Application Load Balancer の接続ログを有効にする - Elastic Load Balancing
ステップ 1: S3 バケットを作成するステップ 2: S3 バケットにポリシーをアタッチするステップ 3: 接続ログの設定ステップ 4: バケット許可を確認トラブルシューティング

翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

Application Load Balancer の接続ログを有効にする

ロードバランサーの接続ログを有効にする場合は、ロードバランサーがログを保存する S3 バケットの名前を指定する必要があります。このバケットは、バケットにアクセスログを書き込む許可を Elastic Load Balancing に付与するバケットポリシーが必要です。

ステップ 1: S3 バケットを作成する

接続ログを有効にするときは、接続ログの S3 バケットを指定する必要があります。既存のバケットを使用するか、接続ログ専用のバケットを作成できます。バケットは、次の要件を満たしている必要があります。

要件

  • バケットは、ロードバランサーと同じリージョンに配置されている必要があります。バケットとロードバランサーは、異なるアカウントにより所有できます。

  • サポートされるサーバー側の暗号化オプションは、Amazon S3-managedキー (SSE-S3) のみです。詳細については、「Amazon S3-managed暗号化キー (SSE-S3)」を参照してください。

Amazon S3 コンソールを使用して S3 バケットを作成するには

  1. Word で Amazon S3 コンソールを開きます。 https://console.aws.amazon.com/s3/

  2. [バケットを作成] を選択します。

  3. [バケットを作成] ページで、次の操作を実行します。

    1. [バケット名] にバケットの名前を入力します。この名前は、Amazon S3 内で既存の、すべてのバケット名の中で一意である必要があります。リージョンによっては、バケット名にその他の制限が設けられていることがあります。詳細については、「Amazon Simple Storage Service ユーザーガイド」の「バケットの制約と制限」を参照してください。

    2. [AWS リージョン] で、ロードバランサーを作成したリージョンを選択します。

    3. デフォルトの暗号化では、Amazon S3-managedキー (SSE-S3) を選択します。

    4. [バケットを作成] を選択します。

ステップ 2: S3 バケットにポリシーをアタッチする

S3 バケットには、バケットに接続ログを書き込む許可を Elastic Load Balancing に付与するバケットポリシーが必要です。バケットポリシーは、バケットのアクセス許可を定義するためにアクセスポリシー言語で記述された JSON ステートメントのコレクションです。各ステートメントには 1 つのアクセス許可に関する情報が含まれ、一連のエレメントが使用されます。

既にポリシーがアタッチされている既存のバケットを使用している場合は、Elastic Load Balancing 接続ログのステートメントをポリシーに追加できます。この場合、結果として作成されるアクセス権限のセットが、接続ログのバケットへのアクセスを必要とするユーザーに対して適切であることを確認するために、このセットを評価することをお勧めします。

使用可能なバケットポリシー

使用するバケットポリシーは、 AWS リージョン とゾーンのタイプによって異なります。以下の各拡張可能なセクションには、バケットポリシーとそのポリシーをいつ使用すべきかについての情報が含まれています。

このポリシーは、指定されたログ配信サービスに許可を付与します。このポリシーは、以下のリージョンのアベイラビリティーゾーンと Local Zones にあるロードバランサーに使用してください。

  • アジアパシフィック (ハイデラバード)

  • アジアパシフィック (マレーシア)

  • アジアパシフィック (メルボルン)

  • カナダ西部 (カルガリー)

  • 欧州 (スペイン)

  • 欧州 (チューリッヒ)

  • イスラエル (テルアビブ)

  • 中東 (UAE）

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "logdelivery.elasticloadbalancing.amazonaws.com"
      },
      "Action": "s3:PutObject",
      "Resource": "arn:aws:s3:::bucket-name/prefix/AWSLogs/aws-account-id/*"
    }
  ]
}

このポリシーは、指定された Elastic Load Balancing アカウント ID に許可を付与します。このポリシーは、以下のリストに記載されている リージョンのアベイラビリティーゾーンまたは Local Zones にあるロードバランサーに使用してください。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::elb-account-id:root"
      },
      "Action": "s3:PutObject",
       "Resource": "s3-bucket-arn"
    }
  ]
}

置換 elb-account-id リージョンの Elastic Load Balancing AWS アカウント 用の の ID を持つ :

  • 米国東部 (バージニア北部) – 127311923021

  • 米国東部 (オハイオ) — 033677994240

  • 米国西部 (北カリフォルニア) – 027434742980

  • 米国西部 (オレゴン) — 797873946194

  • アフリカ (ケープタウン) - 098369216593

  • アジアパシフィック (香港) - 754344448648

  • アジアパシフィック (ジャカルタ) – 589379963580

  • アジアパシフィック (ムンバイ) – 718504428378

  • アジアパシフィック (大阪) – 383597477331

  • アジアパシフィック (ソウル) – 600734575887

  • アジアパシフィック (シンガポール) – 114774131450

  • アジアパシフィック (シドニー) — 783225319266

  • アジアパシフィック (東京) — 582318560864

  • カナダ (中部) – 985666609251

  • 欧州 (フランクフルト) – 054676820928

  • 欧州 (アイルランド) – 156460612806

  • 欧州 (ロンドン) – 652711504416

  • ヨーロッパ (ミラノ) - 635631232127

  • 欧州 (パリ) – 009996457667

  • 欧州 (ストックホルム) – 897822967062

  • 中東 (バーレーン) — 076674570225

  • 南米 (サンパウロ) – 507241528517

置換 s3-bucket-arn と接続ログの場所の ARN。指定するARNは、ステップ 3 で接続ログを有効にするときにプレフィックスを指定するかどうかによって異なります。

プレフィックス付きの S3 バケットARNの例

バケット名は amzn-s3-demo-logging-bucket、プレフィックスは logging-prefix、ロードバランサーを持つ AWS アカウントの ID は です111122223333。

arn:aws:s3:::amzn-s3-demo-logging-bucket/logging-prefix/AWSLogs/111122223333/*
プレフィックスのない S3 バケットARNの例

バケット名は amzn-s3-demo-logging-bucket で、ロードバランサーを持つ AWS アカウントの ID は です111122223333。

arn:aws:s3:::amzn-s3-demo-logging-bucket/AWSLogs/111122223333/*

このポリシーは、指定された Elastic Load Balancing アカウント ID に許可を付与します。このポリシーは、以下のリストの AWS GovCloud (US) リージョンのアベイラビリティーゾーンまたはローカルゾーンのロードバランサーに使用します。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws-us-gov:iam::elb-account-id:root"
      },
      "Action": "s3:PutObject",
      "Resource": "s3-bucket-arn"
    }
  ]
}

置換 elb-account-id AWS GovCloud (US) リージョンの Elastic Load Balancing AWS アカウント 用の の ID を持つ :

  • AWS GovCloud （米国西部) – 048591011584

  • AWS GovCloud （米国東部) – 190560391635

置換 s3-bucket-arn をアクセスログのバケットの ARN で使用します。

プレフィックス付きの S3 バケットARNの例

バケット名は amzn-s3-demo-logging-bucket、プレフィックスは logging-prefix、ロードバランサーを持つ AWS アカウントの ID は です111122223333。

arn:aws-us-gov:s3:::amzn-s3-demo-logging-bucket/logging-prefix/AWSLogs/111122223333/*
プレフィックスのない S3 バケットARNの例

バケット名は amzn-s3-demo-logging-bucketで、ロードバランサーを持つ AWS アカウントの ID は です111122223333。

arn:aws-us-gov:s3:::amzn-s3-demo-logging-bucket/AWSLogs/111122223333/*
Amazon S3 を使用して接続ログのバケットポリシーをバケットにアタッチする

  1. Word で Amazon S3 コンソールを開きます。 https://console.aws.amazon.com/s3/

  2. バケットの名前を選択して、その詳細ページを開きます。

  3. [許可] を選択してから、[バケットポリシー]、[編集] の順に選択します。

  4. 必要な許可を付与するようにバケットポリシーを更新します。

  5. [Save changes] (変更の保存) をクリックします。

ステップ 3: 接続ログの設定

以下の手順を使用して、S3 バケットのログファイルを、収集して配信するように、接続ログを設定します。

要件

バケットはステップ 1 で説明した要件を満たしている必要があり、ステップ 2 で説明したようにバケットポリシーをアタッチする必要があります。プレフィックスを指定する場合は、文字列AWSLogs」を含めないでください。

コンソールを使用したロードバランサーの接続ログを有効にするには

  1. EC2 で Amazon https://console.aws.amazon.com/ec2/ コンソールを開きます。

  2. ナビゲーションペインで、[ロードバランサー] を選択します。

  3. ロードバランサーの名前を選択して、その詳細ページを開きます。

  4. [属性] タブで、[編集] を選択します。

  5. [モニタリング] で [接続ログ] をオンにします。

  6. S3 URI の場合は、ログファイルの S3 URI を入力します。指定するURIは、プレフィックスを使用しているかどうかによって異なります。

    • プレフィックスが付いたURI: s3://bucket-name/prefix

    • プレフィックスのないURI: s3://bucket-name

  7. [Save changes] (変更の保存) をクリックします。

を使用して接続ログを有効にするには AWS CLI

modify-load-balancer-attributes コマンドを使用します。

接続ログの S3 バケットを管理するには

必ず接続ログを無効にしてから、接続ログ用に設定したバケットを削除します。これを行わないと、自分が所有していない AWS アカウント に、同じ名前で必要なバケットポリシーを持つ新しいバケットが作成された場合、Elastic Load Balancing がロードバランサーの接続ログを、その新しいバケットに書き込んでしまう可能性があります。

ステップ 4: バケット許可を確認

接続ログをロードバランサーで有効にすると、Elastic Load Balancing は S3 バケットを検証し、テストファイルを作成して、バケットポリシーが必要なアクセス権限を指定するようにします。Amazon S3 コンソールを使用して、テストファイルが作成されたことを確認できます。テストファイルは実際の接続ログファイルではなく、レコード例は含まれていません。

Elastic Load Balancing が S3 バケットにテストファイルを作成したことを確認するには

  1. Word で Amazon S3 コンソールを開きます。 https://console.aws.amazon.com/s3/

  2. 接続ログ用に指定したバケットの名前を選択します。

  3. テストファイル「ELBConnectionLogTestFile」に移動します。場所は、プレフィックスを使用しているかどうかによって異なります。

    • プレフィックスが付いた場所：amzn-s3-demo-logging-bucket/prefix/AWSLogs/123456789012/ELBConnectionLogTestFile

    • プレフィックスのない場所：amzn-s3-demo-logging-bucket/AWSLogs/123456789012/ELBConnectionLogTestFile

トラブルシューティング

アクセス拒否エラーが表示される場合は、以下の原因が考えられます。

  • バケットが、バケットに接続ログを書き込む許可を Elastic Load Balancing に付与しない。そのリージョンに対して正しいバケットポリシーを使用していることを確認してください。リソース ARN が、接続ログを有効にしたときに指定したのと同じバケット名を使用していることを確認します。接続ログを有効にしたときにプレフィックスを指定しなかった場合は、リソース ARN にプレフィックスが含まれていないことを確認します。

  • バケットが、サポートされていないサーバー側の暗号化オプションを使用している。バケットは Amazon S3-managedキー (SSE-S3) を使用する必要があります。