既存の VPC フローログ設定を変更できるのでしょうか

「できない」とドキュメントに書いてありました。

#VPC Flow Logs

#AWS CloudFormation

#Amazon VPC

#AWS

大村保貴

2022.03.19

この記事は公開されてから1年以上経過しています。情報が古い可能性がありますので、ご注意ください。

VPC フローログのログレコード形式を変更したいなと思いマネジメントコンソールから確認したところ、設定変更できそうなメニューがありませんでした。そこで既存 VPC フローログの設定変更できるのか調べました。

確認結果

一度設定した VPC フローログの設定は変更できない。
設定変更したければ新規に設定を追加して、既存設定を削除することになる。
VPC フローログのタグは編集可能

ドキュメント確認

フローログの制限の項目に以下の制限事項が記載されていました。設定変更はできないとのこと。

After you create a flow log, you cannot change its configuration or the flow log record format. For example, you can’t associate a different IAM role with the flow log, or add or remove fields in the flow log record. Instead, you can delete the flow log and create a new one with the required configuration.

引用: Logging IP traffic using VPC Flow Logs - Amazon Virtual Private Cloud

すぐに上記文章を見つけられず実際に試したあとに調べ直してたどり着きました。

確認してみた

VPC フローログの設定はマネジメントコンソールから変更できなくても API を使えば変更できるのでは？という素朴な疑問を抱え、 VPC フローログの制限事項を知る前に CloudFormation から設定変更を行ってみた記録です。

検証環境

CloudFormation からログフォーマットの出力形式をデフォルト形式で作成し、その後スタックを更新しカスタム形式に変更してみて挙動を確認します。以前作成した Apatch Parquet形式で保存する CloudFormation テンプレートで試します。

今回の検証で使用したテンプレートは以下に置いてあります。

bigmuramura/cfn-vpcflowlogs-change

初期設定

ログフォーマット未指定でデフォルトのログレコード形式で VPC フローログ設定を作成します。

  VPCFlowLogs:
    Type: "AWS::EC2::FlowLog"
    Properties:
      LogDestinationType: s3
      LogDestination: !GetAtt S3Bucket.Arn
      ResourceType: "VPC"
      ResourceId: !Ref VpcId
      TrafficType: !Ref Filter
      DestinationOptions:
        {
          "FileFormat": "parquet",
          "HiveCompatiblePartitions": true,
          "PerHourPartition": true,
        }

マネジメントコンソールから設定する場合は以下の設定値に該当します。

CloudFormation からスタックを実行し設定が追加されました。

既存のVPCフローログ設定がある状態になりました。準備は完了です。

ログフォーマットの更新

ログフォーマットをカスタム形式で設定できるすべてのログレコードを指定し追加しました。これでスタックの更新をかけてみます。

  VPCFlowLogs:
    Type: "AWS::EC2::FlowLog"
    Properties:
      LogDestinationType: s3
      LogDestination: !GetAtt S3Bucket.Arn
      LogFormat: "${account-id} ${action} ${az-id} ${bytes} ${dstaddr} ${dstport} ${end} ${flow-direction} ${instance-id} ${interface-id} ${log-status} ${packets} ${pkt-dst-aws-service} ${pkt-dstaddr} ${pkt-src-aws-service} ${pkt-srcaddr} ${protocol} ${region} ${srcaddr} ${srcport} ${start} ${sublocation-id} ${sublocation-type} ${subnet-id} ${tcp-flags} ${traffic-path} ${type} ${version} ${vpc-id}"
      ResourceType: "VPC"
      ResourceId: !Ref VpcId
      TrafficType: !Ref Filter
      DestinationOptions:
        {
          "FileFormat": "parquet",
          "HiveCompatiblePartitions": true,
          "PerHourPartition": true,
        }

マネジメントコンソールから設定する場合は以下の設定値に該当します。