同じ S3 バケットにプレフィックスを指定して複数の NLB アクセスログを設定する際に、「その名前のバケットを既に所有しています。」 のエラーなったときの対処方法。

困っていた内容

２つの NLB を所有しており、どちらも同様の S3 バケットにそれぞれのプレフィックスを指定して、 NLB アクセスログを有効にしたいです。

NLB アクセスログの設定で、１つ目の NLB のアクセスログの有効化は成功しましたが、２つ目の NLB のアクセスログを設定する際、 プレフィックスを含む S3 バケットを指定して「この場所を作成する」をクリックしましたが、「その名前のバケットを既に所有しています。」のエラーが発生しました。 対処方法を教えてください。

対象 NLB

• NLB-DEV
• NLB-STG

エラーが発生した時の画面

どう対応すればいいの？

２つ目の NLB アクセスログを有効化する際、「この場所を作成する」をクリックすると、S3バケットは １つ目の NLB アクセスログを有効化する際に、 既に作成されているので、違うプレフィックスを指定してもエラーが発生します。

エラーを対処するためには、S3 のバケットポリシーを編集する必要がございます。

１つ目の NLB アクセスログを有効化する際に作成された S3バケットのバケットポリシーのリソースは以下 [1] となっておりますので、 既に存在しているプレフィックスのみ指定されております。
そのため、以下 [2] に変更する必要がございます。

[1] 変更前

"Resource": "arn:aws:s3:::nlb-log-blog/dev-test/AWSLogs/[アカウントID]/*"

[2] 変更後

"Resource": [
     "arn:aws:s3:::nlb-log-blog/dev-test/AWSLogs/[アカウントID]/*",
     "arn:aws:s3:::nlb-log-blog/stg-test/AWSLogs/[アカウントID]/*"
]

[2] に変更後、２つ目のNLBアクセスログ有効化の設定で「この場所の作成」をクリックせずに保存すると、 S3 バケットに２つ目のプレフィックスフォルダーが作成されます。

やってみた

変更前のバケットポリシー

{
    "Version": "2012-10-17",
    "Id": "AWSConsole-AccessLogs-Policy-1631232504909",
    "Statement": [
        {
            "Sid": "AWSConsoleStmt-1631232504909",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::[アカウントID]:root"
            },
            "Action": "s3:PutObject",
            "Resource": "arn:aws:s3:::nlb-log-blog/dev-test/AWSLogs/[アカウントID]/*"
        },
        {
            "Sid": "AWSLogDeliveryWrite",
            "Effect": "Allow",
            "Principal": {
                "Service": "delivery.logs.amazonaws.com"
            },
            "Action": "s3:PutObject",
            "Resource": "arn:aws:s3:::nlb-log-blog/dev-test/AWSLogs/[アカウントID]/*",
            "Condition": {
                "StringEquals": {
                    "s3:x-amz-acl": "bucket-owner-full-control"
                }
            }
        },
        {
            "Sid": "AWSLogDeliveryAclCheck",
            "Effect": "Allow",
            "Principal": {
                "Service": "delivery.logs.amazonaws.com"
            },
            "Action": "s3:GetBucketAcl",
            "Resource": "arn:aws:s3:::nlb-log-blog"
        }
    ]
}

変更後のバケットポリシー

{
    "Version": "2012-10-17",
    "Id": "AWSConsole-AccessLogs-Policy-1631232504909",
    "Statement": [
        {
            "Sid": "AWSConsoleStmt-1631232504909",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::[アカウントID]:root"
            },
            "Action": "s3:PutObject",
            "Resource": [
                "arn:aws:s3:::nlb-log-blog/dev-test/AWSLogs/[アカウントID]/*",
                "arn:aws:s3:::nlb-log-blog/stg-test/AWSLogs/[アカウントID]/*"
            ]
        },
        {
            "Sid": "AWSLogDeliveryWrite",
            "Effect": "Allow",
            "Principal": {
                "Service": "delivery.logs.amazonaws.com"
            },
            "Action": "s3:PutObject",
            "Resource": [
                "arn:aws:s3:::nlb-log-blog/dev-test/AWSLogs/[アカウントID]/*",
                "arn:aws:s3:::nlb-log-blog/stg-test/AWSLogs/[アカウントID]/*"
            ],
            "Condition": {
                "StringEquals": {
                    "s3:x-amz-acl": "bucket-owner-full-control"
                }
            }
        },
        {
            "Sid": "AWSLogDeliveryAclCheck",
            "Effect": "Allow",
            "Principal": {
                "Service": "delivery.logs.amazonaws.com"
            },
            "Action": "s3:GetBucketAcl",
            "Resource": "arn:aws:s3:::nlb-log-blog"
        }
    ]
}

２つ目の NLBアクセスログ有効化の設定で「この場所の作成」をクリックせずに保存した後、S3バケットに２つ目のプレフィックスフォルダーが作成されます。

参考情報

• Network Load Balancer のアクセスログ - アクセスログファイル
• Network Load Balancer を監視する