Wie behebe ich Fehler im Zusammenhang mit S3, wenn ich ELB-Zugriffsprotokolle einrichte?

Kurzbeschreibung

Um Zugriffsprotokolle mit dem Load Balancer zu verwenden, musst du eine Bucket-Richtlinie an den Amazon S3-Bucket anfügen. Die Bucket-Richtlinie muss ELB Berechtigungen enthalten, um in den Bucket zu schreiben. 

Hinweis: Network Load Balancer unterstützen Zugriffsprotokolle nur für Transport Layer Security (TLS)-Listener. Das Zugriffsprotokoll enthält Informationen zu TLS-Anforderungen an den Network Load Balancer. Network Load Balancer unterstützen das Transmission Control Protocol (TCP) nicht.

Lösung

Bucket-Fehler in der AWS-Region

Du erhältst die Fehlermeldung „S3Bucket: my-access-log-bucket is not located in the same region with ELB: app/my-load-balancer/50dc6c495c0c9188“.

Dieser Fehler tritt auf, wenn sich der Amazon S3-Bucket und der Load Balancer nicht in derselben AWS-Region befinden. Der Amazon S3-Bucket kann sich in einem anderen AWS-Konto befinden, muss sich jedoch in derselben Region wie der Load Balancer befinden.

Um dieses Problem zu beheben, verschiebe den S3-Bucket in dieselbe Region wie den Load Balancer.

Bucket-Berechtigungsfehler

Du erhältst die Fehlermeldung „Access Denied for bucket: my-access-log-bucket. Please check S3bucket permission“.

Dieser Fehler tritt auf, wenn der Amazon S3-Bucket nicht über eine Richtlinie verfügt, die die Berechtigung zum Schreiben der Zugriffsprotokolle gewährt.

Um dieses Problem zu beheben, füge dem S3-Bucket eine Bucket-Richtlinie hinzu, die ELB die Berechtigung erteilt, Protokolle in den Bucket zu schreiben. Vergewissere dich, dass du die richtigen Platzhalter für den Namen und das Präfix des Buckets hast. Vergewissere dich außerdem, dass du die richtige Konto-ID für ELB hast, die auf der Region für den Load Balancer basiert.

Weitere Informationen zu den erforderlichen Berechtigungen findest du in den folgenden Themen:

• Application Load Balancer: Anfügen einer Richtlinie an den S3-Bucket
• Network Load Balancer: Anforderungen an den Bucket
• Classic Load Balancer: Anfügen einer Richtlinie an den S3-Bucket

Um Zugriffsprotokolle für ELB zu verschlüsseln, kannst du die serverseitige Verschlüsselung mit von Amazon S3 verwalteten Schlüsseln (SSE-S3) verwenden. Außerdem unterstützen Network Load Balancer vom Kunden verwaltete Schlüssel des AWS Key Management Service (AWS KMS) zum Verschlüsseln von Zugriffsprotokollen. Du kannst jedoch keine von AWS KMS verwalteten Schlüssel zum Verschlüsseln von ELB-Zugriffsprotokollen verwenden.

Bucket-Namespace-Fehler

Du erhältst die Fehlermeldung „The value of 'access_logs.s3.prefix' cannot start with 'AWSLogs“.

Dieser Fehler tritt auf, wenn das S3-Bucket-Präfix des Zugriffsprotokolls AWSLogs enthält. Um dieses Problem zu beheben, entferne AWSLogs aus dem S3-Bucket-Präfix des Zugriffsprotokolls.

Zusätzliche Problembehandlung

Wenn die S3-Bucket-Richtlinie und -Konfiguration korrekt sind, du aber immer noch keine Protokolle anzeigen kannst, überprüfe, ob der Load Balancer Datenverkehr empfängt. Überprüfe die Load Balancer-Metriken ActiveConnectionCount und RequestCount.