日志转发 log-forwarding

如果客户拥有带日志记录供应商的许可证或托管日志记录产品，则可以将AEM日志（包括Apache/Dispatcher）和CDN日志转发到关联的日志记录目标。 AEM as a Cloud Service支持以下日志记录目标：

[1] CDN日志转发到Amazon S3、Dynatrace和New Relic的功能处于测试阶段。 若要请求访问，请使用您的项目ID向aemcs-logforwarding-beta@adobe.com发送电子邮件。 启用访问后，您还可以为具有cdn.enabled: true的每个目标打开CDN日志。 查看Amazon S3、Dynatrace和New Relic （测试版）的CDN日志。

日志转发以自助方式配置，方法是在Git中声明配置，并且可以通过Cloud Manager配置管道部署到开发、暂存和生产环境类型。 可以使用调用命令行工具将配置文件部署到快速开发环境（RDE）。

AEM和Apache/Dispatcher日志可以选择通过AEM的高级网络基础架构（如专用出口IP）进行路由。 CDN日志始终直接从CDN发送，不使用高级联网。 请参阅传输和高级网络。

本文的结构 how-organized

本文按以下方式组织：

设置 setup

配置中的令牌（如${{SPLUNK_TOKEN}}）表示不应存储在Git中的密钥。 请将其声明为Cloud Manager 机密环境变量。 确保选择​ 全部 ​作为“已应用服务”字段的下拉列表值，以便可以将日志转发到作者、发布和预览层。

通过在​ default ​块后添加额外的​ cdn ​和/或​ aem ​块，可以设置CDN日志和AEM日志（包括Apache/Dispatcher）之间的不同值，其中属性可以覆盖​ default ​块中定义的属性；只需要启用的属性。 一个可能的用例可能是对CDN日志使用不同的Splunk索引，如下面的示例所示。

   kind: "LogForwarding"
   version: "1"
   data:
     splunk:
       default:
         enabled: true
         host: "splunk-host.example.com"
         token: "${{SPLUNK_TOKEN}}"
         index: "AEMaaCS"
       cdn:
         enabled: true
         token: "${{SPLUNK_TOKEN_CDN}}"
         index: "AEMaaCS_CDN"

另一种方法是禁用CDN日志或AEM日志（包括Apache/Dispatcher）的转发。 例如，要仅转发CDN日志，可以配置以下内容：

   kind: "LogForwarding"
   version: "1"
   data:
     splunk:
       default:
         enabled: true
         host: "splunk-host.example.com"
         token: "${{SPLUNK_TOKEN}}"
         index: "AEMaaCS"
       aem:
         enabled: false

传输和高级网络 transport-advancednetworking

有些组织选择限制日志记录目标可以接收哪些流量，而有些组织则可能需要使用HTTPS (443)以外的端口。 如果是，则在部署日志转发配置之前，需要配置高级网络。

根据您是否使用端口443以及是否需要从固定IP地址显示日志，使用下表查看高级联网和日志配置的要求。 该表适用于AEM日志（包括Apache/Dispatcher）。 有关CDN日志，请参阅CDN日志和IP允许列表。

对于AEM日志（包括Apache/Dispatcher），如果您已配置高级网络，则可以使用aem.advancedNetworking属性从专用出口IP地址转发它们。

以下示例说明如何使用高级联网在标准HTTPS端口上配置日志记录。

kind: "LogForwarding"
version: "1"
data:
  splunk:
    default:
      enabled: true
      host: "splunk-host.example.com"
      port: 443
      token: "${{SPLUNK_TOKEN}}"
      index: "aemaacs"
    aem:
      advancedNetworking: true

CDN日志和IP允许列表 cdn-ip-allowlist

CDN日志直接从CDN (Fastly)发送，而不是从AEM as a Cloud Service发送。 这适用于每个日志记录目标：

如果共享IP地址列表太大而无法列入允许列表，请考虑将CDN日志发送到https服务器或（非Adobe）Azure Blob存储区，其中可以写入逻辑以将已知IP的日志发送到其最终目标。

双向TLS (mTLS)身份验证（测试版） mtls

Splunk、Elasticsearch/OpenSearch和HTTPS目标支持双向TLS (mTLS)。 通过使用mTLS，AEM as a Cloud Service在连接到您的日志记录目标时提供客户端证书，以便目标可以验证日志是否来自您的环境。 mTLS适用于AEM日志（包括Apache/Dispatcher）和CDN日志。

mTLS可与目标的现有身份验证配合使用。 保留目标的现有身份验证属性，如token (Splunk)或user和password (Elasticsearch/OpenSearch)。 对于转发CDN日志的HTTPS目标，authHeaderName和authHeaderValue是必需的。

配置 mtls-configuration

将mtls块与目标的其他属性一起添加：

以下示例使用mTLS将AEM和CDN日志转发给Splunk：

kind: "LogForwarding"
version: "1"
data:
  splunk:
    default:
      enabled: true
      host: "splunk-host.example.com"
      token: "${{SPLUNK_TOKEN}}"
      index: "aemaacs"
      mtls:
        cert: "${{SPLUNK_MTLS_CERT}}"
        key: "${{SPLUNK_MTLS_KEY}}"
        ca: "${{SPLUNK_MTLS_CA}}"

以下规则适用：

支持的关键格式 mtls-key-formats

键的PEM文本的第一行显示其格式：

对于加密密钥，也将keyPasswd设置为其密码。

建议对加密密钥使用加密的PKCS#8。 要转换旧格式的密钥，请使用以下命令，该命令要求输入当前密码，然后输入新密钥的密码：

openssl pkcs8 -topk8 -v2 aes-256-cbc -in client.key -out client-pkcs8.key

将client-pkcs8.key的内容存储在key引用的密码中，并将其密码存储在keyPasswd引用的密码中。

CDN日志 mtls-cdn

与其他属性一样，default下的mtls块同时适用于AEM日志和CDN日志。 若要对CDN日志使用其他证书，请在cdn块中设置mtls属性。 若要仅将mTLS用于AEM日志或仅用于CDN日志，请将mtls块放在aem或cdn块中，而不是default。

在部署可启用CDN日志转发到目标的配置后，可能需要几分钟才能到达第一个CDN日志。 对于HTTPS目标，只有在服务器完成HTTPS中描述的一次性质询后，CDN日志投放才会启动。 质询请求随同一客户端证书一起发送，因此您的服务器也必须接受质询路径上的该证书。

证书轮换和到期 mtls-rotation

要轮换证书，请更新包含证书的Cloud Manager机密环境变量（如果密钥已更改，则更新密钥），然后重新运行配置管道。 如果日志转发配置文件本身未更改，则也需对其进行更改，以便再次应用配置。 例如，将新值存储在新的机密环境变量中，并在mtls块中引用这些名称。

您还可能在客户端证书过期前21天收到主动操作中心通知。 自行跟踪证书到期日期，而不是依赖此通知。

记录目标配置 logging-destinations

下面列出了受支持的日志记录目标的配置以及任何特定注意事项。

Amazon S3 amazons3

Amazon S3的CDN日志处于测试阶段。 若要请求访问，请使用您的项目ID向aemcs-logforwarding-beta@adobe.com发送电子邮件。 请参阅Amazon S3、Dynatrace和New Relic （测试版）的CDN日志以了解如何启用它们，并参阅Amazon S3 CDN日志以了解文件布局和注意事项。

kind: "LogForwarding"
version: "1"
data:
  awsS3:
    default:
      enabled: true
      region: "your-bucket-region"
      bucket: "your-bucket-name"
      accessKey: "${{AWS_S3_ACCESS_KEY}}"
      secretAccessKey: "${{AWS_S3_SECRET_ACCESS_KEY}}"

要转发AEM日志和CDN日志（测试版中的CDN日志），请执行以下操作：

kind: "LogForwarding"
version: "1"
data:
  awsS3:
    default:
      enabled: true
      region: "us-east-1"
      bucket: "your-bucket-name"
      accessKey: "${{AWS_S3_ACCESS_KEY}}"
      secretAccessKey: "${{AWS_S3_SECRET_ACCESS_KEY}}"
    cdn:
      enabled: true

要仅转发CDN日志（测试版），请执行以下操作：

kind: "LogForwarding"
version: "1"
data:
  awsS3:
    default:
      enabled: true
      region: "us-east-1"
      bucket: "your-bucket-name"
      accessKey: "${{AWS_S3_ACCESS_KEY}}"
      secretAccessKey: "${{AWS_S3_SECRET_ACCESS_KEY}}"
    aem:
      enabled: false
    cdn:
      enabled: true

要使用S3日志转发器，您需要为AWS IAM用户预配置用于访问S3存储段的适当策略。 有关如何创建IAM用户凭据的信息，请参阅AWS IAM用户文档。

IAM策略应允许用户使用s3:PutObject。 要转发CDN日志（测试版），还允许s3:AbortMultipartUpload。 不需要其他权限：用户不需要读取或列出存储段。 例如：

{
    "Version": "2012-10-17",
    "Statement": [{
        "Effect": "Allow",
        "Action": [
            "s3:PutObject",
            "s3:AbortMultipartUpload"
        ],
        "Resource": "arn:aws:s3:::your-bucket-name/*"
    }]
}

如果存储段仅接收CDN日志，则您可以将Resource限制为arn:aws:s3:::your-bucket-name/aemcdn/*。

有关如何实施的更多信息，请参阅AWS存储段策略文档。

Amazon S3 CDN日志（测试版） amazons3-cdn

Amazon S3的CDN日志处于测试阶段。 他们需要访问您的项目和cdn.enabled: true。 查看Amazon S3、Dynatrace和New Relic （测试版）的CDN日志。

CDN日志写入存储段的aemcdn/文件夹下。 文件名格式为YYYY-MM-DDThh:mm:ss.000-<uniqueid>.log.gz。 例如：

aemcdn/
   2026-03-04T10:00:00.000-WnFWYN9BpOUs2aOVn4ee.log.gz
   2026-03-04T10:00:00.000-0pX8ub2yQcAmLs7rT1kd.log.gz
   2026-03-04T10:05:00.000-h3JkVv9ZqN2wE5sXyR0a.log.gz

客户负责处理和管理这些文件，例如，使用前缀为aemcdn/的S3生命周期规则。

CDN日志的注意事项（测试版）：

Azure Blob存储 azureblob

kind: "LogForwarding"
version: "1"
data:
  azureBlob:
    default:
      enabled: true
      storageAccountName: "example_acc"
      container: "aem_logs"
      sasToken: "${{AZURE_BLOB_SAS_TOKEN}}

SAS令牌应该用于身份验证。 它应该从共享访问签名页面而不是共享访问令牌页面创建，并且应该使用以下设置进行配置：

以下是SAS令牌配置示例屏幕截图：

如果日志在之前正常工作后停止传递，请检查您配置的SAS令牌是否仍然有效，因为它可能已过期。

Azure Blob Storage CDN日志 azureblob-cdn

每个全局分布式日志服务器每隔几秒会在aemcdn文件夹下生成一个新文件。 创建后，该文件将不再附加到。 文件名格式为YYYY-MM-DDThhss.sss-uniqueid.log。 例如，2024-03-04T10:00:00.000-WnFWYN9BpOUs2aOVn4ee.log。

例如，在某个时间点：

aemcdn/
   2024-03-04T10:00:00.000-abc.log
   2024-03-04T10:00:00.000-def.log

30秒后：

aemcdn/
   2024-03-04T10:00:00.000-abc.log
   2024-03-04T10:00:00.000-def.log
   2024-03-04T10:00:30.000-ghi.log
   2024-03-04T10:00:30.000-jkl.log
   2024-03-04T10:00:30.000-mno.log

每个文件都包含多个json日志条目，每个条目位于一行中。 日志条目格式在AEM as a Cloud Service日志记录下描述，每个日志条目还包括以下日志条目格式部分中提到的其他属性。

Azure Blob Storage AEM日志 azureblob-aem

AEM日志（包括Apache/Dispatcher）显示在具有以下命名约定的文件夹下方：

在每个文件夹下，将创建一个文件并将其附加到。 客户负责处理和管理此文件，以免它变得太大。

请参阅AEM as a Cloud Service的日志记录下的日志条目格式。 日志条目还将包括以下日志条目格式部分中提到的其他属性。

Datadog datadog

kind: "LogForwarding"
version: "1"
data:
  datadog:
    default:
      enabled: true
      host: "http-intake.logs.datadoghq.eu"
      token: "${{DATADOG_API_KEY}}"
      tags:
         tag1: value1
         tag2: value2

注意事项

Elasticsearch和OpenSearch elastic

kind: "LogForwarding"
version: "1"
data:
  elasticsearch:
    default:
      enabled: true
      host: "example.com"
      user: "${{ELASTICSEARCH_USER}}"
      password: "${{ELASTICSEARCH_PASSWORD}}"
      pipeline: "ingest pipeline name"

注意事项

def envType = ctx.aem_env_type != null ? ctx.aem_env_type : 'unknown';
def sourceType = ctx._index;
def date = new SimpleDateFormat('dd_MM_yyyy').format(new Date());
ctx._index = sourceType + "_" + envType + "_" + date;

HTTPS https

kind: "LogForwarding"
version: "1"
data:
  https:
    default:
      enabled: true
      url: "https://example.com/aem_logs/aem"
      authHeaderName: "X-AEMaaCS-Log-Forwarding-Token"
      authHeaderValue: "${{HTTPS_LOG_FORWARDING_TOKEN}}"

注意事项

HTTPS CDN日志 https-cdn

Web请求(POST)将使用json有效负载连续发送，该有效负载是一个日志条目数组，日志条目格式在AEM as a Cloud Service日志记录下描述。 下面的日志条目格式部分中提及了其他属性。

还有一个名为sourcetype的属性，该属性设置为值aemcdn。

HTTPS AEM日志 https-aem

对于AEM日志（包括apache/dispacher），将连续发送Web请求(POST)，JSON有效负载为日志条目数组，其日志条目格式多种多样，如AEM as a Cloud Service日志记录中所述。 下面的日志条目格式部分中提及了其他属性。

还有一个名为Source-Type的属性，该属性设置为以下值之一：

New Relic日志API newrelic-https

日志转发到New Relic可利用New Relic HTTPS日志API进行摄取。 New Relic的CDN日志处于测试阶段。 若要请求访问，请使用您的项目ID向aemcs-logforwarding-beta@adobe.com发送电子邮件。 请参阅Amazon S3、Dynatrace和New Relic （测试版）的CDN日志以了解如何启用它们。

  kind: "LogForwarding"
  version: "1"
  data:
    newRelic:
      default:
        enabled: true
        uri: "https://log-api.newrelic.com/log/v1"
        apiKey: "${{NR_API_KEY}}"

要转发AEM日志和CDN日志（测试版中的CDN日志），请执行以下操作：

  kind: "LogForwarding"
  version: "1"
  data:
    newRelic:
      default:
        enabled: true
        uri: "https://log-api.newrelic.com/log/v1"
        apiKey: "${{NR_API_KEY}}"
      cdn:
        enabled: true

要仅转发CDN日志（测试版），请执行以下操作：

  kind: "LogForwarding"
  version: "1"
  data:
    newRelic:
      default:
        enabled: true
        uri: "https://log-api.newrelic.com/log/v1"
        apiKey: "${{NR_API_KEY}}"
      aem:
        enabled: false
      cdn:
        enabled: true

注意事项

Dynatrace日志API dynatrace-https

将日志转发到Dynatrace会利用Dynatrace HTTPS API进行摄取。 Dynatrace的CDN日志处于测试阶段。 若要请求访问，请使用您的项目ID向aemcs-logforwarding-beta@adobe.com发送电子邮件。 请参阅Amazon S3、Dynatrace和New Relic （测试版）的CDN日志以了解如何启用它们。

令牌需要​引入日志 (logs.ingest)作用域。 相同的令牌用于AEM日志和CDN日志。

  kind: "LogForwarding"
  version: "1"
  data:
    dynatrace:
      default:
        enabled: true
        environmentId: "${{DYNATRACE_ENVID}}"
        token: "${{DYNATRACE_TOKEN}}"

要转发AEM日志和CDN日志（测试版中的CDN日志），请执行以下操作：

  kind: "LogForwarding"
  version: "1"
  data:
    dynatrace:
      default:
        enabled: true
        environmentId: "${{DYNATRACE_ENVID}}"
        token: "${{DYNATRACE_TOKEN}}"
      cdn:
        enabled: true

要仅转发CDN日志（测试版），请执行以下操作：

  kind: "LogForwarding"
  version: "1"
  data:
    dynatrace:
      default:
        enabled: true
        environmentId: "${{DYNATRACE_ENVID}}"
        token: "${{DYNATRACE_TOKEN}}"
      aem:
        enabled: false
      cdn:
        enabled: true

注意事项

在Dynatrace（测试版）中查找CDN日志 dynatrace-cdn

Dynatrace将每个CDN日志条目作为JSON文本存储在日志记录的content中，并将该条目的timestamp用作记录时间。 CDN日志属性（如source、url和status）不是单独的日志属性。 这同样适用于转发到Dynatrace的AEM日志。 因此：

请改用高级模式(DQL)。 要查找过去一小时的CDN日志，请执行以下操作：

fetch logs, from: now() - 1h
| filter matchesPhrase(content, "aemcdn")

要分析CDN日志属性并显示其中的一些属性，请执行以下操作：

fetch logs, from: now() - 1h
| parse content, "JSON:cdn"
| filter cdn[source] == "aemcdn"
| fields timestamp, cdn[url], cdn[status], cdn[pop], cdn[cache], cdn[aem_tier]

Splunk splunk

kind: "LogForwarding"
version: "1"
data:
  splunk:
    default:
      enabled: true
      host: "splunk-host.example.com"
      token: "${{SPLUNK_TOKEN}}"
      index: "aemaacs"

注意事项

Sumo逻辑 sumologic

在配置Sumo Logic进行数据摄取时，您会看到“HTTP Source地址”，该地址在单个字符串中提供主机、接收者URI和私钥。 例如：

https://collectors.de.sumologic.com/receiver/v1/http/ZaVnC...

您需要复制URL的最后一个部分（前面没有/）并将其添加为CloudManager机密环境变量，如上面设置部分中所述，然后在您的配置中引用该变量。 下面提供了一个示例。

kind: "LogForwarding"
version: "1"
data:
  sumoLogic:
    default:
      enabled: true
      collectorURL: "https://collectors.de.sumologic.com/receiver/v1/http"
      privateKey: "${{SUMOLOGIC_PRIVATE_KEY}}"
      index: "aem-logs"

Amazon S3、Dynatrace和New Relic的CDN日志（测试版） cdn-opt-in

转发到Amazon S3、Dynatrace和New Relic的CDN日志处于测试阶段。 将AEM日志（包括Apache/Dispatcher）转发到这些目标不会受到影响，并且不需要请求。

要将CDN日志转发到以下目标之一，请完成以下两个步骤：

这两个步骤都是必需的：

cdn块继承了default块中的所有其他属性，包括凭据，因此enabled: true是您需要添加的唯一属性：

kind: "LogForwarding"
version: "1"
data:
  newRelic:
    default:
      enabled: true
      uri: "https://log-api.newrelic.com/log/v1"
      apiKey: "${{NR_API_KEY}}"
    cdn:
      enabled: true

对于具有访问权限的程序，配置的工作方式如下：

与其他目标一样，cdn块中设置的属性会覆盖default中的值。 要仅转发CDN日志，请设置aem.enabled: false，如最后一行所示。

要停止转发CDN日志，请设置cdn.enabled: false并运行配置管道。 部署配置时，发送到该目标的CDN日志转发将停止。 AEM日志不受影响。

在启用CDN日志之前，请估计额外的卷。 按摄取量计费的日志供应商（如Dynatrace和New Relic）对CDN日志的计费方式与AEM日志相同。

若要提供测试版的反馈，请发送电子邮件至aemcs-logforwarding-beta@adobe.com。

日志条目格式 log-formats

有关每种日志类型（CDN日志和包括Apache/Dispatcher的AEM as a Cloud Service日志）的格式，请参阅日志记录。 某些日志记录目标会在CDN日志条目中添加或更改属性，例如New Relic的timestamp格式。 通过记录目标🔗查看CDN日志条目。

由于来自多个程序和环境的日志可能会转发到同一日志记录目标，因此除了日志记录文章中所述的输出之外，每个日志条目中还将包含以下属性：

例如，属性可能具有以下值：

aem_env_id: 1242
aem_env_type: dev
aem_program_id: 12314
aem_tier: author

从旧版日志转发迁移 legacy-migration

在通过自助模型实现日志转发配置之前，已请求客户打开支持工单，Adobe将在其中启动集成。

欢迎已由Adobe以这种方式设置的客户在方便时改用自助模式。 进行此过渡有几个原因：

准备迁移时，只需按照前几节所述配置YAML文件即可。 使用Cloud Manager配置管道部署到应应用配置的每个环境。

建议将配置部署到所有环境，以便所有环境都处于自助控制状态，但不是必需的。 如果没有，您可能会忘记哪些环境已由Adobe配置，哪些是自助式配置的。