VPCフローログの取得方法（CloudWatch Logsに保存）

Posted at 2021-04-09

AWSを利用する際に、ネットワークにうまく接続できない等のトラブルシューティングをするためのツールとして、VPCフローログがあります。便利なのですが使い方をよく忘れるのでまとめておきます。

ロググループの作成

CloudWatchコンソールより、ロググループを作成します。
ログの容量に応じて保管費用が掛かるため、適切な保持期間を設定しておくとよいです。

IAMの作成

以下のページに記載があるのですが、分かりにくいので画像付きで説明します。
https://docs.aws.amazon.com/ja_jp/vpc/latest/userguide/flow-logs-cwl.html

まず、IAMコンソールを開き、左側のメニューからロールを開きます。上部にあるロールの作成をクリックします。

AWSサービス→EC2の順に選択し、次のステップ：アクセス権限をクリックします。

続けて、次のステップ：タグ、次のステップ：確認をクリックします。

ロール名を入力して、ロールの作成をクリックします。

作成したロールをクリックします。

インラインポリシーの追加をクリックします。

タブからJSONを選択し、以下のように記述します。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Action": [
        "logs:CreateLogGroup",
        "logs:CreateLogStream",
        "logs:PutLogEvents",
        "logs:DescribeLogGroups",
        "logs:DescribeLogStreams"
      ],
      "Effect": "Allow",
      "Resource": "*"
    }
  ]
}

ポリシー名を入力して、ポリシーの作成をクリックします。

次に、信頼関係のタブより、信頼関係の編集をクリックします。

表示されているポリシーを以下に書き換えます。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "",
      "Effect": "Allow",
      "Principal": {
        "Service": "vpc-flow-logs.amazonaws.com"
      },
      "Action": "sts:AssumeRole"
    }
  ]
}