如何建立 Transit Gateway Flow Logs 以監控我的網路流量？

解決方法

**需求：**您必須擁有傳輸閘道所屬 AWS 帳戶的存取權。如果您沒有存取權，請要求帳戶擁有者透過 AWS Identity and Access Management (IAM) 角色授予您權限。

為傳輸閘道流程日誌建立 IAM 政策和角色

1. 開啟 IAM console (IAM 主控台)。

2. 在導覽窗格中，選擇 Policies (政策)，然後選擇 Create policy (建立政策)。

3. 輸入以下 IAM 政策，以允許流程日誌將日誌發佈至 Amazon CloudWatch 日誌群組：

   {
     "Version":"2012-10-17",                   
     "Statement": [
       {
         "Effect": "Allow",
         "Action": [
           "logs:CreateLogGroup",
           "logs:CreateLogStream",
           "logs:PutLogEvents",
           "logs:DescribeLogGroups",
           "logs:DescribeLogStreams"
         ],
         "Resource": "*"
       }
     ]
   }   

4. 輸入政策的名稱和描述。

5. 選擇 Create policy (建立政策)。

6. 若要建立 IAM 角色，請在導覽窗格中選擇 Roles (角色)。

7. 選擇 Create role (建立角色)。

8. 在 custom trust policy (自訂信任政策)，選擇 Trusted entity type (信任的實體類型)。

9. 新增以下信任政策：

   {
     "Version":"2012-10-17",                   
     "Statement": [
       {
         "Effect": "Allow",
         "Principal": {
           "Service": "vpc-flow-logs.amazonaws.com"
         },
         "Action": "sts:AssumeRole"
       }
     ]
   }

10. 選擇 Next (下一步)。

11. 搜尋新建立的 IAM 政策，然後將其附加至 IAM 角色。

12. 選擇 Next (下一步)。

13. 輸入政策的名稱和描述。

14. 選擇 Create role (建立角色)。

建立傳輸閘道流程日誌

**注意：**建立傳輸閘道流程日誌之後，需要數分鐘才能收集資料並將資料發佈至選擇的目的地。發佈傳輸閘道流程日誌時，會產生交付日誌的資料擷取和儲存費用。若要檢視交付日誌的定價詳細資訊，請參閱 Amazon CloudWatch 定價，然後在 Paid tier (付費方案) 下，選擇 Logs (日誌) 並尋找 Vended Logs (交付日誌)。

請完成以下步驟：

1. 開啟 Amazon Virtual Private Cloud (Amazon VPC) 主控台。
2. 在導覽窗格中，選擇 Transit gateways (傳輸閘道)。
3. 選取您的傳輸閘道。
4. 選擇 Actions (動作)，然後選擇 Create flow log (建立流程日誌)。
5. 輸入以下資訊：
   在 Destination (目的地)，選擇 Send to CloudWatch Logs (傳送至 CloudWatch Logs)。
   在 Destination log group (目的地日誌群組)，選擇現有的日誌群組名稱。
   注意： 在建立流程日誌之前，請指定現有的 CloudWatch 日誌群組。如果日誌群組不存在，請先建立日誌群組再繼續。
   在 IAM role (IAM 角色)，選擇新建立的 IAM 角色。
   在 Log record format (日誌記錄格式)，選擇 AWS default format (AWS 預設格式) 或 Custom format (自訂格式)。如果您選擇 Custom format (自訂格式)，請指定您要包含的流程日誌記錄欄位。
6. (選用) 選擇 Add new tag (新增標籤)，以將標籤套用至流程日誌。
7. 選擇 Create flow log (建立流程日誌)。