本文介绍了如何在AWS中国区,将CloudWatch日志组导出到S3。

在默认情况下,在CloudWatch上将Lambda、DMS等多种服务的日志组导出到S3时候会提示没有权限。当查看AWS文档时进行配置时,有关文档以Global区域为例进行编写,需要调整IAM Policy适应中国区域才能完成配置。

进入中国区S3控制台,并创建一个存储桶。设置桶时候,可以设置Block Public。因为导出CloudWatch日志组后后不需要外部公开访问。此时禁用公开访问,不影响导出日志。如下截图。

进入存储桶,选择 Permissions 权限,点击 Bucket Policy 桶策略。输入如下的策略。

{
    "Version": "2012-10-17",
    "Statement": [
      {
          "Action": "s3:GetBucketAcl",
          "Effect": "Allow",
          "Resource": "arn:aws-cn:s3:::cloudwatch-log-group",
          "Principal": { "Service": "logs.cn-northwest-1.amazonaws.com.cn" }
      },
      {
          "Action": "s3:PutObject" ,
          "Effect": "Allow",
          "Resource": "arn:aws-cn:s3:::cloudwatch-log-group/*",
          "Condition": { "StringEquals": { "s3:x-amz-acl": "bucket-owner-full-control" } },
          "Principal": { "Service": "logs.cn-northwest-1.amazonaws.com.cn" }
      }
    ]
}

这里与这里的官方文档上不同的地方在于:

  • 在Resource中的aws后增加aws-cn;
  • 替换存储桶名字为实际的存储桶;
  • 在Principal中替换服务节点为 logs.cn-northwest-1.amazonaws.com.cn 即Global文档后增加了.cn

修改如上。将以上策略贴到S3桶策略中。如下截图。

进入CloudWatch日志组。选中要导出的日志组,点击Action,选择导出。如下截图。

在导出界面,选择时间区间,然后选择要导出的Bucket桶名称。如下截图。

导出后进入S3桶,可以找到exportedlogs目录,如下截图。

导出的文件是tar.gz压缩格式。如下截图。

下载导出文件成功。

全文完。

Categories:

Tags:

Comments are closed