Logpush 로 로그를 오래 보관하기R2·S3 비용 구조

도메인 › Analytics (보안 이벤트는 Events 탭)

한 번에 고르는 조회 기간은 30~31일이고, 2026-10-02 부터 모든 플랜이 최소 30일치를 봅니다.

• 분석 화면은 표본?으로 그립니다. 요청 하나하나가 필요하면 Logpush 나 Log Explorer? 를 씁니다.

로그를 묶음(batch) 파일로 만들어 목적지에 올립니다.

• 쓸 수 있는 데이터셋은 켜진 제품마다 다르고, Firewall events 는 계정 단위 작업 하나로 모든 존을 받을 수도 있습니다.
• 2026-09-30 부터 사용량 과금입니다. 계정마다 매달 포함 사용량이 있고 넘는 만큼 GB 단위로 붙습니다.

이 페이지에는 금액을 적지 않습니다. 요금표로, 기존 Enterprise 계약은 갱신 전까지 계약서로 확인합니다.

• 작업 하나는 목적지 하나로 보내니, 두 곳이면 작업을 둘 만듭니다.

존마다 Logpush 작업은 최대 4개라, 목적지를 늘리기 전에 남은 개수부터 봅니다.

• 보내기(Logpush): R2 와 Pipelines 는 «내부 목적지», 그 밖은 «외부 목적지» 요율로 실제 전달한 양을 압축 전 크기로 잽니다.
• 쌓아 두기(저장소): Logpush 와 따로 과금되며, R2 도 저장 용량과 요청 수에 요금이 있습니다.
• 꺼내기(egress): R2 는 Workers, S3 API, r2.dev 로 꺼내도 전송 요금이 없고, S3 같은 곳은 그 클라우드 요금표를 봅니다.

R2 에 다른 유료 서비스를 연결하면 그 요금은 따로 붙습니다.

오래된 로그는 R2 수명 주기 규칙(lifecycle)으로 지우거나 Infrequent Access 등급으로 옮깁니다(읽을 때 처리 요금 별도).

사고를 알아차렸을 때는 분석 화면 보관 기간이 이미 지났을 수 있습니다.

• Logpush 는 지난 로그를 채워 넣지(backfill) 못합니다. 작업이 꺼져 있던 동안의 로그도 같습니다.
• 목적지가 24시간 동안 한 건도 받지 못하면 Cloudflare 가 작업을 끄니, 상태 화면과 알림을 함께 걸어 둡니다.

보관이 필요한 존은 지금 켜고, 저장 비용은 수명 주기 규칙으로 조절합니다.

도메인 › Analytics & Logs › Logpush › Create a Logpush job (계정 단위는 계정의 Logpush)

1. 목적지를 고르고 목적지 정보를 넣습니다.

1. S3, Google Cloud Storage, Azure 는 소유권 확인?으로 목적지에 생긴 확인 파일의 토큰을 넣습니다.
2. 보낼 데이터셋을 고릅니다.
3. 필드와 필터를 고릅니다(다음 절).
4. 저장한 뒤 Health 탭과 알림으로 상태를 확인합니다.

• Ray ID? 는 꼭 넣습니다. 대시보드 이벤트와 로그 한 줄을 잇는 열쇠입니다.
• SecurityAction, SecurityRuleID 는 요청을 끝낸(차단, 챌린지) 룰 하나만 담으니, 기록(Log)만 한 룰까지 보려면 배열 필드 SecurityActions, SecurityRuleIDs 도 고릅니다.
• 헤더는 Custom fields 를 설정해야 RequestHeaders, ResponseHeaders 에 담깁니다.
• 필드는 나중에 더해도 되고, 반영까지 10~15분쯤 걸립니다.

보안 조사용 작업에는 표본을 쓰지 않습니다. 찾는 바로 그 요청이 빠질 수 있습니다.

Firewall events 데이터셋은 Action, RuleID, Source 필드로 필터를 걸지 못합니다.

… › Create a Logpush job › R2 Object Storage (Automatic 또는 Custom)

• Automatic: 데이터셋과 저장 지역만 고르면 끝나 시험이나 빠른 시작에 맞습니다.
• Custom: R2 버킷과 R2 API 토큰을 먼저 만들고 버킷 이름, 경로, 액세스 키를 넣습니다. «Organize logs into daily subfolders» 를 켜면 날짜별 폴더로 쌓입니다.
• 경로 예: cloudflare-logs/http_requests/example.com
• 고급 옵션에서 시간 형식과 표본 비율을 정합니다.

… › Logpush › Health 탭 (Jobs 탭 Job Health (24h) 열의 View Health)

• 상태 지표는 30일치까지 보이고, GraphQL logpushHealthAdaptiveGroups 로도 조회합니다.
• 목적지가 잠깐 안 받으면 쌓아 두고 다시 보내되, 보관 시간을 넘긴 묶음은 버립니다(오류 1201 FlushMaxLag).
• 작업이 꺼질 때 메일을 받으려면 «Failing Logpush Job Disabled» 알림을 겁니다(문서상 Enterprise 플랜 포함).

필터는 AND 로 묶은 조건이 전부 참인 로그만 내보내는 통과 문(pass-through gate)이라, «빼라»는 뜻으로 eq 를 적으면 그 값만 남습니다.

• 빼고 싶은 값은 !eq, !in 같은 부정 연산자로 «남길 조건»을 씁니다. 아래는 국가 코드 ca 만 빼는 예입니다.

{"where": {"key": "ClientCountry", "operator": "!eq", "value": "ca"}}

• 바꾼 설정은 곧바로 반영되지 않으니, 잠시 뒤 목적지에 쌓인 파일로 확인합니다.

1. 소유권 확인을 요청하면 목적지에 확인 파일이 생기고 응답에 그 이름이 옵니다.

POST /client/v4/zones/{zone_id}/logpush/ownership
{"destination_conf": "s3://<버킷>/logs?region=<리전>"}

1. 파일 안의 토큰을 ownership_challenge 에 넣어 작업을 만듭니다.

POST /client/v4/zones/{zone_id}/logpush/jobs
{"dataset": "http_requests", "enabled": true,
 "destination_conf": "s3://<버킷>/logs?region=<리전>",
 "ownership_challenge": "<토큰>",
 "output_options": {…}}

• 계정 단위 데이터셋은 /accounts/{account_id}/logpush/jobs 로 만듭니다. 데이터셋은 만든 뒤 바꿀 수 없습니다.
• destination_conf 를 바꿀 때도 소유권 확인 토큰을 새로 받습니다.
• R2 는 r2://<버킷 경로>/{DATE}?account-id=…&access-key-id=…&secret-access-key=… 처럼 액세스 키를 목적지 문자열에 넣고, Splunk 는 소유권 확인이 없습니다.
• Zero Trust 데이터셋(Access, Gateway, DEX)에는 Zero Trust: PII Read 권한이 더 필요합니다.

목적지 문자열에 비밀 키가 들어가니 문서나 코드 저장소에 그대로 두지 않습니다.

• 목적지를 바꾸면 10~15분 동안은 옛 목적지로도 갈 수 있습니다.
• 묶음 크기는 max_upload_bytes, max_upload_records, max_upload_interval_seconds 로 정합니다(전달 속도가 아니라 파일 크기).

1. Health 탭에서 재시도, 실패, 목적지 연결 가능률(Destination Availability)을 봅니다.
2. 작업 정보의 last_complete(마지막 성공 시각), last_error, error_message 를 확인합니다.
3. 목적지 자격 증명(키, 토큰)이 만료되거나 바뀌었는지, 목적지가 Cloudflare IP 를 막는지 살핍니다.
4. 고친 뒤 대시보드에서 작업을 다시 켭니다(꺼져 있던 동안의 로그는 채워지지 않음).

재시도 간격과 동시 업로드 수는 Cloudflare 가 정하며 바꿀 수 없습니다.

처음 켠 작업은 몇 분 안에 첫 로그가 오고, 요청이 아주 많은 존은 몇 시간 걸리기도 합니다.

• 빠른 조사는 Log Explorer, 장기 보관과 외부 도구 연동은 Logpush 로 나눠 쓰기도 합니다.
• Security Analytics 에서 건 필터는 그대로 Log Explorer 조회로 넘어갑니다.

rfc3339 로 쓰던 작업에 PUT /zones/{zone_id}/logpush/jobs/{job_id} 로 field_names 만 보내면 시간 형식이 API 기본값 unixnano 로 돌아갑니다.

• 고치기 전 GET 으로 지금 값을 받아 두고, 바꿀 항목만 고친 전체 객체를 보냅니다.
• 바꾼 뒤 목적지에 새로 쌓인 파일의 시간 값 모양을 확인합니다.