Application Load Balancer 的访问日志

准备 Amazon S3 存储桶以进行访问日志记录

1. 通过以下网址打开 Amazon S3 控制台：https://console.aws.amazon.com/s3/。

2. [跳过使用现有存储桶] 选择创建存储桶。

3. [跳过使用现有存储桶] 在创建存储桶页面上，执行以下操作：

   1. 对于存储桶名称，请输入存储桶的名称。此名称在 Amazon S3 内所有现有存储桶名称中必须唯一。在某些区域，可能对存储桶名称有其他限制。有关更多信息，请参阅 《Amazon Simple Storage Service 用户指南》中的存储桶限制。

   2. 对于区域，选择在其中创建负载均衡器的区域。

   3. 选择创建。

4. 选择存储桶。选择 Permissions，然后再选择 Bucket Policy。

5. 如果要创建新的存储桶策略，请将整个策略文档复制到策略编辑器，然后用相应的信息替换占位符。如果您正在编辑现有存储桶策略，请仅复制策略文档中的新语句（Statement 元素的 [ 和 ] 之间的文本）。

   [可用区和本地区域] 使用以下策略。更新存储桶名称和前缀的占位符、Elastic Load Balancing 的 Amazon 账户 ID（基于负载均衡器的区域）以及您的 Amazon 账户的 ID。

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Principal": {
           "AWS": "arn:aws:iam::elb-account-id:root"
         },
         "Action": "s3:PutObject",
         "Resource": "arn:aws:s3:::bucket-name/prefix/AWSLogs/your-aws-account-id/*"
       },
       {
         "Effect": "Allow",
         "Principal": {
           "Service": "logdelivery.elb.amazonaws.com"
         },
         "Action": "s3:GetBucketAcl",
         "Resource": "arn:aws:s3:::bucket-name"
       }
     ]
   }

   下表中包含用于替代存储桶策略中的 elb-account-id 的账户 ID。

   区域	区域名称	Elastic Load Balancing 账户 ID
   us-east-1	美国东部 (弗吉尼亚北部)	127311923021
   us-east-2	美国东部 (俄亥俄)	033677994240
   us-west-1	美国西部 (加利福尼亚北部)	027434742980
   us-west-2	美国西部 (俄勒冈)	797873946194
   af-south-1	非洲（开普敦）	098369216593
   ca-central-1	加拿大 (中部)	985666609251
   eu-central-1	欧洲（法兰克福）	054676820928
   eu-west-1	欧洲（爱尔兰）	156460612806
   eu-west-2	欧洲（伦敦）	652711504416
   eu-south-1	欧洲（米兰）	635631232127
   eu-west-3	欧洲（巴黎）	009996457667
   eu-north-1	欧洲（斯德哥尔摩）	897822967062
   ap-east-1	亚太地区（香港）	754344448648
   ap-northeast-1	亚太地区 (东京)	582318560864
   ap-northeast-2	亚太地区 (首尔)	600734575887
   ap-northeast-3	亚太地区（大阪）	383597477331
   ap-southeast-1	亚太地区 (新加坡)	114774131450
   ap-southeast-2	亚太地区 (悉尼)	783225319266
   ap-southeast-3	亚太地区（雅加达）	589379963580
   ap-south-1	亚太地区 (孟买)	718504428378
   me-south-1	中东（巴林）	076674570225
   sa-east-1	南美洲（圣保罗）	507241528517
   us-gov-west-1*	Amazon GovCloud (US-West)	048591011584
   us-gov-east-1*	Amazon GovCloud (US-East)	190560391635
   cn-north-1*	中国（北京）	638102146993
   cn-northwest-1*	中国 (宁夏)	037604701340

   * 这些区域需要单独的账户。有关更多信息，请参阅 Amazon GovCloud (US-West) 和中国（北京）。

   [Outpost] 使用以下策略。更新存储桶的名称和前缀的占位符以及您的 Amazon 账户的 ID。

   {
       "Effect": "Allow",
       "Principal": {
           "Service": "logdelivery.elb.amazonaws.com"
       },
       "Action": "s3:PutObject",
       "Resource": "arn:aws:s3:::bucket-name/prefix/AWSLogs/your-aws-account-id/*",
       "Condition": {
           "StringEquals": {
               "s3:x-amz-acl": "bucket-owner-full-control"
           }
       }
   }

6. 选择保存。

使用控制台启用访问日志记录

1. 通过以下网址打开 Amazon EC2 控制台：https://console.aws.amazon.com/ec2/。

2. 在导航窗格中，选择 Load Balancers (负载均衡器)。

3. 选择您的负载均衡器。

4. 在 Description (说明) 选项卡上，选择 Edit attributes (编辑属性)。

5. 在 Edit load balancer attributes 页面上，执行以下操作：

   1. 对于访问日志，请选择启用。

   2. 对于 S3 位置，输入 S3 存储桶的名称，包括任何前缀（例如，my-loadbalancer-logs/my-app）。您可以指定现有存储桶的名称或新存储桶名称。如果您指定现有存储桶，请确保您拥有此存储桶，且配置了必要的存储桶策略。

   3. (可选) 如果存储桶不存在，请选择 Create this location for me (为我创建此位置)。您必须指定在 Amazon S3 中的所有现有存储桶名称中唯一的名称，并遵循 DNS 命名约定。有关更多信息，请参阅 Amazon Simple Storage Service 用户指南中的存储桶命名规则。

   4. 选择保存。

验证 Elastic Load Balancing 是否在 S3 存储桶中创建了测试文件

在为负载均衡器启用访问日志记录后，Elastic Load Balancing 将验证 S3 存储桶，并创建测试文件以确保存储桶策略指定所需权限。您可以使用 Amazon S3 控制台验证是否已创建测试文件。测试文件不是实际的访问日志文件；它不包含示例记录。

1. 通过以下网址打开 Amazon S3 控制台：https://console.aws.amazon.com/s3/。

2. 对于 All Buckets，选择您的 S3 存储桶。

3. 导航到您指定用于访问日志记录的存储桶，然后查找 ELBAccessLogTestFile。例如，如果使用控制台创建存储桶和存储桶策略，则路径如下：

   my-bucket/prefix/AWSLogs/123456789012/ELBAccessLogTestFile

使用控制台禁用访问日志记录

1. 通过以下网址打开 Amazon EC2 控制台：https://console.aws.amazon.com/ec2/。

2. 在导航窗格中，选择 Load Balancers (负载均衡器)。

3. 选择您的负载均衡器。

4. 在 Description (说明) 选项卡上，选择 Edit attributes (编辑属性)。

5. 对于 Access logs (访问日志)，清除 Enable (启用)。

6. 选择保存。