
          "aws:SourceArn": "arn:aws:ec2:'$REGION':'$ACCOUNT_ID':vpc-endpoint/'$VPCE_ID'"
        }
      }
    }
  ]
}' \
  --region $REGION

リソースポリシーの条件は、次の保護を提供します。

aws:SourceAccount – 混乱した代理攻撃を防止します。アカウントのトラフィックのみが受け入れられます。
aws:SourceArn – 特定の VPC エンドポイントへのアクセスをスコープします。複数の VPC エンドポイントがある場合は、条件にそれぞれを個別の ARN として追加します。

複数の VPC エンドポイントが同じロググループに書き込むことを許可するには、ワイルドカードで ArnLike条件演算子を使用します。


"ArnLike": {
    "aws:SourceArn": "arn:aws:ec2:us-east-1:123456789012:vpc-endpoint/*"
}

ステップ 6: syslog 設定を作成する

このステップでは、VPC エンドポイントから到着するトラフィックをロググループにルーティングすることを CloudWatch Logs syslog サービスに指示します。この設定がないと、エンドポイントからのトラフィックは拒否されます。

syslog 取り込みパイプラインがアクティブになりました。VPC エンドポイントに送信された syslog メッセージは、/syslog/my-devicesロググループに配信されます。

ステップ 7: 配信とフィールド抽出を検証する

VPC エンドポイントに到達できる EC2 ホストまたはデバイスからテストメッセージを送信し、CloudWatch Log Analytics を使用してメッセージが配信され、構造化フィールドが正しく抽出されたことを確認します。メッセージは通常 10～20 秒以内に表示されます。

テストメッセージを送信する (TCP プレーンテキスト):


echo "<134>1 $(date -u +%Y-%m-%dT%H:%M:%SZ) myhost myapp 1234 - - Hello from syslog" | \
  nc $VPCE_DNS 1514

配信フィールドと抽出フィールドを確認します。

ブラウザで JavaScript が無効になっているか、使用できません。

AWS ドキュメントを使用するには、JavaScript を有効にする必要があります。手順については、使用するブラウザのヘルプページを参照してください。

ドキュメントの表記規則

Syslog の取り込み

デバイス設定