ログ転送 log-forwarding

ログベンダーのライセンスを所有しているお客様や、ログ製品をホストしているお客様は、AEM ログ（Apache／Dispatcher を含む）と CDN ログを関連するログの宛先に転送できます。 AEM as a Cloud Service は、次のログの宛先をサポートしています。

Amazon S3、DynatraceおよびNew Relicへの[1] CDN ログ転送はベータ版です。 アクセスをリクエストするには、aemcs-logforwarding-beta@adobe.comにプログラム IDをメールで送信してください。 アクセスを有効にした後で、cdn.enabled: trueを持つ各宛先のCDN ログも有効にします。 Amazon S3、Dynatrace、New Relic（ベータ版）のCDN ログを参照してください。

ログ転送は、Git で設定を宣言することでセルフサービス方式で設定され、Cloud Manager 設定パイプラインを通じて開発環境、ステージング環境、本番環境の各タイプにデプロイできます。 設定ファイルは、コマンドラインツールを使用して高速開発環境（RDE）にデプロイできます。

AEM および Apache／Dispatcher ログを、専用エグレス IP などの AEM の高度なネットワークインフラストラクチャ経由でルーティングするオプションがあります。 CDN ログは常にCDNから直接送信され、高度なネットワークを使用しません。 ​ トランスポートと高度なネットワーク ​を参照してください。

この記事の編成方法 how-organized

この記事は、次のように構成されています。

設定 setup

設定内のトークン（${{SPLUNK_TOKEN}} など）は秘密鍵を表すので、Git に保存しないでください。 代わりに、Cloud Manager 秘密鍵環境変数として宣言します。 ログをオーサー層、パブリッシュ層およびプレビュー層に転送できるように、「適用されるサービス」フィールドのドロップダウン値として「すべて」を選択していることを確認します。

default ブロックの後に追加の cdn ブロックや aem ブロックを含めることで、CDN ログと AEM ログ（Apache／Dispatcher を含む）間で異なる値を設定できます。この場合、プロパティは default ブロックで定義されたプロパティを上書きできます。必要なのは enabled プロパティのみです。 次の例に示すように、CDN ログに別の Splunk インデックスを使用するユースケースが考えられます。

   kind: "LogForwarding"
   version: "1"
   data:
     splunk:
       default:
         enabled: true
         host: "splunk-host.example.com"
         token: "${{SPLUNK_TOKEN}}"
         index: "AEMaaCS"
       cdn:
         enabled: true
         token: "${{SPLUNK_TOKEN_CDN}}"
         index: "AEMaaCS_CDN"

もう 1 つのシナリオは、CDN ログまたは AEM ログ（Apache／Dispatcher を含む）のいずれかの転送を無効にすることです。 例えば、CDN ログのみを転送するには、次を設定します。

   kind: "LogForwarding"
   version: "1"
   data:
     splunk:
       default:
         enabled: true
         host: "splunk-host.example.com"
         token: "${{SPLUNK_TOKEN}}"
         index: "AEMaaCS"
       aem:
         enabled: false

トランスポートと高度なネットワーク transport-advancednetworking

一部の組織では、ログの宛先で受信できるトラフィックを制限することを選択する場合もあれば、HTTPS（443）以外のポートの使用を要求する場合もあります。 その場合は、ログ転送設定をデプロイする前に、高度なネットワークを設定する必要があります。

次の表を使用して、ポート 443 を使用しているかどうか、固定 IP アドレスからログを表示する必要があるかどうかに基づいて、高度なネットワークとログの設定の要件を確認します。 この表は、AEM ログ（Apache/Dispatcherを含む）に適用されます。 CDN ログについては、CDN ログとIP 許可リストを参照してください。

AEM ログ（Apache/Dispatcherを含む）の場合、Advanced Networkingを設定している場合、aem.advancedNetworking プロパティを使用して、専用エグレス IP アドレスから転送できます。

次の例は、高度なネットワークを使用して標準の HTTPS ポートに対してログを設定する方法を示しています。

kind: "LogForwarding"
version: "1"
data:
  splunk:
    default:
      enabled: true
      host: "splunk-host.example.com"
      port: 443
      token: "${{SPLUNK_TOKEN}}"
      index: "aemaacs"
    aem:
      advancedNetworking: true

CDN ログとIP 許可リスト cdn-ip-allowlist

CDN ログは、AEM as a Cloud Serviceからではなく、CDN （Fastly）から直接送信されます。 これは、すべてのログ宛先に適用されます。

共有IP アドレスのリストが許可リストに入りきれないほど大きい場合は、CDN ログをhttps サーバーまたは（Adobe以外の）Azure Blob Storeに送信することを検討してください。ここで、既知のIPから最終的な宛先にログを送信するためのロジックを記述できます。

相互TLS （mTLS）認証（ベータ版） mtls

Splunk、Elasticsearch/OpenSearch、およびHTTPSの宛先は、相互TLS （mTLS）をサポートしています。 mTLSでは、AEM as a Cloud Serviceがログの宛先に接続する際にクライアント証明書を表示するので、宛先はログが自分の環境から来ていることを確認できます。 mTLSは、AEM ログ（Apache/Dispatcherを含む）とCDN ログに適用されます。

mTLSは、宛先の既存の認証と並行して動作します。 宛先の既存の認証プロパティ（token （Splunk）またはuser、password （Elasticsearch/OpenSearch）など）を保持します。 CDN ログを転送するHTTPS宛先の場合、authHeaderNameとauthHeaderValueが必要です。

設定 mtls-configuration

宛先の他のプロパティと一緒にmtls ブロックを追加します。

次の例では、mTLSを使用してAEMとCDN ログをSplunkに転送します。

kind: "LogForwarding"
version: "1"
data:
  splunk:
    default:
      enabled: true
      host: "splunk-host.example.com"
      token: "${{SPLUNK_TOKEN}}"
      index: "aemaacs"
      mtls:
        cert: "${{SPLUNK_MTLS_CERT}}"
        key: "${{SPLUNK_MTLS_KEY}}"
        ca: "${{SPLUNK_MTLS_CA}}"

次のルールが適用されます。

サポートされるキー形式 mtls-key-formats

キーのPEM テキストの最初の行は、その形式を示しています。

暗号化されたキーの場合は、keyPasswdをそのパスワードに設定します。

暗号化されたPKCS#8は、暗号化されたキーに使用することをお勧めします。 古い形式のキーを変換するには、次のコマンドを使用します。このコマンドでは、現在のパスワードを求め、次に新しいキーのパスワードを求めます。

openssl pkcs8 -topk8 -v2 aes-256-cbc -in client.key -out client-pkcs8.key

client-pkcs8.keyのコンテンツをkeyが参照する秘密鍵に、そのパスワードをkeyPasswdが参照する秘密鍵に保存します。

CDN ログ mtls-cdn

他のプロパティと同様に、defaultの下のmtls ブロックは、AEM ログとCDN ログの両方に適用されます。 CDN ログに別の証明書を使用するには、cdn ブロックでmtls プロパティを設定します。 mTLSをAEM ログのみに使用するか、CDN ログのみに使用するには、defaultではなくaemまたはcdn ブロックにmtls ブロックを配置します。

宛先へのCDN ログ転送を有効にする設定をデプロイした後、最初のCDN ログが到着するまでに数分かかる場合があります。 HTTPS宛先の場合、CDN ログ配信も、サーバーがHTTPSで説明されている1回限りのチャレンジを完了した後にのみ開始されます。 チャレンジリクエストは同じクライアント証明書で送信されるため、サーバーはチャレンジパスでその証明書を受け入れる必要があります。

証明書のローテーションと有効期限 mtls-rotation

証明書をローテーションするには、証明書（および変更された場合はキー）を保持するCloud Manager シークレット環境変数を更新し、設定パイプラインを再実行します。 ログ転送設定ファイル自体が変更されていない場合は、設定が再度適用されるように、ログ転送設定ファイルにも変更を加えます。 例えば、新しいシークレット環境変数に新しい値を格納し、mtls ブロックでそれらの名前を参照します。

また、クライアント証明書の有効期限が切れるおよそ21日前に、プロアクティブな​ アクション センター通知が届く場合もあります。 この通知に頼ることなく、証明書の有効期限を自分で追跡できます。

ログの宛先設定 logging-destinations

サポートされているログの宛先の設定と、特定の考慮事項を以下に示します。

Amazon S3 amazons3

Amazon S3へのCDN ログはベータ版です。 アクセスをリクエストするには、aemcs-logforwarding-beta@adobe.comにプログラム IDをメールで送信してください。 有効にする方法については、Amazon S3、Dynatrace、およびNew Relic （ベータ版） ​のCDN ログを参照し、ファイルレイアウトと考慮事項についてはAmazon S3 CDN ログ ​を参照してください。

kind: "LogForwarding"
version: "1"
data:
  awsS3:
    default:
      enabled: true
      region: "your-bucket-region"
      bucket: "your-bucket-name"
      accessKey: "${{AWS_S3_ACCESS_KEY}}"
      secretAccessKey: "${{AWS_S3_SECRET_ACCESS_KEY}}"

AEM ログとCDN ログ（CDN ログはベータ版）の両方を転送するには：

kind: "LogForwarding"
version: "1"
data:
  awsS3:
    default:
      enabled: true
      region: "us-east-1"
      bucket: "your-bucket-name"
      accessKey: "${{AWS_S3_ACCESS_KEY}}"
      secretAccessKey: "${{AWS_S3_SECRET_ACCESS_KEY}}"
    cdn:
      enabled: true

CDN ログのみを転送するには（ベータ版）:

kind: "LogForwarding"
version: "1"
data:
  awsS3:
    default:
      enabled: true
      region: "us-east-1"
      bucket: "your-bucket-name"
      accessKey: "${{AWS_S3_ACCESS_KEY}}"
      secretAccessKey: "${{AWS_S3_SECRET_ACCESS_KEY}}"
    aem:
      enabled: false
    cdn:
      enabled: true

S3 ログ転送ツールを使用するには、S3 バケットへのアクセスに関する適切なポリシーを AWS IAM ユーザーに事前設定する必要があります。 IAM ユーザー資格情報の作成方法について詳しくは、AWS IAM ユーザードキュメントを参照してください。

IAM ポリシーでは、ユーザーに s3:PutObject の使用を許可する必要があります。 （ベータ版） CDN ログを転送するには、s3:AbortMultipartUploadも許可します。 他の権限は必要ありません。ユーザーはバケットを読んだりリストしたりする必要はありません。 次に例を示します。

{
    "Version": "2012-10-17",
    "Statement": [{
        "Effect": "Allow",
        "Action": [
            "s3:PutObject",
            "s3:AbortMultipartUpload"
        ],
        "Resource": "arn:aws:s3:::your-bucket-name/*"
    }]
}

バケットがCDN ログのみを受信する場合は、Resourceをarn:aws:s3:::your-bucket-name/aemcdn/*に制限できます。

実装方法について詳しくは、AWS バケットポリシードキュメントを参照してください。

Amazon S3 CDN ログ（ベータ版） amazons3-cdn

Amazon S3へのCDN ログはベータ版です。 プログラムとcdn.enabled: trueへのアクセスが必要です。 Amazon S3、Dynatrace、New Relic（ベータ版）のCDN ログを参照してください。

CDN ログは、バケットのaemcdn/ フォルダーの下に書き込まれます。 ファイル名形式はYYYY-MM-DDThh:mm:ss.000-<uniqueid>.log.gzです。 次に例を示します。

aemcdn/
   2026-03-04T10:00:00.000-WnFWYN9BpOUs2aOVn4ee.log.gz
   2026-03-04T10:00:00.000-0pX8ub2yQcAmLs7rT1kd.log.gz
   2026-03-04T10:05:00.000-h3JkVv9ZqN2wE5sXyR0a.log.gz

お客様は、これらのファイルの処理と管理を担当します。例えば、aemcdn/接頭辞にS3 ライフサイクルルールを付けます。

CDN ログの考慮事項（ベータ版）:

Azure Blob Storage azureblob

kind: "LogForwarding"
version: "1"
data:
  azureBlob:
    default:
      enabled: true
      storageAccountName: "example_acc"
      container: "aem_logs"
      sasToken: "${{AZURE_BLOB_SAS_TOKEN}}

認証には、SAS トークンを使用する必要があります。 これは、共有アクセストークンページではなく、共有アクセス署名ページから作成し、次の設定を行う必要があります。

サンプル SAS トークン設定のスクリーンショットを次に示します。

以前は正常に機能していたログの配信が停止した場合は、設定した SAS トークンが期限切れになっていることがあるので、まだ有効かどうかを確認します。

Azure Blob Storage CDN ログ azureblob-cdn

グローバルに分散された各ログサーバーは、aemcdn フォルダーの下に数秒ごとに新しいファイルを生成します。 一度作成したファイルは、それ以降は追加されません。 ファイル名の形式は、YYYY-MM-DDThhss.sss-uniqueid.log です。 例：2024-03-04T10:00:00.000-WnFWYN9BpOUs2aOVn4ee.log.

例えば、ある時点で次のようになります。

aemcdn/
   2024-03-04T10:00:00.000-abc.log
   2024-03-04T10:00:00.000-def.log

30 秒後には、次のようになります。

aemcdn/
   2024-03-04T10:00:00.000-abc.log
   2024-03-04T10:00:00.000-def.log
   2024-03-04T10:00:30.000-ghi.log
   2024-03-04T10:00:30.000-jkl.log
   2024-03-04T10:00:30.000-mno.log

各ファイルには、それぞれが別の行に記述された複数の JSON ログエントリが含まれます。 ログエントリの形式について詳しくは、AEM as a Cloud Service のログを参照してください。また、各ログエントリには、次のログエントリ形式の節で説明するその他のプロパティも含まれます。

Azure Blob Storage AEM ログ azureblob-aem

AEM ログ（Apache／Dispatcher を含む）は、次の命名規則に従ってフォルダーの下に表示されます。

各フォルダーの下に単一のファイルが作成され、追記されます。 このファイルが大きくなりすぎないように、処理と管理はお客様の責任となります。

AEM as a Cloud Service のログのログエントリ形式を参照してください。 ログエントリには、次のログエントリ形式の節で説明するその他のプロパティも含まれます。

Datadog datadog

kind: "LogForwarding"
version: "1"
data:
  datadog:
    default:
      enabled: true
      host: "http-intake.logs.datadoghq.eu"
      token: "${{DATADOG_API_KEY}}"
      tags:
         tag1: value1
         tag2: value2

考慮事項

Elasticsearch および OpenSearch elastic

kind: "LogForwarding"
version: "1"
data:
  elasticsearch:
    default:
      enabled: true
      host: "example.com"
      user: "${{ELASTICSEARCH_USER}}"
      password: "${{ELASTICSEARCH_PASSWORD}}"
      pipeline: "ingest pipeline name"

考慮事項

def envType = ctx.aem_env_type != null ? ctx.aem_env_type : 'unknown';
def sourceType = ctx._index;
def date = new SimpleDateFormat('dd_MM_yyyy').format(new Date());
ctx._index = sourceType + "_" + envType + "_" + date;

HTTPS https

kind: "LogForwarding"
version: "1"
data:
  https:
    default:
      enabled: true
      url: "https://example.com/aem_logs/aem"
      authHeaderName: "X-AEMaaCS-Log-Forwarding-Token"
      authHeaderValue: "${{HTTPS_LOG_FORWARDING_TOKEN}}"

考慮事項

HTTPS CDN ログ https-cdn

Web リクエスト（POST）は、ログエントリの配列である JSON ペイロードを使用して継続的に送信されます。ログエントリ形式について詳しくは、AEM as a Cloud Service のログを参照してください。 その他のプロパティについて詳しくは、次のログエントリ形式の節を参照してください。

また、sourcetype という名前のプロパティもあり、その値は aemcdn に設定されています。

HTTPS AEM ログ https-aem

AEM ログ（apache／dispacher を含む）の場合、web リクエスト（POST） は、ログエントリの配列である JSON ペイロードを使用して継続的に送信されます。様々なログエントリ形式について詳しくは、AEM as a Cloud Service のログを参照してください。 その他のプロパティについて詳しくは、次のログエントリ形式の節を参照してください。

また、Source-Type という名前のプロパティもあり、その値は次のいずれかに設定されています。

New Relic Log API newrelic-https

New Relicへのログ転送では、取り込みにNew Relic HTTPS Log APIを利用します。 New RelicへのCDN ログはベータ版です。 アクセスをリクエストするには、aemcs-logforwarding-beta@adobe.comにプログラム IDをメールで送信してください。 有効にする方法については、Amazon S3、Dynatrace、およびNew Relic（ベータ版） 🔗のCDN ログを参照してください。

  kind: "LogForwarding"
  version: "1"
  data:
    newRelic:
      default:
        enabled: true
        uri: "https://log-api.newrelic.com/log/v1"
        apiKey: "${{NR_API_KEY}}"

AEM ログとCDN ログ（CDN ログはベータ版）の両方を転送するには：

  kind: "LogForwarding"
  version: "1"
  data:
    newRelic:
      default:
        enabled: true
        uri: "https://log-api.newrelic.com/log/v1"
        apiKey: "${{NR_API_KEY}}"
      cdn:
        enabled: true

CDN ログのみを転送するには（ベータ版）:

  kind: "LogForwarding"
  version: "1"
  data:
    newRelic:
      default:
        enabled: true
        uri: "https://log-api.newrelic.com/log/v1"
        apiKey: "${{NR_API_KEY}}"
      aem:
        enabled: false
      cdn:
        enabled: true

考慮事項

Dynatrace Log API dynatrace-https

Dynatrace へのログ転送では、ログの取り込みに Dynatrace HTTPS API を使用します。 DynatraceへのCDN ログはベータ版です。 アクセスをリクエストするには、aemcs-logforwarding-beta@adobe.comにプログラム IDをメールで送信してください。 有効にする方法については、Amazon S3、Dynatrace、およびNew Relic（ベータ版） 🔗のCDN ログを参照してください。

トークンには、インジェスト ログ （logs.ingest）のスコープが必要です。 同じトークンがAEM ログとCDN ログに使用されます。

  kind: "LogForwarding"
  version: "1"
  data:
    dynatrace:
      default:
        enabled: true
        environmentId: "${{DYNATRACE_ENVID}}"
        token: "${{DYNATRACE_TOKEN}}"

AEM ログとCDN ログ（CDN ログはベータ版）の両方を転送するには：

  kind: "LogForwarding"
  version: "1"
  data:
    dynatrace:
      default:
        enabled: true
        environmentId: "${{DYNATRACE_ENVID}}"
        token: "${{DYNATRACE_TOKEN}}"
      cdn:
        enabled: true

CDN ログのみを転送するには（ベータ版）:

  kind: "LogForwarding"
  version: "1"
  data:
    dynatrace:
      default:
        enabled: true
        environmentId: "${{DYNATRACE_ENVID}}"
        token: "${{DYNATRACE_TOKEN}}"
      aem:
        enabled: false
      cdn:
        enabled: true

考慮事項

DynatraceでのCDN ログの検索（ベータ版） dynatrace-cdn

Dynatraceは、各CDN ログエントリをJSON テキストとしてログレコードのcontentに保存し、エントリのtimestampをレコード時間として使用します。 source、url、statusなどのCDN ログプロパティは、個別のログ属性ではありません。 Dynatraceに転送されるAEM ログにも同じことが適用されます。 これにより、以下を実現できます。

代わりに、アドバンスドモード（DQL）を使用してください。 過去1時間のCDN ログを検索するには：

fetch logs, from: now() - 1h
| filter matchesPhrase(content, "aemcdn")

CDN ログプロパティを解析し、一部を表示するには：

fetch logs, from: now() - 1h
| parse content, "JSON:cdn"
| filter cdn[source] == "aemcdn"
| fields timestamp, cdn[url], cdn[status], cdn[pop], cdn[cache], cdn[aem_tier]

Splunk splunk

kind: "LogForwarding"
version: "1"
data:
  splunk:
    default:
      enabled: true
      host: "splunk-host.example.com"
      token: "${{SPLUNK_TOKEN}}"
      index: "aemaacs"

考慮事項

Sumo Logic sumologic

Sumo Logic をデータ取り込み用に設定すると、ホスト、receiverURI、秘密鍵を単一の文字列で提供する「HTTP ソースアドレス」が表示されます。 例：

https://collectors.de.sumologic.com/receiver/v1/http/ZaVnC...

URL の最後のセクション（先頭の / を除く）をコピーし、上記の設定の節で説明したように、CloudManager 秘密鍵環境変数として追加し、設定でその変数を参照する必要があります。 次に例を示します。

kind: "LogForwarding"
version: "1"
data:
  sumoLogic:
    default:
      enabled: true
      collectorURL: "https://collectors.de.sumologic.com/receiver/v1/http"
      privateKey: "${{SUMOLOGIC_PRIVATE_KEY}}"
      index: "aem-logs"

Amazon S3、Dynatrace、New RelicのCDN ログ（ベータ版） cdn-opt-in

Amazon S3、Dynatrace、New RelicへのCDN ログ転送はベータ版です。 これらの宛先へのAEM ログ（Apache/Dispatcherを含む）の転送は影響を受けず、リクエストは必要ありません。

CDN ログをいずれかの宛先に転送するには、両方の手順を実行します。

両方の手順が必要です。

cdn ブロックは、資格情報を含むdefault ブロックから他のすべてのプロパティを継承するため、enabled: trueは追加する必要がある唯一のプロパティです。

kind: "LogForwarding"
version: "1"
data:
  newRelic:
    default:
      enabled: true
      uri: "https://log-api.newrelic.com/log/v1"
      apiKey: "${{NR_API_KEY}}"
    cdn:
      enabled: true

アクセス権を持つプログラムの場合、設定は次のように機能します。

他の宛先と同様に、cdn ブロックで設定されたプロパティは、defaultの値を上書きします。 CDN ログのみを転送するには、最終行と同様にaem.enabled: falseを設定します。

CDN ログの転送を停止するには、cdn.enabled: falseを設定し、設定パイプラインを実行します。 その宛先へのCDN ログ転送は、設定がデプロイされたときに停止します。 AEMのログは影響を受けません。

CDN ログを有効にする前に、追加ボリュームを推定します。 DynatraceやNew Relicなど、取り込んだボリュームで請求されるベンダーのログは、AEM ログと同じようにCDN ログに課金されます。

ベータ版に関するフィードバックを提供するには、aemcs-logforwarding-beta@adobe.comにメールを送信してください。

ログエントリ形式 log-formats

各ログタイプ（CDN ログ、Apache／Dispatcher を含む AEM ログ）の形式について詳しくは、AEM as a Cloud Service のログを参照してください。 一部のログ宛先では、CDN ログエントリのプロパティを追加または変更します。例えば、New Relicの場合はtimestampの形式を指定します。 宛先🔗をログに記録して、CDN ログエントリを参照してください。

複数のプログラムや環境からのログが同じログの宛先に転送される場合があるので、ログの記事で説明されている出力に加えて、各ログエントリには次のプロパティが含まれます。

例えば、プロパティには次の値を含めることができます。

aem_env_id: 1242
aem_env_type: dev
aem_program_id: 12314
aem_tier: author

従来のログ転送からの移行 legacy-migration

ログ転送の設定がセルフサービスモデルを通じて実現される前は、お客様がサポートチケットを開くようリクエストされ、アドビが統合を開始していました。

アドビによってそのように設定されたお客様は、ご都合のよいときにセルフサービスモデルに移行できます。 この移行を行う理由がいくつかあります。

移行の準備が整ったら、前の節で説明したように YAML ファイルを設定するだけです。 Cloud Manager 設定パイプラインを使用して、設定を適用する必要がある各環境にデプロイします。

すべての環境に設定をデプロイし、セルフサービスで制御できるようにすることをお勧めしますが、必須ではありません。 そうしないと、アドビが設定した環境とセルフサービスで設定した環境を区別できなくなる場合があります。