Como faço para solucionar erros relacionados ao S3 quando configuro os registros em logs de acesso ao ELB?

Breve descrição

Para usar logs de acesso com o balanceador de carga, é necessário anexar uma política de bucket ao bucket do Amazon S3. A política do bucket deve incluir permissões para que o ELB grave no bucket.

Observação: os balanceadores de carga de rede suportam logs de acesso somente para receptores Transport Layer Security (TLS). O log de acesso contém informações sobre as solicitações de TLS para o Network Load Balancer. Os Network Load Balancer não oferecem suporte ao Protocolo de Controle de Transmissão (TCP).

Resolução

Erro no bucket da região da AWS

Você recebe a mensagem de erro, “S3Bucket: my-access-log-bucket is not located in the same region with ELB: app/my-load-balancer/50dc6c495c0c9188”.

Esse erro ocorre quando o bucket do Amazon S3 e o balanceador de carga não estão localizados na mesma região da AWS. O bucket do Amazon S3 pode estar em uma conta da AWS diferente, mas deve estar na mesma região que o balanceador de carga.

Para resolver esse problema, mova o bucket do S3 para a mesma região do balanceador de carga.

Erro de permissão do bucket

Você recebe a mensagem de erro “Access Denied for bucket: my-access-log-bucket. Please check S3bucket permission”.

Esse erro ocorre quando o bucket do Amazon S3 não tem uma política que conceda permissão para gravar os logs de acesso.

Para resolver esse problema, anexe uma política de bucket ao bucket do S3 que conceda ao ELB permissão para gravar logs no seu bucket. Confirme se você tem os marcadores de posição corretos para o nome e o prefixo do seu bucket. Além disso, confirme que você tem o ID correto da conta da AWS para ELB, com base na região do seu balanceador de carga.

Para obter mais informações sobre as permissões necessárias, consulte os tópicos a seguir:

• Application Load Balancer: Anexe uma política ao seu bucket do S3
• Network Load Balancer: Requisitos do bucket
• Classic Load Balancer: Anexe uma política ao seu bucket do S3

Para criptografar os logs de acesso do ELB, é possível usar a criptografia no lado do servidor com chaves gerenciadas do Amazon S3 (SSE-S3). Além disso, Network Load Balancers oferecem suporte a chaves gerenciadas pelo cliente do AWS Key Management Service (AWS KMS) para criptografar logs de acesso. No entanto, não é possível usar as chaves gerenciadas do AWS KMS para criptografar os logs de acesso ao ELB.

Erro no namespace do bucket

Você recebe a mensagem de erro “The value of ‘access_logs.s3.prefix’ cannot start with ‘AWSLogs’”.

Esse erro ocorre quando o prefixo do bucket S3 de logs de acesso inclui AWSLogs. Para resolver esse problema, remova o AWSLogs do prefixo do seu bucket S3 de logs de acesso.

Solucionar problemas adicionais

Se a política e a configuração do seu bucket do S3 estiverem corretas, mas você ainda não consegue visualizar os logs, verifique se o balanceador de carga recebe tráfego. Verifique as métricas do balanceador de carga ActiveConnectionCount e RequestCount.