Come posso risolvere gli errori relativi a S3 quando configuro i log di accesso ELB?

Breve descrizione

Per utilizzare i log di accesso con il bilanciatore del carico, devi collegare una policy del bucket al bucket Amazon S3. La policy del bucket deve includere le autorizzazioni affinché ELB possa scrivere nel bucket.

Nota: i Network Load Balancer supportano i log di accesso solo per i listener Transport Layer Security (TLS). Il log di accesso contiene informazioni sulle richieste TLS al Network Load Balancer. I Network Load Balancer non supportano il Transmission Control Protocol (TCP).

Risoluzione

Errore di Regione AWS del bucket

Viene visualizzato il messaggio di errore "S3Bucket: my-access-log-bucket is not located in the same region with ELB: app/my-load-balancer/50dc6c495c0c9188".

Questo errore si verifica quando il bucket Amazon S3 e il bilanciatore del carico non si trovano nella stessa Regione AWS. Il bucket Amazon S3 può trovarsi in un account diverso, ma deve trovarsi nella stessa Regione del bilanciatore del carico.

Per risolvere il problema, sposta il bucket S3 nella stessa Regione del bilanciatore del carico.

Errore di autorizzazione del bucket

Viene visualizzato il messaggio di errore "Access Denied for bucket: my-access-log-bucket. Please check S3bucket permission".

Questo errore si verifica quando il bucket Amazon S3 non dispone di una policy che conceda l'autorizzazione a scrivere i log di accesso.

Per risolvere il problema, collega una policy del bucket al bucket S3 che conceda a ELB l'autorizzazione a scrivere i log nel bucket. Verifica di avere i segnaposto corretti per il nome e il prefisso del bucket. Inoltre, verifica di avere l'ID corretto dell'account per ELB in base alla Regione del bilanciatore del carico.

Per ulteriori informazioni sulle autorizzazioni richieste, consulta i seguenti argomenti:

• Application Load Balancer: Collegamento di una policy al bucket S3
• Network Load Balancer: Requisiti del bucket
• Classic Load Balancer: Collegamento di una policy al bucket S3

Per crittografare i log di accesso per ELB, puoi utilizzare la crittografia lato server con chiavi gestite Amazon S3 (SSE-S3). Inoltre, i Network Load Balancer supportano le chiavi gestite dai clienti del Servizio AWS di gestione delle chiavi (AWS KMS) per crittografare i log di accesso. Tuttavia, non puoi utilizzare le chiavi gestite di AWS KMS per crittografare i log di accesso ELB.

Errore di namespace del bucket

Viene visualizzato il messaggio di errore "The value of 'access_logs.s3.prefix' cannot start with 'AWSLogs'".

Questo errore si verifica quando il prefisso del bucket S3 del log di accesso include AWSLogs. Per risolvere il problema, rimuovi AWSLogs dal prefisso del bucket S3 del log di accesso.

Altre indicazioni sulla risoluzione dei problemi

Se la policy e la configurazione del bucket S3 sono corrette, ma non riesci ancora a visualizzare i log, verifica che il bilanciatore del carico riceva traffico. Controlla le metriche ActiveConnectionCount e RequestCount del bilanciatore del carico.