VPC 流日志疑难解答

• Rate limited：如果应用了 CloudWatch Logs 日志限制，则当某个网络接口的流日志记录数超过了可以在特定时间范围内发布的最大记录数时，会出现此错误。如果已达到您可创建的 CloudWatch Logs 日志组数量的配额，也可能出现此错误。有关更多信息，请参阅 Amazon CloudWatch 用户指南 中的 CloudWatch Service Quotas。

• Access error：出现此错误的原因为以下之一：

  • 您的流日志的 IAM 角色没有足够的权限，无法将流日志记录发布到 CloudWatch 日志组

  • IAM 角色与流日志服务没有信任关系

  • 信任关系不指定用作委托人的流日志服务

  有关更多信息，请参阅 用于将流日志发布到 CloudWatch Logs 的 IAM 角色。

• Unknown error：流日志服务中出现内部错误。

可能的原因

• 流日志仍在创建中。在某些情况下，当您为要创建的日志组创建流日志后，有时会需要数十分钟或更长时间才会显示数据。

• 还没有为您的网络接口记录任何流量。只有在记录流量时，才会创建 CloudWatch Logs 中的日志组。

可能的原因

• 创建将数据发布到 Amazon S3 存储桶的流日志时，此错误表示找不到指定的 S3 存储桶或存储桶策略不允许将日志传送到存储桶。

• 创建将数据发布到 Amazon CloudWatch Logs 的流日志时，此错误表示 IAM 角色不允许将日志传送到日志组。

解决方案

• 发布到 Amazon S3 时，请确保您指定了现有 S3 存储桶的 ARN，并且该 ARN 的格式正确。如果您不拥有 S3 存储桶，请验证存储桶策略具有所需的权限，并在 ARN 中使用正确的账户 ID 和存储桶名称。

• 发布到 CloudWatch Logs 时，请验证 IAM 角色具有所需的权限。

解决方案

• 通过删除不再需要的流日志条目来清理存储桶策略。

• 通过使用以下内容替换各个流日志条目，为整个存储桶授予权限。

  arn:aws:s3:::bucket_name/*

  如果您授予整个存储桶的权限，则新的流日志订阅不会向存储桶策略添加新权限。