使用控制台将日志数据导出到 Amazon S3

创建 Amazon S3 存储桶

1. 通过以下网址打开 Amazon S3 控制台：https://console.aws.amazon.com/s3/。

2. 如果需要，可以更改 区域。从导航栏中，选择 CloudWatch Logs 所在的区域。

3. 选择 Create Bucket（创建存储桶）。

4. 对于 Bucket Name（存储桶名称），输入存储桶的名称。

5. 对于 Region（区域），选择 CloudWatch Logs 数据所在的区域。

6. 选择 Create (创建) 。

创建必要的 IAM 用户

1. 通过以下网址打开 IAM 控制台：https://console.aws.amazon.com/iam/。

2. 依次选择 Users（用户）和 Add user（添加用户）。

3. 输入用户名，例如 CWLExportUser.

4. 同时选择 Programmatic access（以编程方式访问）和 Amazon Web Services Management Console access（控制台访问）。

5. 选择 Autogenerated password（自动生成的密码）或 Custom password（自定义密码）。

6. 选择 Next: Permissions（下一步: 权限）。

7. 选择 Attach existing policies directly（直接附加现有策略），然后将 AmazonS3FullAccess 和 CloudWatchLogsFullAccess 策略附加到用户。您可以使用搜索框来查找策略。

8. 选择 Next: Tags（下一步：标签）、Next: Review（下一步：审核），然后选择 Create user（创建用户）。

设置 Amazon S3 存储桶上的权限

1. 在 Amazon S3 控制台中，选择您在第 1 步中创建的存储桶。

2. 选择 Permissions（权限）、Bucket policy（存储桶策略）。

3. 在 Bucket Policy Editor（存储桶策略编辑器）中，添加以下策略之一。将 my-exported-logs 更改为 S3 存储桶的名称，将 random-string 更改为随机生成的字符串。请务必为 Principal（委托人）指定正确的区域端点。

   • 如果存储桶位于您的账户中，请添加以下策略。

     {
         "Version": "2012-10-17",
         "Statement": [
           {
               "Action": "s3:GetBucketAcl",
               "Effect": "Allow",
               "Resource": "arn:aws:s3:::my-exported-logs",
               "Principal": { "Service": "logs.us-west-2.amazonaws.com" }
           },
           {
               "Action": "s3:PutObject" ,
               "Effect": "Allow",
               "Resource": "arn:aws:s3:::my-exported-logs/random-string/*",
               "Condition": { "StringEquals": { "s3:x-amz-acl": "bucket-owner-full-control" } },
               "Principal": { "Service": "logs.us-west-2.amazonaws.com" }
           }
         ]
     }

   • 如果存储桶位于其他账户中，请改用以下策略。它使用您在上一步中创建的 IAM 用户来包括附加语句。

     {
         "Version": "2012-10-17",
         "Statement": [
           {
               "Action": "s3:GetBucketAcl",
               "Effect": "Allow",
               "Resource": "arn:aws:s3:::my-exported-logs",
               "Principal": { "Service": "logs.us-west-2.amazonaws.com" }
           },
           {
               "Action": "s3:PutObject" ,
               "Effect": "Allow",
               "Resource": "arn:aws:s3:::my-exported-logs/random-string/*",
               "Condition": { "StringEquals": { "s3:x-amz-acl": "bucket-owner-full-control" } },
               "Principal": { "Service": "logs.us-west-2.amazonaws.com" }
           },
           {
               "Action": "s3:PutObject" ,
               "Effect": "Allow",
               "Resource": "arn:aws:s3:::my-exported-logs/random-string/*",
               "Condition": { "StringEquals": { "s3:x-amz-acl": "bucket-owner-full-control" } },
               "Principal": { "AWS": "arn:aws:iam::SendingAccountID:user/CWLExportUser" }
           }
         ]
     }

4. 选择 Save，将您刚添加的策略设置为存储桶上的访问策略。此策略可让 CloudWatch Logs 将日志数据导出到您的 Amazon S3 存储桶中。存储桶拥有者对所有导出的对象拥有完全权限。

   警告

   如果现有存储桶已附加一个或多个策略，请将 CloudWatch Logs 访问的语句添加到这些策略。我们建议您评估生成的权限集，确保它们适合访问存储桶的用户。

使用 CloudWatch 控制台将数据导出到 Amazon S3

1. 以您在步骤 2：创建对 Amazon S3 和 CloudWatch Logs 具有完全访问权限的 IAM 用户中创建的 IAM 用户身份登录。

2. 访问 https://console.aws.amazon.com/cloudwatch/，打开 CloudWatch 控制台。

3. 在导航窗格中，选择 Log groups（日志组）。

4. 在 Log Groups（日志组）屏幕上，选择日志组的名称。

5. 选择 Actions（操作）、Export data to Amazon S3（将数据导出到 Amazon S3）。

6. 在 Export data to Amazon S3（将数据导出到 Amazon S3）屏幕的 Define data export（定义数据导出）下，使用 From（从）和 To（至）设置要导出的数据的时间范围。

7. 如果日志组有多个日志流，您可以提供一个日志流前缀，将日志组数据限定为特定流。选择 Advanced（高级），然后为 Stream prefix（流前缀)输入日志流前缀。

8. 在 Choose S3 bucket（选择 S3 存储桶）中，选择与 Amazon S3 存储桶关联的账户。

9. 对于 S3 bucket name（S3 存储桶名称），选择一个 Amazon S3 存储桶。

10. 对于 S3 Bucket prefix（S3 存储桶前缀），输入在存储桶策略中指定的随机生成的字符串。

11. 选择 Export（导出），将日志数据导出到 Amazon S3。

12. 要查看您导出到 Amazon S3 的日志数据的状态，请依次选择 Actions（操作）、View all exports to Amazon S3（查看导出到 Amazon S3 的所有内容）。