ログ転送 log-forwarding

ログベンダーのライセンスを所有しているお客様や、ログ製品をホストしているお客様は、AEM ログ（Apache／Dispatcher を含む）と CDN ログを関連するログの宛先に転送できます。 AEM as a Cloud Service は、次のログの宛先をサポートしています。

ログ転送は、Git で設定を宣言することでセルフサービス方式で設定され、Cloud Manager 設定パイプラインを通じて開発環境、ステージング環境、本番環境の各タイプにデプロイできます。 設定ファイルは、コマンドラインツールを使用して高速開発環境（RDE）にデプロイできます。

AEM および Apache／Dispatcher ログを、専用エグレス IP などの AEM の高度なネットワークインフラストラクチャ経由でルーティングするオプションがあります。

ログの宛先に送信されるログに関連付けられるネットワーク帯域幅は、組織のネットワーク I/O 使用の一部と見なされます。

この記事の編成方法 how-organized

この記事は、次のように構成されています。

設定 setup

設定内のトークン（${{SPLUNK_TOKEN}} など）は秘密鍵を表すので、Git に保存しないでください。 代わりに、Cloud Manager 秘密鍵環境変数として宣言します。 ログをオーサー層、パブリッシュ層およびプレビュー層に転送できるように、「適用されるサービス」フィールドのドロップダウン値として「すべて」を選択していることを確認します。

default ブロックの後に追加の cdn ブロックや aem ブロックを含めることで、CDN ログと AEM ログ（Apache／Dispatcher を含む）間で異なる値を設定できます。この場合、プロパティは default ブロックで定義されたプロパティを上書きできます。必要なのは enabled プロパティのみです。 次の例に示すように、CDN ログに別の Splunk インデックスを使用するユースケースが考えられます。

   kind: "LogForwarding"
   version: "1"
   data:
     splunk:
       default:
         enabled: true
         host: "splunk-host.example.com"
         token: "${{SPLUNK_TOKEN}}"
         index: "AEMaaCS"
       cdn:
         enabled: true
         token: "${{SPLUNK_TOKEN_CDN}}"
         index: "AEMaaCS_CDN"

もう 1 つのシナリオは、CDN ログまたは AEM ログ（Apache／Dispatcher を含む）のいずれかの転送を無効にすることです。 例えば、CDN ログのみを転送するには、次を設定します。

   kind: "LogForwarding"
   version: "1"
   data:
     splunk:
       default:
         enabled: true
         host: "splunk-host.example.com"
         token: "${{SPLUNK_TOKEN}}"
         index: "AEMaaCS"
       aem:
         enabled: false

トランスポートと高度なネットワーク transport-advancednetworking

一部の組織では、ログの宛先で受信できるトラフィックを制限することを選択する場合もあれば、HTTPS（443）以外のポートの使用を要求する場合もあります。 その場合は、ログ転送設定をデプロイする前に、高度なネットワークを設定する必要があります。

次の表を使用して、ポート 443 を使用しているかどうか、固定 IP アドレスからログを表示する必要があるかどうかに基づいて、高度なネットワークとログの設定の要件を確認します。

AEM ログ（Apache/Dispatcherを含む）の場合、Advanced Networkingを設定している場合、aem.advancedNetworking プロパティを使用して、専用エグレス IP アドレスから転送できます。

次の例は、高度なネットワークを使用して標準の HTTPS ポートに対してログを設定する方法を示しています。

kind: "LogForwarding"
version: "1"
data:
  splunk:
    default:
      enabled: true
      host: "splunk-host.example.com"
      port: 443
      token: "${{SPLUNK_TOKEN}}"
      index: "aemaacs"
    aem:
      advancedNetworking: true

CDN ログの場合、Fastly ドキュメント - パブリック IP リストの説明に従って、IP アドレスを許可リストに登録できます。 共有 IP アドレスのリストが大きすぎる場合は、既知の IP から最終的な宛先にログを送信するロジックを記述できる https サーバーまたは（アドビ以外の）Azure Blob Store にトラフィックを送信することを考慮します。

相互TLS （mTLS）認証 mtls

Splunk、Elasticsearch/OpenSearch、およびHTTPSの宛先は、相互TLS （mTLS）をサポートしています。 mTLSでは、AEM as a Cloud Serviceがログの宛先に接続する際にクライアント証明書を表示するので、宛先はログが自分の環境から来ていることを確認できます。 mTLSは、AEM ログ（Apache/Dispatcherを含む）とCDN ログに適用されます。

mTLSは、宛先の既存の認証と並行して動作します。 宛先の既存の認証プロパティ（token （Splunk）またはuser、password （Elasticsearch/OpenSearch）など）を保持します。 CDN ログを転送するHTTPS宛先の場合、authHeaderNameとauthHeaderValueが必要です。

設定 mtls-configuration

宛先の他のプロパティと一緒にmtls ブロックを追加します。

次の例では、mTLSを使用してAEMとCDN ログをSplunkに転送します。

kind: "LogForwarding"
version: "1"
data:
  splunk:
    default:
      enabled: true
      host: "splunk-host.example.com"
      token: "${{SPLUNK_TOKEN}}"
      index: "aemaacs"
      mtls:
        cert: "${{SPLUNK_MTLS_CERT}}"
        key: "${{SPLUNK_MTLS_KEY}}"
        ca: "${{SPLUNK_MTLS_CA}}"

次のルールが適用されます。

サポートされるキー形式 mtls-key-formats

キーのPEM テキストの最初の行は、その形式を示しています。

暗号化されたキーの場合は、keyPasswdをそのパスワードに設定します。

暗号化されたPKCS#8は、暗号化されたキーに使用することをお勧めします。 古い形式のキーを変換するには、次のコマンドを使用します。このコマンドでは、現在のパスワードを求め、次に新しいキーのパスワードを求めます。

openssl pkcs8 -topk8 -v2 aes-256-cbc -in client.key -out client-pkcs8.key

client-pkcs8.keyのコンテンツをkeyが参照する秘密鍵に、そのパスワードをkeyPasswdが参照する秘密鍵に保存します。

CDN ログ mtls-cdn

他のプロパティと同様に、defaultの下のmtls ブロックは、AEM ログとCDN ログの両方に適用されます。 CDN ログに別の証明書を使用するには、cdn ブロックでmtls プロパティを設定します。 mTLSをAEM ログのみに使用するか、CDN ログのみに使用するには、defaultではなくaemまたはcdn ブロックにmtls ブロックを配置します。

宛先へのCDN ログ転送を有効にする設定をデプロイした後、最初のCDN ログが到着するまでに数分かかる場合があります。 HTTPS宛先の場合、CDN ログ配信も、サーバーがHTTPSで説明されている1回限りのチャレンジを完了した後にのみ開始されます。 チャレンジリクエストは同じクライアント証明書で送信されるため、サーバーはチャレンジパスでその証明書を受け入れる必要があります。

証明書のローテーションと有効期限 mtls-rotation

証明書をローテーションするには、証明書（および変更された場合はキー）を保持するCloud Manager シークレット環境変数を更新し、設定パイプラインを再実行します。 ログ転送設定ファイル自体が変更されていない場合は、設定が再度適用されるように、ログ転送設定ファイルにも変更を加えます。 例えば、新しいシークレット環境変数に新しい値を格納し、mtls ブロックでそれらの名前を参照します。

また、クライアント証明書の有効期限が切れるおよそ21日前に、プロアクティブな​ アクション センター通知が届く場合もあります。 この通知に頼ることなく、証明書の有効期限を自分で追跡できます。

ログの宛先設定 logging-destinations

サポートされているログの宛先の設定と、特定の考慮事項を以下に示します。

Amazon S3 amazons3

Amazon S3 へのログ転送では、AEM と Dispatcher のログがサポートされていますが、CDN ログはまだサポートされていません。

kind: "LogForwarding"
version: "1"
data:
  awsS3:
    default:
      enabled: true
      region: "your-bucket-region"
      bucket: "your_bucket_name"
      accessKey: "${{AWS_S3_ACCESS_KEY}}"
      secretAccessKey: "${{AWS_S3_SECRET_ACCESS_KEY}}"

S3 ログ転送ツールを使用するには、S3 バケットへのアクセスに関する適切なポリシーを AWS IAM ユーザーに事前設定する必要があります。 IAM ユーザー資格情報の作成方法について詳しくは、AWS IAM ユーザードキュメントを参照してください。

IAM ポリシーでは、ユーザーに s3:putObject の使用を許可する必要があります。 例：

 {
    "Version": "2012-10-17",
    "Statement": [{
        "Effect": "Allow",
        "Action": [
            "s3:PutObject"
        ],
        "Resource": "arn:aws:s3:::your_bucket_name/*"
    }]
}

実装方法について詳しくは、AWS バケットポリシードキュメントを参照してください。

Azure Blob Storage azureblob

kind: "LogForwarding"
version: "1"
data:
  azureBlob:
    default:
      enabled: true
      storageAccountName: "example_acc"
      container: "aem_logs"
      sasToken: "${{AZURE_BLOB_SAS_TOKEN}}

認証には、SAS トークンを使用する必要があります。 これは、共有アクセストークンページではなく、共有アクセス署名ページから作成し、次の設定を行う必要があります。

サンプル SAS トークン設定のスクリーンショットを次に示します。

以前は正常に機能していたログの配信が停止した場合は、設定した SAS トークンが期限切れになっていることがあるので、まだ有効かどうかを確認します。

Azure Blob Storage CDN ログ azureblob-cdn

グローバルに分散された各ログサーバーは、aemcdn フォルダーの下に数秒ごとに新しいファイルを生成します。 一度作成したファイルは、それ以降は追加されません。 ファイル名の形式は、YYYY-MM-DDThhss.sss-uniqueid.log です。 例：2024-03-04T10:00:00.000-WnFWYN9BpOUs2aOVn4ee.log.

例えば、ある時点で次のようになります。

aemcdn/
   2024-03-04T10:00:00.000-abc.log
   2024-03-04T10:00:00.000-def.log

30 秒後には、次のようになります。

aemcdn/
   2024-03-04T10:00:00.000-abc.log
   2024-03-04T10:00:00.000-def.log
   2024-03-04T10:00:30.000-ghi.log
   2024-03-04T10:00:30.000-jkl.log
   2024-03-04T10:00:30.000-mno.log

各ファイルには、それぞれが別の行に記述された複数の JSON ログエントリが含まれます。 ログエントリの形式について詳しくは、AEM as a Cloud Service のログを参照してください。また、各ログエントリには、次のログエントリ形式の節で説明するその他のプロパティも含まれます。

Azure Blob Storage AEM ログ azureblob-aem

AEM ログ（Apache／Dispatcher を含む）は、次の命名規則に従ってフォルダーの下に表示されます。

各フォルダーの下に単一のファイルが作成され、追記されます。 このファイルが大きくなりすぎないように、処理と管理はお客様の責任となります。

AEM as a Cloud Service のログのログエントリ形式を参照してください。 ログエントリには、次のログエントリ形式の節で説明するその他のプロパティも含まれます。

Datadog datadog

kind: "LogForwarding"
version: "1"
data:
  datadog:
    default:
      enabled: true
      host: "http-intake.logs.datadoghq.eu"
      token: "${{DATADOG_API_KEY}}"
      tags:
         tag1: value1
         tag2: value2

考慮事項

Elasticsearch および OpenSearch elastic

kind: "LogForwarding"
version: "1"
data:
  elasticsearch:
    default:
      enabled: true
      host: "example.com"
      user: "${{ELASTICSEARCH_USER}}"
      password: "${{ELASTICSEARCH_PASSWORD}}"
      pipeline: "ingest pipeline name"

考慮事項

def envType = ctx.aem_env_type != null ? ctx.aem_env_type : 'unknown';
def sourceType = ctx._index;
def date = new SimpleDateFormat('dd_MM_yyyy').format(new Date());
ctx._index = sourceType + "_" + envType + "_" + date;

HTTPS https

kind: "LogForwarding"
version: "1"
data:
  https:
    default:
      enabled: true
      url: "https://example.com/aem_logs/aem"
      authHeaderName: "X-AEMaaCS-Log-Forwarding-Token"
      authHeaderValue: "${{HTTPS_LOG_FORWARDING_TOKEN}}"

考慮事項

HTTPS CDN ログ https-cdn

Web リクエスト（POST）は、ログエントリの配列である JSON ペイロードを使用して継続的に送信されます。ログエントリ形式について詳しくは、AEM as a Cloud Service のログを参照してください。 その他のプロパティについて詳しくは、次のログエントリ形式の節を参照してください。

また、sourcetype という名前のプロパティもあり、その値は aemcdn に設定されています。

HTTPS AEM ログ https-aem

AEM ログ（apache／dispacher を含む）の場合、web リクエスト（POST） は、ログエントリの配列である JSON ペイロードを使用して継続的に送信されます。様々なログエントリ形式について詳しくは、AEM as a Cloud Service のログを参照してください。 その他のプロパティについて詳しくは、次のログエントリ形式の節を参照してください。

また、Source-Type という名前のプロパティもあり、その値は次のいずれかに設定されています。

New Relic Log API newrelic-https

New Relic へのログ転送では、New Relic HTTPS API を取り込みに活用します。 現在は、AEM と Dispatcher からのログのみがサポートされており、CDN ログはまだサポートされていません。

  kind: "LogForwarding"
  version: "1"
  data:
    newRelic:
      default:
        enabled: true
        uri: "https://log-api.newrelic.com/log/v1"
        apiKey: "${{NR_API_KEY}}"

Dynatrace Log API dynatrace-https

Dynatrace へのログ転送では、ログの取り込みに Dynatrace HTTPS API を使用します。 現在は、AEM と Dispatcher からのログのみがサポートされており、CDN ログはまだサポートされていません。

トークンには、「ログを取り込み」スコープ属性が必要です。

  kind: "LogForwarding"
  version: "1"
  data:
    dynatrace:
      default:
        enabled: true
        environmentId: "${{DYNATRACE_ENVID}}"
        token: "${{DYNATRACE_TOKEN}}"

Splunk splunk

kind: "LogForwarding"
version: "1"
data:
  splunk:
    default:
      enabled: true
      host: "splunk-host.example.com"
      token: "${{SPLUNK_TOKEN}}"
      index: "aemaacs"

考慮事項

Sumo Logic sumologic

Sumo Logic をデータ取り込み用に設定すると、ホスト、receiverURI、秘密鍵を単一の文字列で提供する「HTTP ソースアドレス」が表示されます。 例：

https://collectors.de.sumologic.com/receiver/v1/http/ZaVnC...

URL の最後のセクション（先頭の / を除く）をコピーし、上記の設定の節で説明したように、CloudManager 秘密鍵環境変数として追加し、設定でその変数を参照する必要があります。 次に例を示します。

kind: "LogForwarding"
version: "1"
data:
  sumoLogic:
    default:
      enabled: true
      collectorURL: "https://collectors.de.sumologic.com/receiver/v1/http"
      privateKey: "${{SUMOLOGIC_PRIVATE_KEY}}"
      index: "aem-logs"

ログエントリ形式 log-formats

各ログタイプ（CDN ログ、Apache／Dispatcher を含む AEM ログ）の形式について詳しくは、AEM as a Cloud Service のログを参照してください。

複数のプログラムや環境からのログが同じログの宛先に転送される場合があるので、ログの記事で説明されている出力に加えて、各ログエントリには次のプロパティが含まれます。

例えば、プロパティには次の値を含めることができます。

aem_env_id: 1242
aem_env_type: dev
aem_program_id: 12314
aem_tier: author

従来のログ転送からの移行 legacy-migration

ログ転送の設定がセルフサービスモデルを通じて実現される前は、お客様がサポートチケットを開くようリクエストされ、アドビが統合を開始していました。

アドビによってそのように設定されたお客様は、ご都合のよいときにセルフサービスモデルに移行できます。 この移行を行う理由がいくつかあります。

移行の準備が整ったら、前の節で説明したように YAML ファイルを設定するだけです。 Cloud Manager 設定パイプラインを使用して、設定を適用する必要がある各環境にデプロイします。

すべての環境に設定をデプロイし、セルフサービスで制御できるようにすることをお勧めしますが、必須ではありません。 そうしないと、アドビが設定した環境とセルフサービスで設定した環境を区別できなくなる場合があります。