先决条件步骤 1：创建或标识 VPC 步骤 2：创建安全组步骤 3：创建 VPC 端点步骤 4：创建日志组步骤 5：添加资源策略步骤 6：创建系统日志配置第 7 步：验证交付和字段提取

设置系统日志提取

本节将引导您完成在日志中设置 syslog 提取的步骤。 CloudWatch 您将为 syslog 服务创建 VPC 终端节点、用于接收消息的日志组、用于授权 syslog 服务的资源策略以及用于将流量从 VPC 终端节点路由到日志组的 syslog 配置。

您可以使用 AWS 管理控制台 AWS CLI、或 AWS 软件开发工具包执行所有这些步骤。以下说明提供了控制台和 AWS CLI 示例。

先决条件

用于设置 syslog 提取的 IAM 身份（用户或角色）必须具有创建 VPC 终端节点、日志组、资源策略和 syslog 配置的权限。以下示例策略显示了所需的最低权限：


{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "logs:CreateLogGroup",
        "logs:PutResourcePolicy",
        "logs:DeleteResourcePolicy",
        "logs:PutSyslogConfiguration",
        "logs:ListSyslogConfigurations",
        "logs:DeleteSyslogConfiguration"
      ],
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Action": [
        "ec2:CreateVpc",
        "ec2:ModifyVpcAttribute",
        "ec2:CreateSubnet",
        "ec2:CreateSecurityGroup",
        "ec2:AuthorizeSecurityGroupIngress",
        "ec2:CreateVpcEndpoint",
        "ec2:ModifyVpcEndpoint",
        "ec2:DescribeVpcEndpoints"
      ],
      "Resource": "*"
    }
  ]
}

注意

如果您已经拥有 VPC、子网和安全组，则只需要执行 EC2 操作的ec2:CreateVpcEndpointec2:ModifyVpcEndpoint、和ec2:DescribeVpcEndpoints权限。

步骤 1：创建或标识 VPC

您需要一个可以从生成系统日志的设备所在的本地网络（通过 VPN 或 Direct Connect）访问的 VPC。如果您已经有一个 VPC 连接到您的数据中心，请跳过此步骤并使用现有的 VPC 和子网 ID。

注意

VPC 终端节点在您的子网中创建带有私有 IP 的弹性网络接口 (ENI)。您的本地设备通过您的 VPN 或 Direct Connect 连接访问此 IP。确保您的网络路由允许从您的设备流向子网 CIDR 的流量。

步骤 2：创建安全组

为 VPC 终端节点创建安全组，允许来自您的 VPC 的入站系统日志流量。这控制了哪些资源可以向端点发送 syslog。

提示

如果您只打算使用一种协议（例如，端口 6514 上的 TCP+TLS），则只需在安全组中打开该端口即可。

步骤 3：创建 VPC 端点

创建指向 syslog AWS PrivateLink 服务的接口 VPC 终端节点。这为您的 VPC 提供了一个进入 CloudWatch 日志 syslog 服务的私有入口点。

注意

在创建终端节点时，您可以跨不同的可用区指定多个子网 ID。终端节点在每个子网中创建一个 ENI，从而提供更高的可用性，而无需为每个可用区单独的 VPC 终端节点。子网位于多个可用区的单个 VPC 终端节点就足够了。

步骤 4：创建日志组

创建用于传送 syslog 消息的 Log CloudWatch s 日志组。您可以使用任何日志组名称。为了便于组织清晰起见，我们建议使用/syslog/前缀。

您无需创建日志流。当传送第一条消息时，syslog 服务会自动创建一个名为VPCE_ID_Syslog_Region（例如vpce-0abc123def456_Syslog_us-east-1）的日志流。

步骤 5：添加资源策略

Log CloudWatch s syslog 服务使用syslog.logs.amazonaws.com服务主体写入您的日志组。您必须通过日志组的资源策略向其授予权限。该aws:SourceArn条件可确保只有来自您的特定 VPC 终端节点的流量才能写入此日志组。


ACCOUNT_ID=$(aws sts get-caller-identity --query 'Account' --output text)

aws logs put-resource-policy \
  --policy-name syslog-ingestion \
  --policy-document '{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "syslog.logs.amazonaws.com"
      },
      "Action": [
        "logs:PutLogEvents",
        "logs:CreateLogStream"
      ],
      "Resource": "arn:aws:logs:'$REGION':'$ACCOUNT_ID':log-group:/syslog/my-devices:*",
      "Condition": {
        "StringEquals": {
          "aws:SourceAccount": "'$ACCOUNT_ID'"
        },
        "ArnEquals": {
          "aws:SourceArn": "arn:aws:ec2:'$REGION':'$ACCOUNT_ID':vpc-endpoint/'$VPCE_ID'"
        }
      }
    }
  ]
}' \
  --region $REGION

资源策略中的条件提供了以下保护：

aws:SourceAccount— 防止混乱的副手攻击。仅接受您账户的流量。
aws:SourceArn— 限定对特定 VPC 终端节点的访问权限。如果您有多个 VPC 终端节点，请在条件中将每个终端节点添加为单独的 ARN。

要允许多个 VPC 终端节点写入同一个日志组，请使用带通配符的ArnLike条件运算符：


"ArnLike": {
    "aws:SourceArn": "arn:aws:ec2:us-east-1:123456789012:vpc-endpoint/*"
}

步骤 6：创建系统日志配置

此步骤告知 Log CloudWatch s syslog 服务，来自您的 VPC 终端节点的流量应路由到您的日志组。如果没有此配置，来自您的终端节点的流量将被拒绝。

您的 syslog 摄取管道现已激活。发送到 VPC 终端节点的任何 syslog 消息都将传送到/syslog/my-devices日志组。

第 7 步：验证交付和字段提取

从任何可以到达 VPC 终端节点的 EC2 主机或设备发送测试消息，然后使用 CloudWatch Log Analytics 验证消息是否已发送以及结构化字段是否正确提取。消息通常会在 10-20 秒内出现。

发送测试消息（TCP 纯文本）：


echo "<134>1 $(date -u +%Y-%m-%dT%H:%M:%SZ) myhost myapp 1234 - - Hello from syslog" | \
  nc $VPCE_DNS 1514

验证交付和提取的字段：

Javascript 在您的浏览器中被禁用或不可用。

要使用 Amazon Web Services 文档，必须启用 Javascript。请参阅浏览器的帮助页面以了解相关说明。

文档惯例

系统日志摄取

设置系统日志提取

先决条件

注意

步骤 1：创建或标识 VPC

创建 VPC (控制台)

注意

步骤 2：创建安全组

创建安全组（控制台）

提示

步骤 3：创建 VPC 端点

注意

创建 VPC 终端节点（控制台）

步骤 4：创建日志组

创建日志组（控制台）

步骤 5：添加资源策略

步骤 6：创建系统日志配置

创建 syslog 配置（控制台）

第 7 步：验证交付和字段提取

使用日志分析（控制台）验证传送