Criar um log de fluxo para publicação no Amazon Data Firehose

É possível criar logs de fluxos para suas VPCs, sub-redes ou interfaces de rede.

Pré-requisitos

• Crie o fluxo de entrega de destino do Amazon Data Firehose. Usar Direct Put (Inserção direta) como origem. Para obter mais informações, consulte Criar um fluxo de entrega do Amazon Data Firehose.

• Se você estiver publicando logs de fluxo em uma conta diferente, crie os perfis do IAM necessários, conforme descrito em Perfis do IAM para entrega entre contas.

Para criar um log de fluxo que publique no Amazon Data Firehose

1. Execute um destes procedimentos:

   • Abra o console do Amazon EC2 em https://console.aws.amazon.com/ec2/. No painel de navegação, selecione Network Interfaces. Marque a caixa de seleção para a interface de rede.

   • Abra o console da Amazon VPC em https://console.aws.amazon.com/vpc/. No painel de navegação, escolha Your VPCs (Suas VPCs). Marque a caixa de seleção da VPC.

   • Abra o console da Amazon VPC em https://console.aws.amazon.com/vpc/. No painel de navegação, escolha Sub-redes. Marque a caixa de seleção da sub-rede.

2. Selecione Ações, Criar log de fluxo.

3. Em Filter (Filtrar), especifique o tipo de tráfego a ser registrado em log.

   • Accept (Aceitar): registre em log somente o tráfego aceito

   • Reject (Rejeitar): registre em log somente o tráfego rejeitado

   • All (Todos): registre em log o tráfego aceito e rejeitado

4. Em Maximum aggregation interval (Intervalo máximo de agregação), escolha o período máximo durante o qual um fluxo é capturado e agregado em um registro de log de fluxo.

5. Em Destination (Destino), escolha uma das seguintes opções:

   • Enviar para o Amazon Data Firehose na mesma conta: o fluxo de entrega e o recurso a serem monitorados estão na mesma conta.

   • Enviar para o Amazon Data Firehose em uma conta diferente: o fluxo de entrega e o recurso a serem monitorados estão em contas diferentes.

6. No nome do fluxo do Amazon Data Firehose, selecione o fluxo de entrega que você criou.

7. [Somente para entrega entre contas] Para o Acesso ao serviço, escolha um perfil de serviço do IAM existente para entrega entre contas que tenha permissões para publicar logs ou selecione Configurar permissões para abrir o console do IAM e criar um perfil de serviço.

8. Em Formato de registro de log, selecione o formato para o registro de log de fluxo.

   • Para usar o formato de registro de log de fluxo padrão, escolha AWS Formato padrão.

   • Para criar um formato personalizado, escolha Formato personalizado. Em Formato de log, selecione os campos a serem incluídos no registro de log de fluxo.

9. Para Metadados adicionais, escolha se quer incluir metadados do Amazon ECS no formato de log.

10. (Opcional) Escolha Adicionar tag para aplicar tags ao log de fluxo.

11. Selecione Criar log de fluxo.

Como criar um log de fluxo que publique no Amazon Data Firehose usando a linha de comando

Use um dos seguintes comandos:

• create-flow-logs (AWS CLI)

• New-EC2FlowLog (AWS Tools for Windows PowerShell)

O exemplo de AWS CLI a seguir cria um log de fluxo que captura todo o tráfego da VPC especificada e entrega os logs de fluxo ao fluxo de entrega do Amazon Data Firehose na mesma conta.

aws ec2 create-flow-logs --traffic-type ALL \
  --resource-type VPC \
  --resource-ids vpc-00112233344556677 \
  --log-destination-type kinesis-data-firehose \
  --log-destination arn:aws:firehose:us-east-1:123456789012:deliverystream/flowlogs_stream

O exemplo de AWS CLI a seguir cria um log de fluxo que captura todo o tráfego da VPC especificada e entrega os logs de fluxo ao fluxo de entrega do Amazon Data Firehose em uma conta diferente.

aws ec2 create-flow-logs --traffic-type ALL \
  --resource-type VPC \
  --resource-ids vpc-00112233344556677 \
  --log-destination-type kinesis-data-firehose \
  --log-destination arn:aws:firehose:us-east-1:123456789012:deliverystream/flowlogs_stream \
  --deliver-logs-permission-arn arn:aws:iam::source-account:role/mySourceRole \ 
  --deliver-cross-account-role arn:aws:iam::destination-account:role/AWSLogDeliveryFirehoseCrossAccountRole

Como resultado da criação do log de fluxo, é possível obter os dados de log de fluxo no destino que você configurou para o fluxo de entrega.