配置标准日志记录（v2）

使用 CloudFront 控制台更新现有分配。

选择 Logging（日志记录）选项卡。

选择添加，然后选择要接收日志的服务：

对于目标，选择您的服务的资源。如果您尚未创建资源，则可以选择创建或查看以下文档。

对于其他设置 – 可选，您可以指定以下选项：

1. 对于字段选择，请选择要传输到目标的日志字段名称。您可以选择访问日志字段以及实时日志字段的子集。

2. （仅限 Amazon S3）对于分区，请指定日志文件数据分区的路径。

3. （仅限 Amazon S3）对于与 Hive 兼容的文件格式，您可以选中复选框，使用与 Hive 兼容的 S3 路径。这有助于简化将新数据加载到与 Hive 兼容的工具中的过程。

4. 对于输出格式，指定您偏好的格式。

   注意

   如果您选择 Parquet，则需要将您的访问日志转换为 Apache Parquet，因而此选项会产生 CloudWatch 费用。有关更多信息，请参阅 CloudWatch 定价中的“公开日志”部分。

5. 在字段分隔符中，指定如何分隔日志字段。

完成更新或创建分配的步骤。

要添加其它目标，请重复步骤 3–6。

在日志页面中，验证分配旁边的标准日志状态是否为已启用。

（可选）要启用 Cookie 日志记录，请选择管理、设置并开启 Cookie 日志记录，然后选择保存更改。

在您创建分配之后，需要获取 Amazon 资源名称（ARN）。

您可以在 CloudFront 控制台的分配页面中找到 ARN，也可以使用 GetDistribution API 操作。分配 ARN 遵循以下格式：arn:aws:cloudfront::123456789012:distribution/d111111abcdef8

接下来，使用 CloudWatch PutDeliverySource API 操作为分配创建传输源。

1. 输入传输源的名称。

2. 传递分配的 resourceArn。

3. 对于 logType，指定 ACCESS_LOGS 作为要收集的日志的类型。

4. 例 Amazon CLI put-delivery-source 命令示例

   以下示例为分配配置传输源。

   aws logs put-delivery-source --name S3-delivery --resource-arn arn:aws:cloudfront::123456789012:distribution/d111111abcdef8 --log-type ACCESS_LOGS

   输出：

   {
    "deliverySource": {
    "name": "S3-delivery",
    "arn": "arn:aws:logs:us-east-1:123456789012:delivery-source:S3-delivery",
    "resourceArns": [
    "arn:aws:cloudfront::123456789012:distribution/d111111abcdef8"
    ],
    "service": "cloudfront",
    "logType": "ACCESS_LOGS"
    }
   } 

使用 PutDeliveryDestination API 操作配置日志的存储位置。

1. 对于 destinationResourceArn，指定目标的 ARN。这可以是 CloudWatch 日志组、Firehose 传输流或 Amazon S3 存储桶。

2. 对于 outputFormat，请指定日志的输出格式。

3. 例 Amazon CLI put-delivery-destination 命令示例

   以下示例将传输目标配置为 Amazon S3 存储桶。

   aws logs put-delivery-destination --name S3-destination --delivery-destination-configuration destinationResourceArn=arn:aws:s3:::amzn-s3-demo-bucket

   输出：

   {
       "name": "S3-destination",
       "arn": "arn:aws:logs:us-east-1:123456789012:delivery-destination:S3-destination",
       "deliveryDestinationType": "S3",
       "deliveryDestinationConfiguration": {
           "destinationResourceArn": "arn:aws:s3:::amzn-s3-demo-bucket"
       }
   }

使用 CreateDelivery API 操作，将传输源关联到您在前面的步骤中创建的目标。此 API 操作会将传输源与最终目标关联起来。

1. 对于 deliverySourceName，指定源名称。

2. 对于 deliveryDestinationArn，指定传输目标的 ARN。

3. 对于 fieldDelimiter，指定用于分隔各日志字段的字符串。

4. 对于 recordFields，指定所需的日志字段。

5. 如果您使用 S3，请指定是否使用 enableHiveCompatiblePath 和 suffixPath。

aws logs create-delivery --delivery-source-name cf-delivery --delivery-destination-arn arn:aws:logs:us-east-1:123456789012:delivery-destination:S3-destination

{
    "id": "abcNegnBoTR123",
    "arn": "arn:aws:logs:us-east-1:123456789012:delivery:abcNegnBoTR123",
    "deliverySourceName": "cf-delivery",
    "deliveryDestinationArn": "arn:aws:logs:us-east-1:123456789012:delivery-destination:S3-destination",
    "deliveryDestinationType": "S3",
    "recordFields": [
        "date",
        "time",
        "x-edge-location",
        "sc-bytes",
        "c-ip",
        "cs-method",
        "cs(Host)",
        "cs-uri-stem",
        "sc-status",
        "cs(Referer)",
        "cs(User-Agent)",
        "cs-uri-query",
        "cs(Cookie)",
        "x-edge-result-type",
        "x-edge-request-id",
        "x-host-header",
        "cs-protocol",
        "cs-bytes",
        "time-taken",
        "x-forwarded-for",
        "ssl-protocol",
        "ssl-cipher",
        "x-edge-response-result-type",
        "cs-protocol-version",
        "fle-status",
        "fle-encrypted-fields",
        "c-port",
        "time-to-first-byte",
        "x-edge-detailed-result-type",
        "sc-content-type",
        "sc-content-len",
        "sc-range-start",
        "sc-range-end",
        "c-country",
        "cache-behavior-path-pattern"
    ],
     "fieldDelimiter": ""
}

在 CloudFront 控制台的日志页面中，验证分配旁边的标准日志状态是否为已启用。

有关标准日志传输和日志字段的更多信息，请参阅标准日志记录引用。

要创建日志传输目标，您可以输入以下 Amazon CLI 命令。此示例使用 MyLogPrefix 字符串为您的访问日志创建前缀。

aws logs put-delivery-destination --name cloudfront-delivery-destination --delivery-destination-configuration "destinationResourceArn=arn:aws:s3:::amzn-s3-demo-bucket-cloudfront-logs/MyLogPrefix"

输出：

{
    "deliveryDestination": {
        "name": "cloudfront-delivery-destination",
        "arn": "arn:aws:logs:us-east-1:222222222222:delivery-destination:cloudfront-delivery-destination",
        "deliveryDestinationType": "S3",
        "deliveryDestinationConfiguration": {"destinationResourceArn": "arn:aws:s3:::amzn-s3-demo-bucket-cloudfront-logs/MyLogPrefix"}
    }
}

为日志传输目标添加资源策略，以允许源账户创建日志传输。

在以下策略中，将 111111111111 替换为源账户 ID，并指定步骤 1 输出中的传输目标 ARN。

保存文件，例如 deliverypolicy.json。

要将之前的策略附加到传输目标，请输入以下 Amazon CLI 命令。

aws logs put-delivery-destination-policy --delivery-destination-name cloudfront-delivery-destination --delivery-destination-policy file://deliverypolicy.json

将以下语句添加到目标 Amazon S3 存储桶策略中，替换资源 ARN 和源账户 ID。此策略允许 delivery.logs.amazonaws.com 服务主体执行 s3:PutObject 操作。

{
    "Sid": "AWSLogsDeliveryWrite",
    "Effect": "Allow",
    "Principal": {"Service": "delivery.logs.amazonaws.com"},
    "Action": "s3:PutObject",
    "Resource": "arn:aws:s3:::amzn-s3-demo-bucket-cloudfront-logs/*",
    "Condition": {
        "StringEquals": {
            "s3:x-amz-acl": "bucket-owner-full-control",
            "aws:SourceAccount": "111111111111"
        },
        "ArnLike": {"aws:SourceArn": "arn:aws:logs:us-east-1:111111111111:delivery-source:*"}
    }
}

如果您为存储桶使用 Amazon KMS，请在 KMS 密钥策略中添加以下语句，用于向 delivery.logs.amazonaws.com 服务主体授予权限。

{
    "Sid": "Allow Logs Delivery to use the key",
    "Effect": "Allow",
    "Principal": {"Service": "delivery.logs.amazonaws.com"},
    "Action": [
        "kms:Encrypt",
        "kms:Decrypt",
        "kms:ReEncrypt*",
        "kms:GenerateDataKey*",
        "kms:DescribeKey"
    ],
    "Resource": "*",
    "Condition": {
        "StringEquals": {"aws:SourceAccount": "111111111111"},
        "ArnLike": {"aws:SourceArn": "arn:aws:logs:us-east-1:111111111111:delivery-source:*"}
    }
}

为 CloudFront 标准日志记录创建传输源，以便您可以将日志文件发送到 CloudWatch Logs。

您可以输入以下 Amazon CLI 命令，替换名称和您的分配 ARN。

aws logs put-delivery-source --name s3-cf-delivery --resource-arn arn:aws:cloudfront::111111111111:distribution/E1TR1RHV123ABC --log-type ACCESS_LOGS

输出：

{
    "deliverySource": {
        "name": "s3-cf-delivery",
        "arn": "arn:aws:logs:us-east-1:111111111111:delivery-source:s3-cf-delivery",
        "resourceArns": ["arn:aws:cloudfront::111111111111:distribution/E1TR1RHV123ABC"],
        "service": "cloudfront",
        "logType": "ACCESS_LOGS"
    }
}

创建传输，将源账户的日志传输源对应到目标账户的日志传输目标。

在以下 Amazon CLI 命令中，指定步骤 1：配置目标账户的输出中的传输目标 ARN。

aws logs create-delivery --delivery-source-name s3-cf-delivery --delivery-destination-arn arn:aws:logs:us-east-1:222222222222:delivery-destination:cloudfront-delivery-destination

输出：

{
    "delivery": {
        "id": "OPmOpLahVzhx1234",
        "arn": "arn:aws:logs:us-east-1:111111111111:delivery:OPmOpLahVzhx1234",
        "deliverySourceName": "s3-cf-delivery",
        "deliveryDestinationArn": "arn:aws:logs:us-east-1:222222222222:delivery-destination:cloudfront-delivery-destination",
        "deliveryDestinationType": "S3",
        "recordFields": [
            "date",
            "time",
            "x-edge-location",
            "sc-bytes",
            "c-ip",
            "cs-method",
            "cs(Host)",
            "cs-uri-stem",
            "sc-status",
            "cs(Referer)",
            "cs(User-Agent)",
            "cs-uri-query",
            "cs(Cookie)",
            "x-edge-result-type",
            "x-edge-request-id",
            "x-host-header",
            "cs-protocol",
            "cs-bytes",
            "time-taken",
            "x-forwarded-for",
            "ssl-protocol",
            "ssl-cipher",
            "x-edge-response-result-type",
            "cs-protocol-version",
            "fle-status",
            "fle-encrypted-fields",
            "c-port",
            "time-to-first-byte",
            "x-edge-detailed-result-type",
            "sc-content-type",
            "sc-content-len",
            "sc-range-start",
            "sc-range-end",
            "c-country",
            "cache-behavior-path-pattern"
        ],
        "fieldDelimiter": "\t"
    }
}

验证跨账户传输是否成功。

1. 从源账户，登录 CloudFront 控制台并选择您的分配。在日志记录选项卡的类型下，您将看到一个为 S3 跨账户日志传输创建的条目。

2. 从目标账户，登录 Amazon S3 控制台，然后选择您的 Amazon S3 存储桶。在存储桶名称以及传输到该文件夹的所有访问日志中，您会看到前缀 MyLogPrefix。

登录 CloudFront 控制台。

选择分配，然后选择您的分配 ID。

选择日志记录，然后在标准日志目标下选择目标。

选择管理，然后选择删除。

如果您有多个标准日志记录，请重复上一步操作。