快速入门：允许运行 Windows Server 2016 的 Amazon EC2 实例使用 CloudWatch 日志代理向 CloudWatch 日志发送日志

配置设置以将日志数据发送到 CloudWatch 日志

1. 在 JSON 文件中，找到 CloudWatchLogs 部分。

   {
       "Id": "CloudWatchLogs",
       "FullName": "AWS.EC2.Windows.CloudWatch.CloudWatchLogsOutput,AWS.EC2.Windows.CloudWatch",
       "Parameters": {
           "AccessKey": "",
           "SecretKey": "",
           "Region": "us-east-1",
           "LogGroup": "Default-Log-Group",
           "LogStream": "{instance_id}"
       }
   },

2. 将 AccessKey 和 SecretKey 字段留空。您将使用 IAM 角色配置凭证。

3. 对于 Region，键入要向其中发送日志数据的区域（例如 us-east-2）。

4. 对于 LogGroup，键入您的日志组的名称。此名称显示在 控制台的日志组 CloudWatch屏幕上。

5. 对于 LogStream，键入目标日志流。此名称显示在 CloudWatch 控制台的 “日志组” > “流” 屏幕上。

   如果使用 {instance_id}，则在默认情况下，日志流名称是该实例的实例 ID。

   如果您指定的日志流名称尚不存在，Lo CloudWatch gs 会自动为您创建该名称。您可以使用文字字符串、预定义变量 {instance_id}、{hostname} 和 {ip_address} 或它们的组合定义日志流名称。

将 Windows 应用程序事件日志数据发送到 CloudWatch 日志

1. 在 JSON 文件中，找到 ApplicationEventLog 部分。

   {
       "Id": "ApplicationEventLog",
       "FullName": "AWS.EC2.Windows.CloudWatch.EventLog.EventLogInputComponent,AWS.EC2.Windows.CloudWatch",
       "Parameters": {
           "LogName": "Application",
           "Levels": "1"
       }
   },

2. 对于 Levels，指定要上传的消息类型。可以指定以下值之一：

   • 1 – 仅上传错误消息。

   • 2 – 仅上传警告消息。

   • 4 – 仅上传信息消息。

   您可以将这些值组合在一起，以包含多种类型的消息。例如，一个包含 3 个上传错误消息 (1) 和警告消息 (2) 的值。一个包含 7 个上传错误消息 (1)、警告消息 (2) 和信息消息 (4) 的值。

将安全日志数据发送到 CloudWatch 日志

1. 在 JSON 文件中，找到 SecurityEventLog 部分。

   {
       "Id": "SecurityEventLog",
       "FullName": "AWS.EC2.Windows.CloudWatch.EventLog.EventLogInputComponent,AWS.EC2.Windows.CloudWatch",
       "Parameters": {
           "LogName": "Security",
           "Levels": "7"
       }
   },

2. 对于 Levels，键入 7 以上传所有消息。

将系统事件日志数据发送到 CloudWatch 日志

1. 在 JSON 文件中，找到 SystemEventLog 部分。

   {
       "Id": "SystemEventLog",
       "FullName": "AWS.EC2.Windows.CloudWatch.EventLog.EventLogInputComponent,AWS.EC2.Windows.CloudWatch",
       "Parameters": {
           "LogName": "System",
           "Levels": "7"
       }
   },

2. 对于 Levels，指定要上传的消息类型。可以指定以下值之一：

   • 1 – 仅上传错误消息。

   • 2 – 仅上传警告消息。

   • 4 – 仅上传信息消息。

   您可以将这些值组合在一起，以包含多种类型的消息。例如，一个包含 3 个上传错误消息 (1) 和警告消息 (2) 的值。一个包含 7 个上传错误消息 (1)、警告消息 (2) 和信息消息 (4) 的值。

将其他类型的事件日志数据发送到 CloudWatch 日志

1. 在 JSON 文件中，添加新部分。每个部分必须有一个独立的 Id。

   {
       "Id": "Id-name",
       "FullName": "AWS.EC2.Windows.CloudWatch.EventLog.EventLogInputComponent,AWS.EC2.Windows.CloudWatch",
       "Parameters": {
           "LogName": "Log-name",
           "Levels": "7"
       }
   },

2. 对于 Id，键入要上传的日志的名称（例如 WindowsBackup）。

3. 对于 LogName，请键入要上传的日志的名称。您可以按如下步骤找到日志的名称。

   1. 打开事件查看器。

   2. 在导航窗格中，选择 Applications and Services Logs（应用程序和服务日志）。

   3. 导航到该日志，然后选择 Actions（操作）、Properties（属性）。

4. 对于 Levels，指定要上传的消息类型。可以指定以下值之一：

   • 1 – 仅上传错误消息。

   • 2 – 仅上传警告消息。

   • 4 – 仅上传信息消息。

   您可以将这些值组合在一起，以包含多种类型的消息。例如，一个包含 3 个上传错误消息 (1) 和警告消息 (2) 的值。一个包含 7 个上传错误消息 (1)、警告消息 (2) 和信息消息 (4) 的值。

将 Windows 的事件跟踪数据发送到 CloudWatch 日志

ETW（Windows 事件跟踪）提供高效且详细的日志记录机制，供应用程序写入日志。每个 ETW 都由可以启动和停止日志记录会话的会话管理器控制。每个会话都具有一个提供者以及一个或多个使用者。

1. 在 JSON 文件中，找到 ETW 部分。

   {
       "Id": "ETW",
       "FullName": "AWS.EC2.Windows.CloudWatch.EventLog.EventLogInputComponent,AWS.EC2.Windows.CloudWatch",
       "Parameters": {
           "LogName": "Microsoft-Windows-WinINet/Analytic",
           "Levels": "7"
       }
   },

2. 对于 LogName，请键入要上传的日志的名称。

3. 对于 Levels，指定要上传的消息类型。可以指定以下值之一：

   • 1 – 仅上传错误消息。

   • 2 – 仅上传警告消息。

   • 4 – 仅上传信息消息。

   您可以将这些值组合在一起，以包含多种类型的消息。例如，一个包含 3 个上传错误消息 (1) 和警告消息 (2) 的值。一个包含 7 个上传错误消息 (1)、警告消息 (2) 和信息消息 (4) 的值。

将自定义日志（任何基于文本的日志文件）发送到 CloudWatch Logs

1. 在 JSON 文件中，找到 CustomLogs 部分。

   {
       "Id": "CustomLogs",
       "FullName": "AWS.EC2.Windows.CloudWatch.CustomLog.CustomLogInputComponent,AWS.EC2.Windows.CloudWatch",
       "Parameters": {
           "LogDirectoryPath": "C:\\CustomLogs\\",
           "TimestampFormat": "MM/dd/yyyy HH:mm:ss",
           "Encoding": "UTF-8",
           "Filter": "",
           "CultureName": "en-US",
           "TimeZoneKind": "Local",
           "LineCount": "5"
       }
   },

2. 对于 LogDirectoryPath，键入日志在实例上的存储路径。

3. 对于 TimestampFormat，请键入要使用的时间戳格式。有关支持的值的更多信息，请参阅 MSDN 上的自定义日期和时间格式字符串主题。

   重要

   源日志文件必须在每个日志行开头具有时间戳，且时间戳后必须有一个空格。

4. 对于 Encoding，键入要使用的文件编码（例如 UTF-8）。有关支持的值的列表，请参阅 MSDN 上的 Encoding 类主题。

   注意

   使用编码名称，而不是显示名称。

5. （可选）对于 Filter，键入日志名称的前缀。将此参数保留空白以监控所有文件。有关支持的值的更多信息，请参阅 MSDN 上的FileSystemWatcherFilter 属性主题。

6. （可选）对于 CultureName，键入记录该时间戳的区域。如果 CultureName 为空，则它默认为您 Windows 实例当前所使用的相同区域位置。有关更多信息，请参阅 MSDN 上产品行为主题中表格的 Language tag 列。

   注意

   不支持值 div、div-MV、hu 和 hu-HU。

7. （可选）对于 TimeZoneKind，键入 Local 或 UTC。可以设置此参数以在日志时间戳中不包含时区信息时提供时区信息。如果此参数留空，并且您的时间戳不包含时区信息，则 “ CloudWatch 日志” 默认为本地时区。如果时间戳已包含时区信息，则忽略此参数。

8. （可选）对于 LineCount，在标头中键入行数以识别日志文件。例如，IIS 日志文件拥有几乎相同的标头。您可以输入 5，系统会读取日志文件标头的前三行以进行识别。在 IIS 日志文件中，第三行为日期和时间戳，但无法始终保证时间戳在日志文件之间是不同的。为此，建议包含至少一行实际日志数据以便对日志文件进行唯一指纹识别。

将 IIS 日志数据发送到 CloudWatch 日志

1. 在 JSON 文件中，找到 IISLog 部分。

   {
       "Id": "IISLogs",
       "FullName": "AWS.EC2.Windows.CloudWatch.CustomLog.CustomLogInputComponent,AWS.EC2.Windows.CloudWatch",
       "Parameters": {
           "LogDirectoryPath": "C:\\inetpub\\logs\\LogFiles\\W3SVC1",
           "TimestampFormat": "yyyy-MM-dd HH:mm:ss",
           "Encoding": "UTF-8",
           "Filter": "",
           "CultureName": "en-US",
           "TimeZoneKind": "UTC",
           "LineCount": "5"
       }
   },

2. 对于 LogDirectoryPath，输入为单个站点存储的 IIS 日志所在的文件夹（例如 C:\inetpub\logs\LogFiles\W3SVCn）。

   注意

   仅支持 W3C 日志格式。不支持 IIS、NCSA 和自定义格式。

3. 对于 TimestampFormat，请键入要使用的时间戳格式。有关支持的值的更多信息，请参阅 MSDN 上的自定义日期和时间格式字符串主题。

4. 对于 Encoding，键入要使用的文件编码（例如 UTF-8）。有关支持的值的更多信息，请参阅 MSDN 上的 Encoding 类主题。

   注意

   使用编码名称，而不是显示名称。

5. （可选）对于 Filter，键入日志名称的前缀。将此参数保留空白以监控所有文件。有关支持的值的更多信息，请参阅 MSDN 上的FileSystemWatcherFilter 属性主题。

6. （可选）对于 CultureName，键入记录该时间戳的区域。如果 CultureName 为空，则它默认为您 Windows 实例当前所使用的相同区域位置。有关支持的值的更多信息，请参阅 MSDN 上产品行为主题中表格的 Language tag 列。

   注意

   不支持值 div、div-MV、hu 和 hu-HU。

7. （可选）对于 TimeZoneKind，输入 Local 或 UTC。可以设置此参数以在日志时间戳中不包含时区信息时提供时区信息。如果此参数留空，并且您的时间戳不包含时区信息，则 “ CloudWatch 日志” 默认为本地时区。如果时间戳已包含时区信息，则忽略此参数。

8. （可选）对于 LineCount，在标头中键入行数以识别日志文件。例如，IIS 日志文件拥有几乎相同的标头。您可以输入 5，系统会读取日志文件标头的前五行以进行识别。在 IIS 日志文件中，第三行为日期和时间戳，但无法始终保证时间戳在日志文件之间是不同的。为此，建议包含至少一行实际日志数据以便对日志文件进行唯一指纹识别。

配置流程控制

1. 在 AWS.EC2.Windows.CloudWatch.json 文件中，找到 Flows 部分。

   "Flows": {
       "Flows": [
         "PerformanceCounter,CloudWatch",
         "(PerformanceCounter,PerformanceCounter2), CloudWatch2",
         "(CustomLogs, ETW, SystemEventLog),CloudWatchLogs",
         "CustomLogs, CloudWatchLogs2",
         "ApplicationEventLog,(CloudWatchLogs, CloudWatchLogs2)"
       ]
   }

2. 对于 Flows，添加要上传的每种数据类型（例如 ApplicationEventLog）及其目标（例如 CloudWatchLogs）。

使用 Run Command 配置与 CloudWatch 日志的集成

1. 通过以下网址打开 Amazon EC2 控制台：https://console.aws.amazon.com/ec2/。

2. 访问 https://console.aws.amazon.com/systems-manager/，打开 SSM 控制台。

3. 在导航窗格中，选择 Run Command。

4. 选择 Run a command（运行一个命令）。

5. 对于命令文档，请选择 AWS-ConfigureCloudWatch。

6. 对于目标实例，请选择要与 CloudWatch 日志集成的实例。如果您在此列表中未看到实例，则可能未针对 Run Command 配置实例。有关更多信息，请参阅适用于 Windows 实例的 Amazon EC2 用户指南的 Systems Manager 的先决条件。

7. 对于 Status（状态），选择 Enabled（已启用）。

8. 对于 Properties（属性），请复制并粘贴您在之前任务中创建的 JSON 内容。

9. 填写剩余选填字段并选择 Run（运行）。

在控制台中查看命令输出

1. 选择一个命令。

2. 选择 Output（输出）选项卡。

3. 选择 View Output（查看输出）。命令输出页面将显示命令执行的结果。