Por que meus registros do CloudWatch não estão sendo exportados para buckets do S3?

Resolução

Para solucionar problemas de tarefas que falharam durante a criação, verifique as seguintes configurações:

• Região – Confirme se seus fluxos de log e buckets do S3 do CloudWatch Logs estão na mesma região.
• Políticas de bucket do S3 – Por padrão, todos os buckets e objetos do S3 são privados. Somente o proprietário do recurso (a conta da AWS que criou o bucket) pode acessar o bucket e quaisquer objetos que ele contenha. Use políticas de bucket para definir permissões de acesso nos buckets do S3 para o CloudWatch Logs.

Observação: ao definir as permissões de exportação em seu bucket do S3, você deve especificar os IDs de conta das contas que podem exportar registros para o seu bucket. Relacione essas contas sob a chave aws:SourceAccount. No entanto, aws:SourceAccount não pode ser adicionado na ação s3:GetBucketAcl.

• Prefixos do bucket do S3 – Quando você define a política de bucket do S3, é uma prática recomendada incluir uma string gerada aleatoriamente como prefixo do bucket. Se você usar um prefixo, deverá especificar a string gerada aleatoriamente nas configurações de prefixo do bucket do S3 ao criar a tarefa de exportação. Caso contrário, a criação da tarefa de exportação falhará.
• Políticas de gerenciamento de identidade e acesso (IAM) da AWS – Confirme se o usuário do IAM (função do IAM) que criou a tarefa de exportação tem acesso total ao Amazon S3 e ao CloudWatch Logs.
• Cotas de recursos – A cota do serviço CloudWatch Logs permite somente uma tarefa de exportação em execução ou pendente por conta por região. Essa cota não pode ser alterada. Certifique-se de que você está operando dentro da cota permitida.
• Tipo de criptografia do lado do servidor – Verifique se você está usando um tipo compatível de criptografia do lado do servidor. Você pode exportar para buckets do S3 que são criptografados com AES-256 e SSE-KMS.

Para solucionar problemas de tarefas que falharam após a criação, verifique a configuração do intervalo de tempo. Se você exportar fluxos de log com grandes quantidades de dados e especificar um longo intervalo de tempo, a tarefa de exportação poderá falhar. Nesse caso, especifique um intervalo de tempo menor.

Observação: pode levar até 12 horas para que os registros estejam disponíveis para exportação. A tarefa de exportação em si pode levar algum tempo. Para processamento em tempo real ou arquivamento contínuo de novos dados no S3, use filtros de assinatura. Você pode transmitir para o Amazon Kinesis Data Firehose e definir o Amazon S3 como alvo. Para arquivar dados históricos no S3, exporte seus dados para o Amazon S3.

Informações relacionadas

Eu configurei o Amazon CloudWatch para exportar dados de log para o Amazon S3, mas os dados de log estão ausentes ou não são válidos. Como faço para resolver isso?

Como posso recuperar dados de log do Amazon CloudWatch Logs?

Exportação de dados de log para o Amazon S3

Usando filtros de assinatura do CloudWatch Logs