Wie aktiviere ich die Protokollierung für meine CloudFront-Verteilung?

Kurzbeschreibung

In CloudFront-Standardprotokollen oder Zugriffsprotokollen wird jede Anfrage an eine CloudFront-Verteilung detailliert beschrieben. Diese Protokolle werden in einem Amazon Simple Storage Service (Amazon S3)-Bucket bereitgestellt. CloudFront berechnet keine Gebühren für Standardprotokolle. Es können jedoch Amazon-S3-Gebühren für die Speicherung und den Zugriff auf Dateien auf Amazon S3 anfallen.

CloudFront-Echtzeitprotokolle liefern Informationen über Anfragen, die an eine Verteilung gestellt werden, sobald sie auftreten. Sie konfigurieren den Prozentsatz der Anfragen und die spezifischen Felder, die Sie in den Protokolldatensätzen erhalten möchten. Diese Protokolle werden in Amazon Kinesis Data Streams bereitgestellt. Echtzeitprotokolle werden basierend auf der Anzahl der generierten Protokollzeilen berechnet. Weitere Informationen über CloudFront-Preise finden Sie unter Preise für CloudFront. Weitere Informationen zu den Kosten von Kinesis Data Streams finden Sie unter Preise für Amazon Kinesis Data Streams.

Auflösung

Aktivieren von CloudFront-Standardprotokollen

Beachten Sie Folgendes, bevor Sie die Standard-Zugriffsprotokolle für Ihre CloudFront-Verteilung aktivieren:

• Wählen Sie keinen Amazon-S3-Bucket mit S3-Objekteigentümerschaft, der auf Bucket-Besitzer erzwungen festgelegt ist. Diese Einstellung entfernt Netzwerk-Zugriffssteuerungslisten (ACL) für den Bucket und die darin enthaltenen Objekte, was bedeutet, dass CloudFront keine Protokolldateien im Bucket bereitstellen kann.
• CloudFront stellt keine Standardprotokolle in Amazon-S3-Buckets in den folgenden AWS-Regionen bereit: Afrika (Kapstadt), Asien-Pazifik (Hongkong), Asien-Pazifik (Jakarta), Europa (Mailand) und Naher Osten (Bahrain).
• Ihr AWS-Konto muss über die s3:GetBucketACL- und s3:PutBucketACL-Berechtigungen für den Amazon-S3-Bucket verfügen, in den Sie die Protokolle bereitstellen möchten.
• Die Netzwerk-ACL für den Amazon-S3-Bucket muss Ihrem AWS-Konto FULL_CONTROL gewähren. Wenn Sie der Bucket-Besitzer sind, verfügt Ihr Konto standardmäßig über diese Berechtigung. Wenn Sie nicht der Bucket-Besitzer sind, muss der Bucket-Besitzer die ACL für den Bucket aktualisieren.
• Wenn der Amazon-S3-Bucket serverseitige Verschlüsselung mit AWS-KMS-Schlüsseln (SSE-KMS) unter Verwendung eines vom Kunden verwalteten Schlüssels verwendet, müssen Sie über die Richtlinie für erforderliche Schlüssel für SSE-KMS-Buckets verfügen.

Gehen Sie folgendermaßen vor, um die Standardprotokollierung für eine CloudFront-Verteilung zu aktivieren:

1. Greifen Sie auf die CloudFront-Konsole zu.
2. Wählen Sie die Verteilung aus, die Sie aktualisieren möchten.
3. Wählen Sie auf der Registerkarte Allgemein unter Einstellungen die Option Bearbeiten aus.
4. Wählen Sie für Standardprotokollierung die Option Ein aus.
5. Wählen Sie den S3-Bucket, in den CloudFront die Protokolldateien bereitstellen soll. Sie können ein optionales Präfix für die Dateinamen angeben.
6. (Optional) Wählen Sie für Cookie-Protokollierung Ein oder Aus aus. Wenn diese Option aktiviert ist, protokolliert CloudFront die Cookies in allen Anfragen, unabhängig davon, welche Cookies Sie an den Ursprung weiterleiten möchten.
7. Wählen Sie Änderungen speichern.

Aktivieren von CloudFront-Echtzeitprotokollen

1. Greifen Sie auf die CloudFront-Konsole zu.
2. Wählen Sie im linken Navigationsbereich die Option Protokolle aus.
3. Wählen Sie die Registerkarte Echtzeit-Konfigurationen aus.
4. Wählen Sie Konfiguration erstellen aus.
5. Geben Sie unter Abtastrate den Prozentsatz der Anfragen ein, für die Sie Protokolldateien in Echtzeit erhalten möchten.
6. Wählen Sie unter Felder die spezifischen Felder aus, die Sie in den Protokolldatensätzen erhalten möchten. Wählen Sie in der Dropdown-Liste Optionen auswählen alle Felder aus, die Sie in die Konfiguration aufnehmen möchten.
7. Wählen Sie einen oder mehrere Kinesis-Datenströme aus, um Echtzeitprotokolle zu erhalten.
   Hinweis: CloudFront-Echtzeitprotokolle werden im Datenstrom Ihrer Wahl in Amazon Kinesis Data Streams bereitgestellt. Um Ihre Echtzeitprotokolle zu lesen und zu analysieren, können Sie Ihren eigenen Kinesis-Data-Stream-Verbraucher erstellen. Oder verwenden Sie Amazon Kinesis Data Firehose, um die Protokolldaten an Amazon S3, Amazon Redshift, Amazon OpenSearch Service oder den Protokollverarbeitungsservice eines Drittanbieters zu senden.
8. Wählen Sie für IAM-Rolle, Eine neue Servicerolle erstellen für die Konsole aus, um eine IAM-Rolle für Sie zu erstellen. Um diese Option verwenden zu können, müssen Sie über die Berechtigung zum Erstellen von IAM-Rollen verfügen.
   – oder –
   Verwenden Sie eine vorhandene IAM-Rolle.
9. (Optional) Wählen Sie im Abschnitt Verteilung eine CloudFront-Verteilung und ein Cache-Verhalten aus, das an die Echtzeit-Protokollkonfiguration angehängt werden soll.
10. Wählen Sie Konfiguration erstellen aus.