Amazon Cognito 사용자 풀의 추가 활동 로깅

일부 추가 활동의 세부 로그를 로그 그룹에 보내도록 사용자 풀을 구성할 수 있습니다 CloudWatch . 이러한 로그는 의 로그보다 세분화되므로 사용자 풀 문제를 해결하는 데 유용할 수 있습니다. AWS CloudTrail이 기능을 활성화하면 Amazon Cognito에서 로그를 전송할 로그 그룹을 선택할 수 있습니다. 사용자 활동 로깅은 사용자 풀이 Amazon SNS 및 Amazon SES를 통해 전송하는 이메일 및 SMS 메시지의 상태를 확인하려는 경우에 유용합니다.

현재는 사용자 풀에서 오류 수준의 사용자 알림 로그만 전송할 수 있습니다.

세부 로깅은 사용자 풀의 다음 로그 기능을 대체하거나 변경하지 않습니다.

1. CloudTrail 가입 및 로그인과 같은 일상적인 사용자 활동 로그.

2. 메트릭을 통한 CloudWatch 대규모 사용자 활동 분석.

이와 별도로 Logs에서 사용자 가져오기 작업 및 Lambda 트리거에서 로그를 찾을 수도 있습니다. CloudWatch Amazon Cognito와 Lambda는 세부 활동 로그에 지정한 로그 그룹과는 다른 로그 그룹에 이러한 로그를 저장합니다.

API 요청에서 Amazon Cognito 사용자 풀 API를 사용하여 세부 활동 로그를 구성할 수 있습니다 SetLogDeliveryConfiguration. GetLogDeliveryConfigurationAPI 요청에서 사용자 풀의 로깅 구성을 볼 수 있습니다.

다음 권한이 있는 AWS 자격 증명으로 이러한 요청을 승인해야 합니다.

{
    "Version": "2012-10-17",
    "Statement": [
            {
            "Sid": "ManageUserPoolLogs",
            "Action": [
                "cognito-idp:SetLogDeliveryConfiguration",
                "cognito-idp:GetLogDeliveryConfiguration",
            ],
            "Resource": [
                "*"
            ],
            "Effect": "Allow"
        },
        {
            "Sid": "CognitoLog",
            "Action": [
                "logs:CreateLogDelivery",
                "logs:GetLogDelivery",
                "logs:UpdateLogDelivery",
                "logs:DeleteLogDelivery",
                "logs:ListLogDeliveries"
            ],
            "Resource": [
                "*"
            ],
            "Effect": "Allow"
        },
        {
            "Sid": "CognitoLoggingCWL",
            "Action": [
                "logs:PutResourcePolicy",
                "logs:DescribeResourcePolicies",
                "logs:DescribeLogGroups"
            ],
            "Resource": [
                "*"
            ],
            "Effect": "Allow"
        }
    ]
}

다음은 사용자 풀의 이벤트 예시입니다. 이 로그 스키마는 변경될 수 있습니다. 일부 필드는 null 값으로 로깅될 수 있습니다.

{
    "eventTimestamp": "1687297330677",
    "eventSource": "USER_NOTIFICATION",
    "logLevel": "ERROR",
    "message": {
        "details": "String"
    },
    "logSourceId": {
        "userPoolId": "String"
    }
}

Amazon Cognito에서 로그를 전송하는 것은 최선의 작업을 기반으로 합니다. 사용자 풀이 제공하는 로그의 양과 로그의 서비스 할당량은 CloudWatch 로그 전달에 영향을 줄 수 있습니다.

CloudWatch 로그 전송이 활성화된 경우 로그 요금이 적용됩니다. 자세한 내용은 Amazon CloudWatch 요금의 벤드 로그를 참조하십시오.

리소스 정책 크기가 5,120자보다 큰 로그 그룹에 로그를 전송하려면 경로가 /aws/vendedlogs로 시작하는 로그 그룹을 구성합니다. 자세한 내용은 특정 AWS 서비스에서 로깅 활성화를 참조하십시오.