本文属于机器翻译版本。若本译文内容与英语原文存在差异,则一律以英文原文为准。
为 Application Load Balancer 启用连接日志
为负载均衡器启用连接日志时,必须指定负载均衡器将存储日志的 S3 存储桶的名称。存储桶必须具有为 Elastic Load Balancing 授予写入存储桶的权限的存储桶策略。
步骤 1:创建 S3 存储桶
启用连接日志时,必须为连接日志指定 S3 存储桶。您可以使用现有的存储桶,也可以创建专门用于连接日志的存储桶。存储桶必须满足以下要求。
要求
-
存储桶必须位于与负载均衡器相同的区域中。该存储桶和负载均衡器可由不同的账户拥有。
-
唯一支持的服务器端加密选项是 Amazon S3 托管密钥 (SSE-S3) 有关更多信息,请参阅 Amazon S3 托管的加密密钥 (SSE-S3)。
使用 Amazon S3 控制台创建 S3 存储桶。
-
通过以下网址打开 Amazon S3 控制台:https://console.aws.amazon.com/s3/
。 -
选择 Create bucket (创建存储桶)。
-
在 Create a bucket (创建存储桶) 页上,执行以下操作:
-
对于存储桶名称,请输入存储桶的名称。此名称在 Amazon S3 内所有现有存储桶名称中必须唯一。在某些区域,可能对存储桶名称有其他限制。有关更多信息,请参阅 《Amazon Simple Storage Service 用户指南》中的存储桶限制。
-
对于 Amazon 区域,选择在其中创建负载均衡器的区域。
-
对于默认加密,选择 Amazon S3 托管式密钥(SSE-S3)。
-
选择创建存储桶。
-
步骤 2:将策略附加到 S3 存储桶
您的 S3 存储桶必须具有存储桶策略,该策略可授予 Elastic Load Balancing 将连接日志写入存储桶的权限。存储桶策略是 JSON 语句的集合,这些语句以访问策略语言编写,用于为存储桶定义访问权限。每个语句都包括有关单个权限的信息并包含一系列元素。
如果您使用的是已附加策略的现有存储桶,则可以将 Elastic Load Balancing 连接日志的语句添加到策略中。如果您这样做,我们建议您评估生成的权限集,以确保它们适用于需要访问存储桶以获取连接日志的用户。
可用的存储桶策略
您将使用的存储桶策略取决于区域的类型 Amazon Web Services 区域 和类型。 以下每个可扩展部分都包含存储桶策略,以及有关何时使用该策略的信息。
该策略向指定的日志传送服务授予权限。将此策略用于以下区域的可用区和本地区中的负载均衡器:
亚太地区(海得拉巴)
亚太地区(墨尔本)
欧洲(西班牙)
欧洲(苏黎世)
以色列(特拉维夫)
中东(阿联酋)
{ "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Principal": { "Service": "logdelivery.elasticloadbalancing.amazonaws.com" }, "Action": "s3:PutObject", "Resource": "arn:aws:s3:::
bucket-name
/prefix
/AWSLogs/aws-account-id
/*" } ] }
该策略向指定的 Elastic Load Balancing 账户 ID 授予权限。将此策略用于以下所列 区域的可用区或 Local Zones 中的负载均衡器。
{ "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Principal": { "AWS": "arn:aws:iam::
elb-account-id
:root" }, "Action": "s3:PutObject", "Resource": "arn:aws:s3:::bucket-name
/prefix
/AWSLogs/aws-account-id
/*" } ] }
elb-account-id
替换为您所在地区的 Elastic Load Balancing 的 ID: Amazon Web Services 账户
-
中国(北京)– 638102146993
-
中国(宁夏)– 037604701340
将 my-s3-arn
替换为连接日志所在位置的 ARN。您指定的 ARN 取决于您是否计划在步骤 3 中启用连接日志时指定前缀。
-
带有前缀的 ARN 示例
arn:aws:s3:::
bucket-name
/prefix
/AWSLogs/aws-account-id
/* -
不带前缀的 ARN 示例
arn:aws:s3:::
bucket-name
/AWSLogs/aws-account-id
/*
使用 w NotPrincipal
he Effect
n 是Deny
。
如果 Amazon S3 存储桶策略Effect
使用值Deny
并包含NotPrincipal
如下例所示,请确保logdelivery.elasticloadbalancing.amazonaws.com
将其包含在Service
列表中。
{ "Effect": "Deny", "NotPrincipal": { "Service": [ "logdelivery.elasticloadbalancing.amazonaws.com", "example.com" },
使用 Amazon S3 控制台将连接日志的存储桶策略附加到您的存储桶
打开 Amazon S3 控制台,网址为:https://console.aws.amazon.com/s3/
。 -
选择存储桶的名称以打开其详细信息页面。
-
选择 Permissions(权限),然后选择 Bucket policy(存储桶策略)、Edit(编辑)。
-
更新存储桶策略以授予所需权限。
-
选择 保存更改。
步骤 3:配置连接日志
使用以下过程配置连接日志,以捕获日志文件并将其传送到您的 S3 存储桶。
要求
存储桶必须满足第 1 步中所描述的要求,并且必须附加第 2 步中所描述的存储桶策略。如果指定前缀,则前缀不得包含字符串 “AWSLogs”。
使用控制台为负载均衡器启用连接日志
通过以下网址打开 Amazon EC2 控制台:https://console.aws.amazon.com/ec2/
。 -
在导航窗格中,选择负载均衡器。
-
选择您的负载均衡器的名称以打开其详细信息页面。
-
在属性选项卡上,选择编辑。
-
在 “监控” 中,打开 “连接日志”。
-
对于 S3 URI,输入日志文件的 S3 URI。您指定的 URI 取决于您是否使用前缀。
-
带有前缀的 URI:
s3://
bucket-name
/prefix
-
不带前缀的 URI:
s3://
bucket-name
-
-
选择 保存更改。
要启用连接日志,请使用 Amazon CLI
使用 modify-load-balancer-attributes 命令。
管理连接日志的 S3 存储桶
在删除为连接日志配置的存储桶之前,请务必禁用连接日志。否则,如果有一个新的存储桶名称和所需的存储桶策略,但是在您不拥有的存储桶中创建的 Amazon Web Services 账户 ,Elastic Load Balancing 可能会将您的负载均衡器的连接日志写入这个新存储桶。
步骤 4:确认存储桶权限
为您的负载均衡器启用连接日志后,Elastic Load Balancing 会验证 S3 存储桶并创建一个测试文件以确保存储桶策略指定了所需的权限。您可以使用 Amazon S3 控制台验证是否已创建测试文件。测试文件不是实际的连接日志文件;它不包含示例记录。
验证 Elastic Load Balancing 是否在 S3 存储桶中创建了测试文件
通过以下网址打开 Amazon S3 控制台:https://console.aws.amazon.com/s3/
。 -
选择您为连接日志指定的存储桶的名称。
-
导航到测试文件
ELBConnectionLogTestFile
。位置取决于您是否使用前缀。-
带有前缀的位置:
my-bucket
/prefix
/AWSLogs/123456789012
/ELBConnectionLogTestFile -
不带前缀的位置:
my-bucket
/AWSLogs/123456789012
/ELBConnectionLogTestFile
-
故障排除
如果您遇到访问被拒绝错误,则可能的原因如下:
-
存储桶策略不授予 Elastic Load Balancing 将连接日志写入存储桶的权限。确认您使用的是该区域正确的存储桶策略。确认资源 ARN 使用的存储桶名称与您在启用连接日志时指定的存储桶名称相同。如果您在启用连接日志时未指定前缀,请确认资源 ARN 不包含前缀。
-
存储桶使用不支持的服务器端加密选项。该存储段必须使用 Amazon S3 托管密钥(SSE-S3)。