為 Application Load Balancer 啟用存取日誌 - Elastic Load Balancing
步驟 1：建立 S3 儲存貯體步驟 2：連接政策到您的 S3 儲存貯體步驟 3：設定存取日誌步驟 4：確認儲存貯體許可故障診斷

本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

為 Application Load Balancer 啟用存取日誌

為負載平衡器啟用存取記錄時，必須指定供負載平衡器存放日誌的 S3 儲存貯體名稱。儲存貯體必須具有儲存貯體政策，能授予 Elastic Load Balancing 寫入儲存貯體的許可。

步驟 1：建立 S3 儲存貯體

啟用存取日誌時，必須為存取日誌指定 S3 儲存貯體。您可以使用現有儲存貯體，也可以建立專門用於存取日誌的儲存貯體。儲存貯體必須符合下列需求。

要求

  • 儲存貯體與負載平衡器必須位於相同的 Region (區域)。儲存貯體和負載平衡器可以由不同的帳戶擁有。

  • 支援的唯一伺服器端加密選項是 Amazon S3-managed金鑰 （SSE-S3）。如需詳細資訊，請參閱 Amazon S3-managed加密金鑰 （SSE-S3）。

使用 Amazon S3 主控台建立 S3 儲存貯體

  1. 在 開啟 Amazon S3 主控台https://console.aws.amazon.com/s3/。

  2. 選擇建立儲存貯體。

  3. 在 Create bucket (建立儲存貯體) 頁面上，執行下列操作：

    1. 針對 Bucket name (儲存貯體名稱)，輸入儲存貯體的名稱。該名稱在 Amazon S3 中所有現有的儲存貯體名稱之間，不得重複。在某些區域，可能會對儲存貯體的名稱進行其他限制。如需詳細資訊，請參閱 Amazon Simple Storage Service 使用者指南中的儲存貯體限制與局限。

    2. 針對 AWS 區域，選取您建立負載平衡器時所在的區域。

    3. 對於預設加密 ，選擇 Amazon S3-managed金鑰 （SSE-S3）。

    4. 選擇建立儲存貯體。

步驟 2：連接政策到您的 S3 儲存貯體

您的 S3 儲存貯體必須擁有儲存貯體政策，以授權 Elastic Load Balancing 將存取日誌寫入到儲存貯體。儲存貯體政策是以存取政策語言編寫的JSON陳述式集合，用於定義儲存貯體的存取許可。每個陳述式包含單一許可的相關資訊，且包含一系列的元素。

如果您目前使用的儲存貯體有已連接的政策，您可以將 Elastic Load Balancing 存取日誌的陳述式加入至政策中。若您這麼做，建議您評估所產生的一組許可，以確保它們適用於需要存取儲存貯體以取得存取日誌的使用者。

可用的儲存貯體政策

您將使用的儲存貯體政策取決於 AWS 區域 和 區域類型。以下每個可展開的區段都包含儲存貯體政策以及在何時使用該政策的資訊。

此政策會將許可授予指定的日誌交付服務。針對下列「區域」內的「可用區域」和「本地區域」中的負載平衡器使用此政策：

  • 亞太區域 (海德拉巴)

  • 亞太區域 （馬來西亞）

  • 亞太區域 (墨爾本)

  • 加拿大西部 (卡加利)

  • 歐洲 (西班牙)

  • 歐洲 (蘇黎世)

  • 以色列 (特拉維夫)

  • 中東 （UAE）

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "logdelivery.elasticloadbalancing.amazonaws.com"
      },
      "Action": "s3:PutObject",
      "Resource": "s3-bucket-arn"
    }
  ]
}

Replace (取代) s3-bucket-arn 存取日誌位置ARN的 。ARN 您指定的 取決於您在步驟 3 中啟用存取日誌時是否計劃包含字首。

ARN 具有字首的範例 S3 儲存貯體

儲存貯體名稱為 amzn-s3-demo-logging-bucket，字首為 logging-prefix， AWS 具有負載平衡器的帳戶 ID 為 111122223333。

arn:aws:s3:::amzn-s3-demo-logging-bucket/logging-prefix/AWSLogs/111122223333/*
ARN 沒有字首的範例 S3 儲存貯體

儲存貯體名稱為 ，amzn-s3-demo-logging-bucket而 AWS 具有負載平衡器的帳戶 ID 為 111122223333。

arn:aws:s3:::amzn-s3-demo-logging-bucket/AWSLogs/111122223333/*
使用 NotPrincipal 當 Effect 是 Deny

如果 Amazon S3 儲存貯體政策Effect搭配 值使用 Deny並包含 NotPrincipal，如下例所示，請確保 logdelivery.elasticloadbalancing.amazonaws.com 包含在Service清單中。

{
  "Effect": "Deny",
  "NotPrincipal": {
    "Service": [
       "logdelivery.elasticloadbalancing.amazonaws.com",
       "example.com"
    ]
  }
},

此政策會將許可授予指定的 Elastic Load Balancing 帳戶 ID。針對下列清單中 「區域」內的「可用區域」或「本地區域」中的負載平衡器使用此政策。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::elb-account-id:root"
      },
      "Action": "s3:PutObject",
      "Resource": "s3-bucket-arn"
    }
  ]
}

Replace (取代) elb-account-id 搭配您 區域的 Elastic Load Balancing AWS 帳戶 ID：

  • 美國東部 (維吉尼亞北部) – 127311923021

  • 美國東部 (俄亥俄) – 033677994240

  • 美國西部 (加利佛尼亞北部) – 027434742980

  • 美國西部 (奧勒岡) – 797873946194

  • 非洲 (開普敦) – 098369216593

  • 亞太區域 (香港) – 754344448648

  • 亞太區域 (雅加達) – 589379963580

  • 亞太區域 (孟買) – 718504428378

  • 亞太區域 (大阪) – 383597477331

  • 亞太區域 (首爾) – 600734575887

  • 亞太區域 (新加坡) – 114774131450

  • 亞太區域 (雪梨) – 783225319266

  • 亞太區域 (東京) – 582318560864

  • 加拿大 (中部) – 985666609251

  • 歐洲 (法蘭克福) – 054676820928

  • 歐洲 (愛爾蘭) – 156460612806

  • 歐洲 (倫敦) – 652711504416

  • 歐洲 (米蘭) – 635631232127

  • 歐洲 (巴黎) – 009996457667

  • 歐洲 (斯德哥爾摩) – 897822967062

  • 中東 (巴林) – 076674570225

  • 南美洲 (聖保羅) – 507241528517

Replace (取代) s3-bucket-arn 存取日誌位置ARN的 。ARN 您指定的 取決於您在步驟 3 中啟用存取日誌時是否計劃包含字首。

ARN 具有字首的範例 S3 儲存貯體

儲存貯體名稱為 amzn-s3-demo-logging-bucket，字首為 logging-prefix， AWS 具有負載平衡器的帳戶 ID 為 111122223333。

arn:aws:s3:::amzn-s3-demo-logging-bucket/logging-prefix/AWSLogs/111122223333/*
ARN 沒有字首的範例 S3 儲存貯體

儲存貯體名稱為 ，amzn-s3-demo-logging-bucket而具有負載平衡器 AWS 的帳戶 ID 為 111122223333。

arn:aws:s3:::amzn-s3-demo-logging-bucket/AWSLogs/111122223333/*
使用 NotPrincipal 當 Effect 是 Deny

如果 Amazon S3 儲存貯體政策Effect搭配 值使用 Deny並包含 NotPrincipal，如下例所示，請確保 logdelivery.elasticloadbalancing.amazonaws.com 包含在Service清單中。

{
  "Effect": "Deny",
  "NotPrincipal": {
    "Service": [
       "logdelivery.elasticloadbalancing.amazonaws.com",
       "example.com"
    ]
  }
},

此政策會將許可授予指定的 Elastic Load Balancing 帳戶 ID。在下列清單中的可用區域或 AWS GovCloud (US) 區域中的負載平衡器使用此政策。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws-us-gov:iam::elb-account-id:root"
      },
      "Action": "s3:PutObject",
      "Resource": "s3-bucket-arn"
    }
  ]
}

Replace (取代) elb-account-id 搭配您 AWS GovCloud (US) 區域的 AWS 帳戶 Elastic Load Balancing 的 ID：

  • AWS GovCloud （美國西部） – 048591011584

  • AWS GovCloud （美國東部） – 190560391635

Replace (取代) s3-bucket-arn 存取日誌位置ARN的 。ARN 您指定的 取決於您在步驟 3 中啟用存取日誌時是否計劃包含字首。

ARN 具有字首的範例 S3 儲存貯體

儲存貯體名稱為 amzn-s3-demo-logging-bucket，字首為 logging-prefix， AWS 具有負載平衡器的帳戶 ID 為 111122223333。

arn:aws-us-gov:s3:::amzn-s3-demo-logging-bucket/logging-prefix/AWSLogs/111122223333/*
ARN 沒有字首的範例 S3 儲存貯體

儲存貯體名稱為 ，amzn-s3-demo-logging-bucket而 AWS 具有負載平衡器的帳戶 ID 為 111122223333。

arn:aws-us-gov:s3:::amzn-s3-demo-logging-bucket/AWSLogs/111122223333/*
使用 NotPrincipal 當 Effect 是 Deny

如果 Amazon S3 儲存貯體政策Effect搭配 值使用 Deny並包含 NotPrincipal，如下例所示，請確保 logdelivery.elasticloadbalancing.amazonaws.com 包含在Service清單中。

{
  "Effect": "Deny",
  "NotPrincipal": {
    "Service": [
       "logdelivery.elasticloadbalancing.amazonaws.com",
       "example.com"
    ]
  }
},

以下政策會將許可授予指定的日誌交付服務。將此政策用於 Outpost 區域中的負載平衡器。

{
    "Effect": "Allow",
    "Principal": {
        "Service": "logdelivery.elb.amazonaws.com"
    },
    "Action": "s3:PutObject",
    "Resource": "s3-bucket-arn,
    "Condition": {
        "StringEquals": {
            "s3:x-amz-acl": "bucket-owner-full-control"
        }
    }
}

Replace (取代) s3-bucket-arn 存取日誌位置ARN的 。ARN 您指定的 取決於您在步驟 3 中啟用存取日誌時是否計劃包含字首。

ARN 具有字首的範例 S3 儲存貯體

儲存貯體名稱為 amzn-s3-demo-logging-bucket，字首為 logging-prefix， AWS 具有負載平衡器的帳戶 ID 為 111122223333。

arn:aws:s3:::amzn-s3-demo-logging-bucket/logging-prefix/AWSLogs/111122223333/*
ARN 沒有字首的範例 S3 儲存貯體

儲存貯體名稱為 ，amzn-s3-demo-logging-bucket而 AWS 具有負載平衡器的帳戶 ID 為 111122223333。

arn:aws:s3:::amzn-s3-demo-logging-bucket/AWSLogs/111122223333/*
使用 NotPrincipal 當 Effect 是 Deny

如果 Amazon S3 儲存貯體政策Effect搭配 值使用 Deny並包含 NotPrincipal，如下例所示，請確保 logdelivery.elasticloadbalancing.amazonaws.com 包含在Service清單中。

{
  "Effect": "Deny",
  "NotPrincipal": {
    "Service": [
       "logdelivery.elasticloadbalancing.amazonaws.com",
       "example.com"
    ]
  }
},
使用 Amazon S3 主控台，將存取日誌的儲存貯體政策連接到儲存貯體

  1. 在 開啟 Amazon S3 主控台https://console.aws.amazon.com/s3/。

  2. 選取儲存貯體的名稱，開啟其詳細資訊頁面。

  3. 選擇 Permissions (許可)，然後選擇 Bucket policy (儲存貯體政策)、Edit (編輯)。

  4. 更新儲存貯體政策，授予所需許可。

  5. 選擇 Save changes (儲存變更)。

步驟 3：設定存取日誌

使用下列程序來設定存取日誌，以擷取請求資訊並將日誌檔案交付至 S3 儲存貯體。

要求

儲存貯體必須符合步驟 1 中所述的要求，且您必須按照步驟 2 所述連接儲存貯體政策。如果您包含字首，則不得包含字串 "AWSLogs"。

使用主控台為您的負載平衡器啟用存取日誌

  1. 在 開啟 Amazon EC2主控台https://console.aws.amazon.com/ec2/。

  2. 在導覽窗格中，選擇 Load Balancers (負載平衡器)。

  3. 選取您負載平衡器的名稱來開啟其詳細資訊頁面。

  4. 在屬性索引標籤中，選擇編輯。

  5. 對於監控，請開啟存取日誌。

  6. 針對 S3 URI，輸入日誌檔案URI的 S3。URI 您指定的 取決於您是否使用字首。

    • URI 字首為：s3：//amzn-s3-demo-logging-bucket/logging-prefix

    • URI 無字首：s3：//amzn-s3-demo-logging-bucket

  7. 選擇 Save changes (儲存變更)。

使用 啟用存取日誌 AWS CLI

使用 modify-load-balancer-attributes命令。

管理存取日誌的 S3 儲存貯體

在刪除您為存取日誌設定的儲存貯體之前，請務必停用存取日誌。否則，如果新的儲存貯體有相同名稱，且所需的儲存貯體政策是在您未擁有的 AWS 帳戶 中建立，則 Elastic Load Balancing 可能會將負載平衡器的存取日誌寫入這個新的儲存貯體。

步驟 4：確認儲存貯體許可

為負載平衡器啟用存取日誌之後，Load Balancing 會驗證 S3 儲存貯體，並建立測試檔案，以確保儲存貯體政策指定所需的許可。您可以使用 Amazon S3 主控台來確認是否已建立測試檔案。測試檔案不是實際的存取日誌檔案；它不包含範例記錄。

驗證是否已使用 Amazon S3 主控台在您的儲存貯體中建立測試檔案

  1. 在 開啟 Amazon S3 主控台https://console.aws.amazon.com/s3/。

  2. 選取您為存取日誌指定的儲存貯體名稱。

  3. 導覽到測試檔案，ELBAccessLogTestFile。位置取決於您是否使用字首。

    • 具有字首的位置：amzn-s3-demo-logging-bucket/logging-prefix/AWSLogs/123456789012/ELBAccessLogTestFile

    • 沒有字首的位置：amzn-s3-demo-logging-bucket/AWSLogs/123456789012/ELBAccessLogTestFile

故障診斷

如果您收到存取遭拒錯誤，則以下是可能的原因：

  • 儲存貯體政策不會授權 Elastic Load Balancing 將存取日誌寫入儲存貯體。確認您正在使用適合該區域的正確儲存貯體政策。驗證資源ARN是否使用您在啟用存取日誌時指定的相同儲存貯體名稱。如果您在啟用存取日誌時未指定字首，請確認資源ARN不包含字首。

  • 儲存貯體使用不支援的伺服器端加密選項。儲存貯體必須使用 Amazon S3-managed金鑰 （SSE-S3）。