为什么我的 AWS WAF 日志没有发布到我配置的目标位置？

解决方法

您可以将 AWS WAF 日志发布到 Amazon CloudWatch Logs 中的日志组、Amazon Simple Storage Service (Amazon S3) 存储桶或 Amazon Data Firehose 传输流。要确定您的 AWS WAF 日志未发布的原因，请检查您正在使用的目标位置的配置。

检查您的日志筛选配置

您可以配置日志筛选，以指定何时保留请求以及何时删除请求。要确定是否缺少日志，请在 AWS WAF 中检查您的 Web 访问控制列表 (Web ACL) 日志配置。

CloudWatch Logs

请执行以下操作：

• 验证日志组名称是否以 aws-waf-logs 开头。
• 验证您是否具有向 CloudWatch Logs 发布日志所需的权限。
• 检查日志组是否有具有权限的资源策略。

Amazon S3 存储桶

请执行以下操作：

• 验证 Amazon S3 存储桶名称是否以 aws-waf-logs 开头。
• 检查您的 Amazon S3 存储桶加密密钥。AWS WAF 不支持 AWS 托管的 AWS Key Management Service (AWS KMS) 密钥。AWS WAF 仅支持 Amazon S3 托管式密钥 (SSE-S3) 或 AWS KMS 密钥 (SSE-KMS)。
• 验证您是否具有向 Amazon S3 发布日志所需的权限。默认情况下，Amazon S3 存储桶及其对象是私有的。S3 存储桶的所有者可以使用访问策略来授予对其他 AWS 资源的访问权限。

Firehose 传输流

请执行以下操作：

• 验证 Firehose 传输流名称是否以 aws-waf-logs 开头。
• 验证您是否具有向 Firehose 传输流发布日志所需的权限。

相关信息

如何启用 AWS WAF 日志记录并将日志发送到 CloudWatch、Amazon S3 或 Firehose？