将 Lambda 函数日志发送到 Amazon S3

将 CloudWatch Logs 与 Lambda 结合使用所需的 IAM 权限。

设置 CloudWatch Logs 订阅筛选条件以将 Lambda 函数日志发送到 Amazon S3。此筛选条件定义将哪些日志事件传送到 Amazon S3 存储桶。

创建 Amazon Simple Storage Service (Amazon S3) 存储桶 我们建议您使用专为 CloudWatch Logs 创建的存储桶。但是，如果要使用现有存储桶，请跳至第 2 步。

运行以下命令，将占位符区域替换为您想使用的区域：

aws s3api create-bucket --bucket amzn-s3-demo-bucket2 --create-bucket-configuration LocationConstraint=region

下面是示例输出：

{
    "Location": "/amzn-s3-demo-bucket2"
}

创建 IAM 角色，该角色将授予 CloudWatch Logs 将数据放入 Amazon S3 存储桶的权限。此策略包括 aws:SourceArn 全局条件上下文密钥，有助于避免出现混淆代理安全问题。有关更多信息，请参阅 Confused deputy prevention。

创建权限策略以定义可对您的账户执行的 CloudWatch Logs 操作。首先，使用文本编辑器在文件 ~/PermissionsForCWL.json 中创建权限策略：

{
  "Statement": [
    {
      "Effect": "Allow",
      "Action": ["s3:PutObject"],
      "Resource": ["arn:aws:s3:::amzn-s3-demo-bucket2/*"]
    }
  ]
}

使用以下 put-role-policy 命令，将权限策略与角色关联：

aws iam put-role-policy --role-name CWLtoS3Role --policy-name Permissions-Policy-For-S3 --policy-document file://~/PermissionsForCWL.json

创建 Delivery 日志组或使用现有的 Delivery 日志组。

aws logs create-log-group --log-group-name my-logs --log-group-class DELIVERY --region REGION_NAME

PutSubscriptionFilter 用于设置目标

aws logs put-subscription-filter
--log-group-name my-logs
--filter-name my-lambda-delivery
--filter-pattern ""
--destination-arn arn:aws:s3:::amzn-s3-demo-bucket2
--role-arn arn:aws:iam::123456789012:role/CWLtoS3Role
--region REGION_NAME

登录 Amazon 管理控制台，然后打开 Lambda 控制台。

选择您的函数名称。

选择配置选项卡。

选择监控和操作工具选项卡。

在“日志记录配置”部分中，选择编辑。

在“日志内容”部分，选择一种日志格式。

在“日志目标”部分中，完成以下步骤：

选择保存。