配置标准日志记录（v2）

使用 CloudFront 控制台创建新分配或更新现有分配。

在标准日志记录部分下，对于日志传输，选择开启。

（可选）对于 Cookie 日志记录，指定日志中是否包含 Cookie。

对于交付至部分，指定用于接收日志的服务：

对于目标，选择您的服务的资源。如果您尚未创建资源，则可以选择创建或查看以下文档。

对于其他设置 – 可选，您可以指定以下选项：

1. 对于字段选择，请选择要传输到目标的日志字段名称。您可以选择访问日志字段以及实时日志字段的子集。

2. （仅限 Amazon S3）对于分区，请指定日志文件数据分区的路径。

3. （仅限 Amazon S3）对于与 Hive 兼容的文件格式，您可以选中复选框，使用与 Hive 兼容的 S3 路径。这有助于简化将新数据加载到与 Hive 兼容的工具中的过程。

4. 对于输出格式，指定您偏好的格式。

   注意

   如果您选择 Parquet，则需要将您的访问日志转换为 Apache Parquet，因而此选项会产生 CloudWatch 费用。有关更多信息，请参阅 CloudWatch 定价中的“公开日志”部分。

5. 在字段分隔符中，指定如何分隔日志字段。

完成更新或创建分配的步骤。

要添加其他目标，请选择添加另一个目标，然后重复步骤 4-7。

在日志页面中，验证分配旁边的标准日志状态是否为已启用。

有关标准日志传输和日志字段的更多信息，请参阅标准日志记录引用。

在您创建分配之后，需要获取 Amazon 资源名称（ARN）。

您可以在 CloudFront 控制台的分配页面中找到 ARN，也可以使用 GetDistribution API 操作。分配 ARN 遵循以下格式：arn:aws:cloudfront::123456789012:distribution/d111111abcdef8

接下来，使用 CloudWatch PutDeliverySource API 操作为分配创建传输源。

1. 输入传输源的名称。

2. 传递分配的 resourceArn。

3. 对于 logType，指定 ACCESS_LOGS 作为要收集的日志的类型。

4. 例 Amazon CLI put-delivery-source 命令示例

   以下示例为分配配置传输源。

   aws logs put-delivery-source --name S3-delivery --resource-arn arn:aws:cloudfront::123456789012:distribution/d111111abcdef8 --log-type ACCESS_LOGS

   输出

   {
    "deliverySource": {
    "name": "S3-delivery",
    "arn": "arn:aws:logs:us-east-1:123456789012:delivery-source:S3-delivery",
    "resourceArns": [
    "arn:aws:cloudfront::123456789012:distribution/d111111abcdef8"
    ],
    "service": "cloudfront",
    "logType": "ACCESS_LOGS"
    }
   } 

使用 PutDeliveryDestination API 操作配置日志的存储位置。

1. 对于 destinationResourceArn，指定目标的 ARN。这可以是 CloudWatch 日志组、Firehose 传输流或 Amazon S3 存储桶。

2. 对于 outputFormat，请指定日志的输出格式。

3. 例 Amazon CLI put-delivery-destination 命令示例

   以下示例将传输目标配置为 Amazon S3 存储桶。

   aws logs put-delivery-destination --name S3-destination --delivery-destination-configuration destinationResourceArn=arn:aws:s3:::amzn-s3-demo-bucket

   输出

   {
       "name": "S3-destination",
       "arn": "arn:aws:logs:us-east-1:123456789012:delivery-destination:S3-destination",
       "deliveryDestinationType": "S3",
       "deliveryDestinationConfiguration": {
           "destinationResourceArn": "arn:aws:s3:::amzn-s3-demo-bucket"
       }
   }

使用 CreateDelivery API 操作，将传输源关联到您在前面的步骤中创建的目标。此 API 操作会将传输源与最终目标关联起来。

1. 对于 deliverySourceName，指定源名称。

2. 对于 deliveryDestinationArn，指定传输目标的 ARN。

3. 对于 fieldDelimiter，指定用于分隔各日志字段的字符串。

4. 对于 recordFields，指定所需的日志字段。

5. 如果您使用 S3，请指定是否使用 enableHiveCompatiblePath 和 suffixPath。

aws logs create-delivery --delivery-source-name cf-delivery --delivery-destination-arn arn:aws:logs:us-east-1:123456789012:delivery-destination:S3-destination

{
    "id": "abcNegnBoTR123",
    "arn": "arn:aws:logs:us-east-1:123456789012:delivery:abcNegnBoTR123",
    "deliverySourceName": "cf-delivery",
    "deliveryDestinationArn": "arn:aws:logs:us-east-1:123456789012:delivery-destination:S3-destination",
    "deliveryDestinationType": "S3",
    "recordFields": [
        "date",
        "time",
        "x-edge-location",
        "sc-bytes",
        "c-ip",
        "cs-method",
        "cs(Host)",
        "cs-uri-stem",
        "sc-status",
        "cs(Referer)",
        "cs(User-Agent)",
        "cs-uri-query",
        "cs(Cookie)",
        "x-edge-result-type",
        "x-edge-request-id",
        "x-host-header",
        "cs-protocol",
        "cs-bytes",
        "time-taken",
        "x-forwarded-for",
        "ssl-protocol",
        "ssl-cipher",
        "x-edge-response-result-type",
        "cs-protocol-version",
        "fle-status",
        "fle-encrypted-fields",
        "c-port",
        "time-to-first-byte",
        "x-edge-detailed-result-type",
        "sc-content-type",
        "sc-content-len",
        "sc-range-start",
        "sc-range-end",
        "c-country",
        "cache-behavior-path-pattern"
    ],
     "fieldDelimiter": ""
}

在 CloudFront 控制台的日志页面中，验证分配旁边的标准日志状态是否为已启用。

有关标准日志传输和日志字段的更多信息，请参阅标准日志记录引用。

要创建日志传输目标，您可以输入以下 Amazon CLI 命令。此示例使用 MyLogPrefix 字符串为您的访问日志创建前缀。

aws logs put-delivery-destination --name cloudfront-delivery-destination --delivery-destination-configuration "destinationResourceArn=arn:aws:s3:::amzn-s3-demo-bucket-cloudfront-logs/MyLogPrefix"

输出

{
    "deliveryDestination": {
        "name": "cloudfront-delivery-destination",
        "arn": "arn:aws:logs:us-east-1:222222222222:delivery-destination:cloudfront-delivery-destination",
        "deliveryDestinationType": "S3",
        "deliveryDestinationConfiguration": {"destinationResourceArn": "arn:aws:s3:::amzn-s3-demo-bucket-cloudfront-logs/MyLogPrefix"}
    }
}

为日志传输目标添加资源策略，以允许源账户创建日志传输。

在以下策略中，将 111111111111 替换为源账户 ID，并指定步骤 1 输出中的传输目标 ARN。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowCreateDelivery",
            "Effect": "Allow",
            "Principal": {"AWS": "111111111111"},
            "Action": ["logs:CreateDelivery"],
            "Resource": "arn:aws:logs:us-east-1:222222222222:delivery-destination:cloudfront-delivery-destination"
        }
    ]
}

保存文件，例如 deliverypolicy.json。

要将之前的策略附加到传输目标，请输入以下 Amazon CLI 命令。

aws logs put-delivery-destination-policy --delivery-destination-name cloudfront-delivery-destination --delivery-destination-policy file://deliverypolicy.json

将以下语句添加到目标 Amazon S3 存储桶策略中，替换资源 ARN 和源账户 ID。此策略允许 delivery.logs.amazonaws.com 服务主体执行 s3:PutObject 操作。

{
    "Sid": "AWSLogsDeliveryWrite",
    "Effect": "Allow",
    "Principal": {"Service": "delivery.logs.amazonaws.com"},
    "Action": "s3:PutObject",
    "Resource": "arn:aws:s3:::amzn-s3-demo-bucket-cloudfront-logs/*",
    "Condition": {
        "StringEquals": {
            "s3:x-amz-acl": "bucket-owner-full-control",
            "aws:SourceAccount": "111111111111"
        },
        "ArnLike": {"aws:SourceArn": "arn:aws:logs:us-east-1:111111111111:delivery-source:*"}
    }
}

如果您为存储桶使用 Amazon KMS，请在 KMS 密钥策略中添加以下语句，用于向 delivery.logs.amazonaws.com 服务主体授予权限。

{
    "Sid": "Allow Logs Delivery to use the key",
    "Effect": "Allow",
    "Principal": {"Service": "delivery.logs.amazonaws.com"},
    "Action": [
        "kms:Encrypt",
        "kms:Decrypt",
        "kms:ReEncrypt*",
        "kms:GenerateDataKey*",
        "kms:DescribeKey"
    ],
    "Resource": "*",
    "Condition": {
        "StringEquals": {"aws:SourceAccount": "111111111111"},
        "ArnLike": {"aws:SourceArn": "arn:aws:logs:us-east-1:111111111111:delivery-source:*"}
    }
}

为 CloudFront 标准日志记录创建传输源，以便您可以将日志文件发送到 CloudWatch Logs。

您可以输入以下 Amazon CLI 命令，替换名称和您的分配 ARN。

aws logs put-delivery-source --name s3-cf-delivery --resource-arn arn:aws:cloudfront::111111111111:distribution/E1TR1RHV123ABC --log-type ACCESS_LOGS

输出

{
    "deliverySource": {
        "name": "s3-cf-delivery",
        "arn": "arn:aws:logs:us-east-1:111111111111:delivery-source:s3-cf-delivery",
        "resourceArns": ["arn:aws:cloudfront::111111111111:distribution/E1TR1RHV123ABC"],
        "service": "cloudfront",
        "logType": "ACCESS_LOGS"
    }
}

创建传输，将源账户的日志传输源对应到目标账户的日志传输目标。

在以下 Amazon CLI 命令中，指定步骤 1：配置目标账户的输出中的传输目标 ARN。

aws logs create-delivery --delivery-source-name s3-cf-delivery --delivery-destination-arn arn:aws:logs:us-east-1:222222222222:delivery-destination:cloudfront-delivery-destination

输出

{
    "delivery": {
        "id": "OPmOpLahVzhx1234",
        "arn": "arn:aws:logs:us-east-1:111111111111:delivery:OPmOpLahVzhx1234",
        "deliverySourceName": "s3-cf-delivery",
        "deliveryDestinationArn": "arn:aws:logs:us-east-1:222222222222:delivery-destination:cloudfront-delivery-destination",
        "deliveryDestinationType": "S3",
        "recordFields": [
            "date",
            "time",
            "x-edge-location",
            "sc-bytes",
            "c-ip",
            "cs-method",
            "cs(Host)",
            "cs-uri-stem",
            "sc-status",
            "cs(Referer)",
            "cs(User-Agent)",
            "cs-uri-query",
            "cs(Cookie)",
            "x-edge-result-type",
            "x-edge-request-id",
            "x-host-header",
            "cs-protocol",
            "cs-bytes",
            "time-taken",
            "x-forwarded-for",
            "ssl-protocol",
            "ssl-cipher",
            "x-edge-response-result-type",
            "cs-protocol-version",
            "fle-status",
            "fle-encrypted-fields",
            "c-port",
            "time-to-first-byte",
            "x-edge-detailed-result-type",
            "sc-content-type",
            "sc-content-len",
            "sc-range-start",
            "sc-range-end",
            "c-country",
            "cache-behavior-path-pattern"
        ],
        "fieldDelimiter": "\t"
    }
}

验证跨账户传输是否成功。

1. 从源账户，登录 CloudFront 控制台并选择您的分配。在日志记录选项卡的类型下，您将看到一个为 S3 跨账户日志传输创建的条目。

2. 从目标账户，登录 Amazon S3 控制台，然后选择您的 Amazon S3 存储桶。在存储桶名称以及传输到该文件夹的所有访问日志中，您会看到前缀 MyLogPrefix。

登录 CloudFront 控制台。

选择分配，然后选择您的分配 ID。

选择日志记录，然后在标准日志目标下选择目标。

选择管理，然后选择删除。

如果您有多个标准日志记录，请重复上一步操作。