VPC、子网和 ENI 级别的流日志

您可以在三个层级启用流日志：整个 VPC、单个子网或一个弹性网络接口（ENI）。所选层级决定捕获多少流量，以及可见性集中在哪里。选择合适的范围，可以在覆盖范围、数据量和成本之间取得平衡。

VPC 级别的流日志会捕获该 VPC 中每个子网内所有网络接口的流量，包括之后创建的接口。这种方式覆盖范围最广，也最易于管理，因为一项配置就可以覆盖整个 VPC。它通常是实现全面安全监控的选择。

子网级别的流日志会捕获一个子网内所有接口的流量。当您希望对敏感层（例如数据库子网）获取更多详细信息，但不想记录整个 VPC 时，这种方式非常有用。它可以减少数据量，同时保留对该网络区段的完整可见性。

ENI 级别的流日志针对单个网络接口，只捕获该资源的流量。这是范围最集中的方式，适合深入监控特定的高价值实例，或在调查中隔离某个工作负载的连接。

不同层级不会相互覆盖，而是共存。VPC 级流日志会在新接口出现时自动将其纳入记录。如果希望同时获得广泛覆盖，并在某个区域使用针对性更强的自定义格式，也可以在 VPC 流日志之上叠加更详细的子网级或 ENI 级流日志。

要实现完整的安全可见性，VPC 级别的流日志是最稳妥的默认选择，因为它不会遗漏任何网络接口，包括设置完成后创建的接口。子网级和 ENI 级范围是用于进一步聚焦的附加工具，而不是广泛覆盖的替代方案。当目标是“监控所有流量”时，考试更倾向于选择 VPC 级别。

流日志的数据量会影响成本和存储需求。如果您只需要查看某个流量繁杂或敏感的层，使用子网级或 ENI 级流日志所捕获的数据会远少于记录整个 VPC。当预算或日志数据量受到限制时，缩小范围就是最有效的调整手段。

每个流日志都可以拥有自己的目标位置和格式。例如，您可以将默认格式的 VPC 级日志发送到 S3 进行归档，同时让数据库层的子网级日志使用丰富的自定义格式，并流式传送到 CloudWatch 以实现实时告警。混合使用不同范围，可以精确调整可见性。

在多账户环境中，您无法一次性为整个组织启用流日志，但可以通过 AWS Config 规则或 Control Tower 防护机制强制执行，并标记任何缺少流日志的 VPC。这样可以确保每个账户都达到可见性基线，而不是依赖各团队自行记住这项配置。

要发布到 CloudWatch Logs，流日志需要一个IAM 角色，授予其写入日志组的权限。要发布到 S3，存储桶策略必须允许流日志传送服务执行写入操作。正确配置这些权限是设置过程中常见的易错点，因为缺少角色会导致传送静默失败。

一种稳健的方案是：将 VPC 级日志发送到 S3，以低成本实现完整归档；同时，将您最关注的层对应的子网级或 ENI 级日志发送到 CloudWatch。这样既能获得完整的历史记录，又能在关键位置快速告警，同时控制大量数据带来的成本。

测试您对流日志范围的掌握程度。

流日志可以限定在 VPC、子网或单个 ENI 范围内，并且这些范围可以共存。VPC 级别可以覆盖所有流量，包括未来创建的网络接口，是实现完整可见性的默认选择；子网级和 ENI 级范围可以减少数据量，并聚焦于敏感层。每个日志都有自己的目标位置和格式，传送日志还需要正确配置IAM/存储桶权限。