Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Erstellen eines Trails für eine Organisation mit dem AWS CLI

Sie können mit der AWS CLI einen Organisations-Trail erstellen. Das AWS CLI wird regelmäßig mit zusätzlichen Funktionen und Befehlen aktualisiert. Um den Erfolg sicherzustellen, stellen Sie sicher, dass Sie eine aktuelle Version installiert oder auf eine aktuelle AWS CLI Version aktualisiert haben, bevor Sie beginnen.

Erstellen oder Aktualisieren eines Amazon-S3-Buckets zum Speichern der Protokolldateien für einen Organisations-Trail

Sie müssen einen Amazon-S3-Bucket für den Empfang der Protokolldateien für einen Organisationstrail angeben. Dieser Bucket muss über eine Richtlinie verfügen, die es CloudTrail ermöglicht, die Protokolldateien für die Organisation in den Bucket zu übernehmen.

Im Folgenden finden Sie eine Beispielrichtlinie für einen Amazon S3 S3-Bucket mit dem Namenamzn-s3-demo-bucket, der dem Verwaltungskonto der Organisation gehört. Ersetzen Sie amzn-s3-demo-bucketregion,managementAccountID,trailName, und o-organizationID durch die Werte für Ihre Organisation

Diese Bucket-Richtlinie besteht aus drei Anweisungen:

Die Beispielrichtlinie enthält einen aws:SourceArn-Bedingungsschlüssel für die Richtlinie von Amazon-S3-Bucket. Der IAM globale Bedingungsschlüssel aws:SourceArn trägt dazu bei, dass nur für einen oder mehrere bestimmte Pfade in den S3-Bucket CloudTrail geschrieben wird. In einem Organisations-Trail aws:SourceArn muss der Wert von ein Trail seinARN, der dem Verwaltungskonto gehört und die Verwaltungskonto-ID verwendet.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AWSCloudTrailAclCheck20150319",
            "Effect": "Allow",
            "Principal": {
                "Service": [
                    "cloudtrail.amazonaws.com"
                ]
            },
            "Action": "s3:GetBucketAcl",
            "Resource": "arn:aws:s3:::amzn-s3-demo-bucket",
            "Condition": {
                "StringEquals": {
                    "aws:SourceArn": "arn:aws:cloudtrail:region:managementAccountID:trail/trailName"
                }
            }
        },
        {
            "Sid": "AWSCloudTrailWrite20150319",
            "Effect": "Allow",
            "Principal": {
                "Service": [
                    "cloudtrail.amazonaws.com"
                ]
            },
            "Action": "s3:PutObject",
            "Resource": "arn:aws:s3:::amzn-s3-demo-bucket/AWSLogs/managementAccountID/*",
            "Condition": {
                "StringEquals": {
                    "s3:x-amz-acl": "bucket-owner-full-control",
                    "aws:SourceArn": "arn:aws:cloudtrail:region:managementAccountID:trail/trailName"
                }
            }
        },
        {
            "Sid": "AWSCloudTrailOrganizationWrite20150319",
            "Effect": "Allow",
            "Principal": {
                "Service": [
                    "cloudtrail.amazonaws.com"
                ]
            },
            "Action": "s3:PutObject",
            "Resource": "arn:aws:s3:::amzn-s3-demo-bucket/AWSLogs/o-organizationID/*",
            "Condition": {
                "StringEquals": {
                    "s3:x-amz-acl": "bucket-owner-full-control",
                    "aws:SourceArn": "arn:aws:cloudtrail:region:managementAccountID:trail/trailName"
                }
            }
        }
    ]
}

Diese Beispielrichtlinie sieht nicht vor, dass beliebige Benutzer über Mitgliedskonten auf die für die Organisation erstellten Protokolldateien zugreifen können. Standardmäßig ist der Zugriff auf die Protokolldateien der Organisation nur über das Verwaltungskonto möglich. Informationen darüber, wie Sie IAM Benutzern mit Mitgliedskonten Lesezugriff auf den Amazon S3 S3-Bucket gewähren, finden Sie unter CloudTrail Protokolldateien zwischen AWS Konten teilen.

Aktivierung CloudTrail als vertrauenswürdiger Dienst in AWS Organizations

Sie müssen zunächst in Organizations alle Funktionen aktivieren, bevor Sie einen Organisations-Trail erstellen können. Weitere Informationen finden Sie unter Aktivieren aller Funktionen in der Organisation. Alternativ führen Sie anhand eines Profils mit ausreichenden Berechtigungen im Verwaltungskonto den folgenden Befehl aus:

aws organizations enable-all-features

Nachdem Sie alle Funktionen aktiviert haben, müssen Sie Organizations so konfigurieren, dass es sich um einen vertrauenswürdigen Dienst handelt. CloudTrail

Um die vertrauenswürdige Dienstbeziehung zwischen AWS Organizations und herzustellen CloudTrail, öffnen Sie ein Terminal oder eine Befehlszeile und verwenden Sie ein Profil im Verwaltungskonto. Führen Sie den Befehl aws organizations enable-aws-service-access wie im folgenden Beispiel beschrieben aus.

aws organizations enable-aws-service-access --service-principal cloudtrail.amazonaws.com

Verwendung von „create-trail”

Erstellen eines für alle Regionen geltenden Organisations-Trails

Zum Erstellen eines für alle Regionen geltenden Organisations-Trails verwenden Sie die Optionen --is-organization-trail und --is-multi-region-trail.

Im folgenden Beispiel wird ein Organisations-Trail angelegt, der Protokolle aus allen Regionen an einen vorhandenen Bucket mit dem Namen amzn-s3-demo-bucket übermittelt:

aws cloudtrail create-trail --name my-trail --s3-bucket-name amzn-s3-demo-bucket --is-organization-trail --is-multi-region-trail

Die Parameter IsOrganizationTrail und IsMultiRegionTrail in der Ausgabe sind auf true festgelegt, um zu bestätigen, dass Ihr Trail in allen Regionen vorhanden ist:

{
    "IncludeGlobalServiceEvents": true, 
    "Name": "my-trail", 
    "TrailARN": "arn:aws:cloudtrail:us-east-2:123456789012:trail/my-trail", 
    "LogFileValidationEnabled": false, 
    "IsMultiRegionTrail": true, 
    "IsOrganizationTrail": true,
    "S3BucketName": "amzn-s3-demo-bucket"
}

Erstellen eines Organisations-Trails als Trail für eine einzelne Region

Mit dem folgenden Befehl wird ein Organisationspfad erstellt, der nur Ereignisse in einem einzigen Pfad protokolliert AWS-Region, der auch als Einzelregionspfad bezeichnet wird. Die AWS Region, in der Ereignisse protokolliert werden, ist die Region, die im Konfigurationsprofil für angegeben ist. AWS CLI

aws cloudtrail create-trail --name my-trail --s3-bucket-name amzn-s3-demo-bucket --is-organization-trail

Weitere Informationen finden Sie unter Benennungsanforderungen für CloudTrail Ressourcen, S3-Buckets und Schlüssel KMS.

Beispielausgabe:

{
    "IncludeGlobalServiceEvents": true, 
    "Name": "my-trail", 
    "TrailARN": "arn:aws:cloudtrail:us-east-2:123456789012:trail/my-trail", 
    "LogFileValidationEnabled": false,
    "IsMultiRegionTrail": false,
    "IsOrganizationTrail": true,
    "S3BucketName": "amzn-s3-demo-bucket"
}

Standardmäßig erstellt der Befehl create-trail einen Trail für eine einzelne Region, der die Validierung von Protokolldateien nicht aktiviert.

update-trail ausführen, um einen Organisations-Trail zu aktualisieren

Sie können mit dem Befehl update-trail die Konfigurationseinstellungen eines Organisations-Trails ändern oder einen vorhandenen Trail für ein einzelnes AWS -Konto auf eine gesamte Organisation anwenden. Beachten Sie, dass Sie den Befehl update-trail nur in der Region ausführen können, in der der Trail erstellt wurde.

Anwenden eines vorhandenen Trails auf eine Organisation

Um ein vorhandenes Protokoll so zu ändern, dass es auch für eine Organisation und nicht für ein einzelnes AWS Konto gilt, fügen Sie die --is-organization-trail Option hinzu, wie im folgenden Beispiel gezeigt.

aws cloudtrail update-trail --name my-trail --is-organization-trail

Um zu bestätigen, dass der Trail jetzt für die Organisation gilt, hat der IsOrganizationTrail-Parameter in der Ausgabe den Wert true.

{
    "IncludeGlobalServiceEvents": true, 
    "Name": "my-trail", 
    "TrailARN": "arn:aws:cloudtrail:us-east-2:123456789012:trail/my-trail", 
    "LogFileValidationEnabled": false, 
    "IsMultiRegionTrail": true, 
    "IsOrganizationTrail": true, 
    "S3BucketName": "amzn-s3-demo-bucket"
}

Im vorherigen Beispiel wurde der Trail so konfiguriert, dass er für alle Regionen gilt ("IsMultiRegionTrail": true). Ein Trail, der nur für eine einzelne Region gilt, würde in der Ausgabe den Wert "IsMultiRegionTrail": false anzeigen.

Umwandeln eines für eine Region geltenden Organisations-Trails, damit er für alle Regionen gilt

Um einen vorhandenen Organisations-Trail so zu ändern, dass er für alle Regionen gilt, fügen Sie die Option --is-multi-region-trail wie im folgenden Beispiel gezeigt hinzu.

aws cloudtrail update-trail --name my-trail --is-multi-region-trail

Um zu bestätigen, dass der Trail jetzt für alle Regionen gilt, hat der IsMultiRegionTrail-Parameter in der Ausgabe den Wert true.

{
    "IncludeGlobalServiceEvents": true, 
    "Name": "my-trail", 
    "TrailARN": "arn:aws:cloudtrail:us-east-2:123456789012:trail/my-trail", 
    "LogFileValidationEnabled": false, 
    "IsMultiRegionTrail": true, 
    "IsOrganizationTrail": true,
    "S3BucketName": "amzn-s3-demo-bucket"
}