CloudFront のアクセスログが S3 に出てない時に対処したことをまとめる

タダです.

CloudFront でアクセスログを設定しているのに S3 にログがない...? って思ったことありませんか？自分はあります.ログがないと調査や分析ができなくなってしまって手詰まりになるってことにもなるため,そんな時に対処したことをまとめていきます.

S3 バケットの暗号化がカスタマーキーで行われている場合はキーポリシーを更新する
バケットの ACL に awslogsdelivery のアクセス許可を追加する
まとめ

S3 バケットの暗号化がカスタマーキーで行われている場合はキーポリシーを更新する

アクセスログを出力するバケットで,暗号化をカスタマーキーで行っている場合は KMS のキーポリシーを更新します.具体的には以下のポリシーを追加します.これで暗号化されたバケットに対し CloudFront はログファイルをバケットに書き込むことができます.

{
    "Sid": "Allow CloudFront to use the key to deliver logs",
    "Effect": "Allow",
    "Principal": {
        "Service": "delivery.logs.amazonaws.com"
    },
    "Action": [
        "kms:GenerateDataKey*",
        "kms:Decrypt"
    ],
    "Resource": "*"
}