Como faço para criar Transit Gateway Flow Logs para monitorar meu tráfego de rede?

Resolução

Requisito: você deve ter acesso à conta da AWS que possui o gateway de trânsito. Se você não tiver acesso, peça ao proprietário da conta que lhe conceda permissões por meio de um perfil do AWS Identity and Access Management (AWS IAM).

Crie uma política e um perfil do IAM para os logs de fluxo do gateway de trânsito

1. Abra o console do IAM.

2. No painel de navegação, clique em Políticas e, em seguida, em Criar política.

3. Insira a seguinte política do IAM para permitir que os logs de fluxo publiquem os logs no grupo de logs do Amazon CloudWatch:

   {
     "Version":"2012-10-17",                   
     "Statement": [
       {
         "Effect": "Allow",
         "Action": [
           "logs:CreateLogGroup",
           "logs:CreateLogStream",
           "logs:PutLogEvents",
           "logs:DescribeLogGroups",
           "logs:DescribeLogStreams"
         ],
         "Resource": "*"
       }
     ]
   }   

4. Insira um nome e uma descrição para a política.

5. Selecione Criar política.

6. Para criar o perfil do IAM, no painel de navegação, clique em Perfis.

7. Selecione Criar perfil.

8. Em Política de confiança personalizada, clique em Tipo de entidade confiável.

9. Insira a seguinte política de confiança:

   {
     "Version":"2012-10-17",                   
     "Statement": [
       {
         "Effect": "Allow",
         "Principal": {
           "Service": "vpc-flow-logs.amazonaws.com"
         },
         "Action": "sts:AssumeRole"
       }
     ]
   }

10. Clique em Próximo.

11. Pesquise a política do IAM recém-criada e, em seguida, anexe-a ao perfil do IAM.

12. Clique em Próximo.

13. Insira um nome e uma descrição para a política.

14. Selecione Criar perfil.

Crie um log de fluxo do gateway de trânsito

Observação: depois de criar um log de fluxo do gateway de trânsito, são necessários alguns minutos para coletar e publicar dados no destino escolhido. As cobranças de ingestão e armazenamento de dados para logs fornecidos ocorrem quando você publica logs de fluxo do gateway de trânsito. Para ver os detalhes de preços dos logs fornecidos, consulte Definição de preço do Amazon CloudWatch e, em Nível pago, clique em Logs e encontre Vended Logs.

Conclua as etapas a seguir:

1. Abra o console da Amazon Virtual Private Cloud (Amazon VPC).
2. No painel de navegação, clique em Gateways de trânsito.
3. Selecione seu gateway de trânsito.
4. Clique em Ações e, depois, em Criar log de fluxo.
5. Insira as informações a seguir:
   Em Destino, clique em Enviar para o CloudWatch Logs.
   Em Grupo de logs de destino, escolha um nome de grupo de logs existente.
   Observação: especifique um grupo de logs existente do CloudWatch antes de criar logs de fluxo. Crie um grupo de logs antes de continuar se não existir um grupo de logs.
   Em Perfil do IAM, o perfil do IAM recém-criado.
   Em Formato de registro de log, selecione Formato padrão da AWS ou Formato personalizado. Se você selecionar Formato personalizado, especifique os campos de registro do log de fluxo que você deseja incluir.
6. (Opcional) Clique em Adicionar nova tag para aplicar tags ao log de fluxo.
7. Selecione Criar log de fluxo.