步驟 1：建立 S3 儲存貯體步驟 2：連接政策到您的 S3 儲存貯體步驟 3：設定連線記錄步驟 4：確認儲存貯體許可故障診斷

啟用應用 Application Load Balancer 的連線記錄

啟用負載平衡器的連線日誌時，您必須指定負載平衡器將在其中存放日誌的 S3 儲存貯體的名稱。儲存貯體必須具有儲存貯體政策，能授予 Elastic Load Balancing 寫入儲存貯體的許可。

任務

步驟 1：建立 S3 儲存貯體
步驟 2：連接政策到您的 S3 儲存貯體
步驟 3：設定連線記錄
步驟 4：確認儲存貯體許可
故障診斷

步驟 1：建立 S3 儲存貯體

啟用連線記錄時，您必須為連線記錄指定 S3 儲存貯體。您可以使用現有值區，也可以針對連線記錄建立儲存貯體。儲存貯體必須符合下列需求。

要求

儲存貯體與負載平衡器必須位於相同的 Region (區域)。儲存貯體和負載平衡器可以由不同的帳戶擁有。
Amazon S3 受管金鑰 (SSE-S3) 是唯一支援的伺服器端加密選項。如需詳細資訊，請參閱 Amazon S3 受管加密金鑰 (SSE-S3)。

使用 Amazon S3 主控台建立 S3 儲存貯體

前往 https://console.aws.amazon.com/s3/ 開啟 Amazon S3 主控台。
選擇建立儲存貯體。
在 Create bucket (建立儲存貯體) 頁面上，執行下列操作：
1. 針對 Bucket name (儲存貯體名稱)，輸入儲存貯體的名稱。該名稱在 Amazon S3 中所有現有的儲存貯體名稱之間，不得重複。在某些區域，可能會對儲存貯體的名稱進行其他限制。如需詳細資訊，請參閱 Amazon Simple Storage Service 使用者指南中的儲存貯體限制與局限。
2. 針對 AWS 區域，選取您建立負載平衡器時所在的區域。
3. 對於預設加密，選擇 Amazon S3 受管金鑰 (SSE-S3)。
4. 選擇建立儲存貯體。

步驟 2：連接政策到您的 S3 儲存貯體

您的 S3 儲存貯體必須具有授與 Elastic Load Balancing 權限的儲存貯體政策，才能將連線日誌寫入儲存貯體。儲存貯體政策是以存取政策語言所編寫的 JSON 陳述式集合，可定義儲存貯體的存取許可。每個陳述式包含單一許可的相關資訊，且包含一系列的元素。

如果您使用的是已附加政策的現有值區，則可以將 Elastic Load Balancing 連線記錄的陳述式新增至原則。如果您這麼做，我們建議您評估產生的一組權限，以確保它們適合需要存取值區以存取連線記錄的使用者。

可用的儲存貯體政策

您將使用的值區政策取決於區域 AWS 區域和類型。以下每個可展開的區段都包含儲存貯體政策以及在何時使用該政策的資訊。

此政策會將許可授予指定的日誌交付服務。針對下列「區域」內的「可用區域」和「本地區域」中的負載平衡器使用此政策：

亞太區域 (海德拉巴)
亞太區域 (墨爾本)
歐洲 (西班牙)
歐洲 (蘇黎世)
以色列 (特拉維夫)
中東 (阿拉伯聯合大公國)


{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "logdelivery.elasticloadbalancing.amazonaws.com"
      },
      "Action": "s3:PutObject",
      "Resource": "arn:aws:s3:::bucket-name/prefix/AWSLogs/aws-account-id/*"
    }
  ]
}

此政策會將許可授予指定的 Elastic Load Balancing 帳戶 ID。針對下列清單中「區域」內的「可用區域」或「本地區域」中的負載平衡器使用此政策。


{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::elb-account-id:root"
      },
      "Action": "s3:PutObject",
       "Resource": "arn:aws:s3:::bucket-name/prefix/AWSLogs/aws-account-id/*"
    }
  ]
}

將 elb-Account id 替換 AWS 帳戶為您所在地區的 Elastic Load Balancing 的 ID：

美國東部 (維吉尼亞北部) – 127311923021
美國東部 (俄亥俄) – 033677994240
美國西部 (加利佛尼亞北部) – 027434742980
美國西部 (奧勒岡) – 797873946194
非洲 (開普敦) – 098369216593
亞太區域 (香港) – 754344448648
亞太區域 (雅加達) – 589379963580
亞太區域 (孟買) – 718504428378
亞太區域 (大阪) – 383597477331
亞太區域 (首爾) – 600734575887
亞太區域 (新加坡) – 114774131450
亞太區域 (雪梨) – 783225319266
亞太區域 (東京) – 582318560864
加拿大 (中部) – 985666609251
歐洲 (法蘭克福) – 054676820928
歐洲 (愛爾蘭) – 156460612806
歐洲 (倫敦) – 652711504416
歐洲 (米蘭) – 635631232127
歐洲 (巴黎) – 009996457667
歐洲 (斯德哥爾摩) – 897822967062
中東 (巴林) – 076674570225
南美洲 (聖保羅) – 507241528517
AWS GovCloud (美國西部)
AWS GovCloud (美國東部) — 一九五六九 1635

將 my-s3-arn 替換為連接日誌的位置的 ARN。您指定的 ARN 取決於您是否打算在步驟 3 中啟用連線記錄時指定前置詞。

帶有字首的 ARN 範例


arn:aws:s3:::bucket-name/prefix/AWSLogs/aws-account-id/*

不帶字首的 ARN 範例


arn:aws:s3:::bucket-name/AWSLogs/aws-account-id/*

`NotPrincipal`何時使`Effect`用`Deny`。

如果 Amazon S3 儲存貯體政策Effect與值搭配使用，Deny並且包含NotPrincipal如以下範例所示，請確保logdelivery.elasticloadbalancing.amazonaws.com該值包含在Service清單中。


{
"Effect": "Deny",
"NotPrincipal": {
    "Service": [
       "logdelivery.elasticloadbalancing.amazonaws.com",
       "example.com"
},

使用 Amazon S3 主控台將連線日誌的儲存貯體政策附加到儲存貯體

前往 https://console.aws.amazon.com/s3/ 開啟的 Amazon Simple Storage Service (Amazon S3) 主控台。
選取儲存貯體的名稱，開啟其詳細資訊頁面。
選擇 Permissions (許可)，然後選擇 Bucket policy (儲存貯體政策)、Edit (編輯)。
更新儲存貯體政策，授予所需許可。
選擇儲存變更。

步驟 3：設定連線記錄

使用下列程序設定連線日誌，以擷取日誌檔並將其傳遞到 S3 儲存貯體。

要求

儲存貯體必須符合步驟 1 中所述的要求，且您必須按照步驟 2 所述連接儲存貯體政策。如果您指定首碼，它不得包含字串 "AWSLogs"。

使用主控台為負載平衡器啟用連線記錄

前往 https://console.aws.amazon.com/ec2/ 開啟 Amazon EC2 主控台。
在導覽窗格中，選擇 Load Balancers (負載平衡器)。
選取您負載平衡器的名稱來開啟其詳細資訊頁面。
在屬性索引標籤中，選擇編輯。
對於監控，請開啟連線記錄。
針對 S3 URI，請輸入日誌檔案的 S3 URI。指定的 URI 取決於您是否使用字首。
- 帶有字首的 URI：s3://bucket-name/prefix
- 不帶字首的 URI：s3://bucket-name
選擇儲存變更。

若要啟用連線記錄 AWS CLI

使用 modify-load-balancer-attributes 命令。

管理連線日誌的 S3 儲存貯體

在刪除您為連線記錄設定的值區之前，請務必停用連線記錄。否則，如果存在具有相同名稱和所需值區策略的新值區，但在您不擁有 AWS 帳戶的值區中建立，則 Elastic Load Balancing 可能會將負載平衡器的連線記錄寫入此新值區。

步驟 4：確認儲存貯體許可

為負載平衡器啟用連線日誌後，Elastic Load Balancing 會驗證 S3 儲存貯體並建立測試檔案，以確保儲存貯體政策指定了必要的許可。您可以使用 Amazon S3 主控台來確認是否已建立測試檔案。測試檔案不是實際的連線記錄檔；它不包含範例記錄。

驗證 Elastic Load Balancing 已在 S3 儲存貯體中建立測試檔案

前往 https://console.aws.amazon.com/s3/ 開啟的 Amazon Simple Storage Service (Amazon S3) 主控台。
選取您為連線記錄指定的值區名稱。
導覽到測試檔案，ELBConnectionLogTestFile。位置取決於您是否使用字首。
- 帶字首的位置：my-bucket/prefix/AWSLogs/123456789012/ELBConnectionLogTestFile
- 不帶字首的位置：my-bucket/AWSLogs/123456789012/ELBConnectionLogTestFile

故障診斷

如果您收到存取遭拒錯誤，則以下是可能的原因：

值區政策未授與 Elastic Load Balancing 寫入值區的連線記錄的權限。確認您正在使用適合該區域的正確儲存貯體政策。確認資源 ARN 使用您啟用連線記錄時指定的相同值區名稱。如果啟用連線記錄時未指定前置詞，請確認資源 ARN 不包含前置詞。
儲存貯體使用不支援的伺服器端加密選項。儲存貯體必須使用 Amazon S3 受管金鑰 (SSE-S3)。

您的瀏覽器已停用或無法使用 Javascript。

您必須啟用 Javascript，才能使用 AWS 文件。請參閱您的瀏覽器說明頁以取得說明。

文件慣用形式

連線日誌

停用連線記錄