Wie erstelle ich Transit-Gateway-Flow-Protokolle, um meinen Netzwerkdatenverkehr zu überwachen?

Lösung

Anforderung: Du musst Zugriff auf das AWS-Konto haben, dem das Transit-Gateway gehört. Wenn du keinen Zugriff hast, bitte den Kontoinhaber, dir Berechtigungen über eine AWS Identity and Access Management (IAM)-Rolle zu erteilen.

Eine IAM-Richtlinie und -Rolle für Transit-Gateway-Flow-Protokolle erstellen

1. Öffne die IAM-Konsole.

2. Wähle im Navigationsbereich Richtlinien und dann Richtlinie erstellen aus.

3. Gib die folgende IAM-Richtlinie ein, damit Flow-Protokolle in der Amazon-CloudWatch-Protokollgruppe Protokolle veröffentlichen können:

   {
     "Version":"2012-10-17",                   
     "Statement": [
       {
         "Effect": "Allow",
         "Action": [
           "logs:CreateLogGroup",
           "logs:CreateLogStream",
           "logs:PutLogEvents",
           "logs:DescribeLogGroups",
           "logs:DescribeLogStreams"
         ],
         "Resource": "*"
       }
     ]
   }   

4. Gib einen Namen und eine Beschreibung für die Richtlinie ein.

5. Wähle Richtlinie erstellen aus.

6. Wähle im Navigationsbereich Rollen aus, um die IAM-Rolle zu erstellen.

7. Wähle Rolle erstellen aus.

8. Wähle für Benutzerdefinierte Vertrauensrichtlinie die Option Typ vertrauenswürdiger Entitäten.

9. Füge die folgende Vertrauensrichtlinie hinzu:

   {
     "Version":"2012-10-17",                   
     "Statement": [
       {
         "Effect": "Allow",
         "Principal": {
           "Service": "vpc-flow-logs.amazonaws.com"
         },
         "Action": "sts:AssumeRole"
       }
     ]
   }

10. Wähle Weiter aus.

11. Suche nach der neu erstellten IAM-Richtlinie und füge sie dann der IAM-Rolle hinzu.

12. Wähle Weiter aus.

13. Gib einen Namen und eine Beschreibung für die Richtlinie ein.

14. Wähle Rolle erstellen aus.

Ein Transit-Gateway-Flow-Protokoll erstellen

Hinweis: Nachdem du ein Transit-Gateway-Flow-Protokoll erstellt hast, dauert es mehrere Minuten, Daten zu sammeln und am ausgewählten Ziel zu veröffentlichen. Wenn du Transit-Gateway-Flow-Protokolle veröffentlichst, fallen Gebühren für die Datenerfassung und -speicherung für Vended-Protokolle an. Preisdetails für Vended-Protokolle findest du unter Amazon-CloudWatch-Preise. Wähle dann unter Paid tier (Kostenpflichtiges Kontingent) die Option Protokolle aus und suche nach Vended-Protokollen.

Gehe wie folgt vor:

1. Öffne die Amazon Virtual Private Cloud (Amazon VPC)-Konsole.
2. Wähle im Navigationsbereich Transit-Gateways aus.
3. Wähle dein Transit-Gateway aus.
4. Wähle Aktionen und dann Flow-Protokoll erstellen aus.
5. Gib folgende Informationen ein:
   Wähle als Bestimmungsort die Option An CloudWatch Logs senden aus.
   Wähle für Ziel-Protokollgruppe einen vorhandenen Protokollgruppennamen aus.
   Hinweis: Gib eine vorhandene CloudWatch-Protokollgruppe an, bevor du Flow-Protokolle erstellst. Erstelle eine Protokollgruppe, bevor du fortfährst, falls keine Protokollgruppe vorhanden ist.
   Wähle für die IAM-Rolle die neu erstellte IAM-Rolle aus.
   Wähle für Protokolldatensatzformat entweder AWS-Standardformat oder Benutzerdefiniertes Format. Wenn du Benutzerdefiniertes Format wählst, gib die Flow-Protokoll-Datensatzfelder an, die du einbeziehen möchtest.
6. (Optional) Wähle Neues Tag hinzufügen, um Tags auf das Flow-Protokoll anzuwenden.
7. Wähle Flow-Protokoll erstellen.