CloudTrail Struktur der Digest-Datei

Jede Digest-Datei enthält die Namen der Protokolldateien, die während der letzten Stunde an den Amazon-S3-Bucket übermittelt wurden, die Hashwerte für diese Protokolldateien und die digitalen Signaturen der vorherigen Digest-Datei. Die Signatur für die aktuelle Digest-Datei ist in den Metadateneigenschaften des Digest-Dateiobjekts gespeichert. Die digitalen Signaturen und Hashwerte werden zur Validierung der Integrität der Protokolldateien und der Digest-Datei selbst verwendet.

Speicherort von Digest-Dateien

Digest-Dateien werden an einen Amazon-S3-Bucket-Speicherort übermittelt, der dieser Syntax folgt.

s3://amzn-s3-demo-bucket/optional-prefix/AWSLogs/aws-account-id/CloudTrail-Digest/
    region/digest-end-year/digest-end-month/digest-end-date/
    aws-account-id_CloudTrail-Digest_region_trail-name_region_digest_end_timestamp.json.gz

s3://amzn-s3-demo-bucket/optional-prefix/AWSLogs/O-ID/aws-account-id/CloudTrail-Digest/
    region/digest-end-year/digest-end-month/digest-end-date/
    aws-account-id_CloudTrail-Digest_region_trail-name_region_digest_end_timestamp.json.gz

Inhalt von Digest-Beispieldateien

Die folgende Beispiel-Digest-Datei enthält Informationen für ein CloudTrail Protokoll.

{
  "awsAccountId": "111122223333",
  "digestStartTime": "2015-08-17T14:01:31Z",
  "digestEndTime": "2015-08-17T15:01:31Z",
  "digestS3Bucket": "amzn-s3-demo-bucket",
  "digestS3Object": "AWSLogs/111122223333/CloudTrail-Digest/us-east-2/2015/08/17/111122223333_CloudTrail-Digest_us-east-2_your-trail-name_us-east-2_20150817T150131Z.json.gz",
  "digestPublicKeyFingerprint": "31e8b5433410dfb61a9dc45cc65b22ff",
  "digestSignatureAlgorithm": "SHA256withRSA",
  "newestEventTime": "2015-08-17T14:52:27Z",
  "oldestEventTime": "2015-08-17T14:42:27Z",
  "previousDigestS3Bucket": "amzn-s3-demo-bucket",
  "previousDigestS3Object": "AWSLogs/111122223333/CloudTrail-Digest/us-east-2/2015/08/17/111122223333_CloudTrail-Digest_us-east-2_your-trail-name_us-east-2_20150817T140131Z.json.gz",
  "previousDigestHashValue": "97fb791cf91ffc440d274f8190dbdd9aa09c34432aba82739df18b6d3c13df2d",
  "previousDigestHashAlgorithm": "SHA-256",
  "previousDigestSignature": "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",
  "logFiles": [
    {
      "s3Bucket": "amzn-s3-demo-bucket",
      "s3Object": "AWSLogs/111122223333/CloudTrail/us-east-2/2015/08/17/111122223333_CloudTrail_us-east-2_20150817T1445Z_9nYN7gp2eWAJHIfT.json.gz",
      "hashValue": "9bb6196fc6b84d6f075a56548feca262bd99ba3c2de41b618e5b6e22c1fc71f6",
      "hashAlgorithm": "SHA-256",
      "newestEventTime": "2015-08-17T14:52:27Z",
      "oldestEventTime": "2015-08-17T14:42:27Z"
    }
  ]
}

Beschreibungen der Felder in Digest-Dateien

Im Folgenden sind Beschreibungen für die einzelnen Felder in der Digest-Datei aufgeführt:

Digest-Startdatei

Beim Start der Integritätsvalidierung von Protokolldateien wird eine Digest-Startdatei erstellt. Eine Digest-Startdatei wird ebenfalls erstellt, wenn die Integritätsvalidierung von Protokolldateien erneut gestartet wird (wenn entweder die Integritätsvalidierung von Protokolldateien deaktiviert und anschließend erneut aktiviert wird oder wenn die Protokollierung beendet und anschließend erneut gestartet wird, wobei die Validierung aktiviert ist). In einer Digest-Startdatei sind die folgenden Felder mit Bezug auf die vorherige Digest-Datei leer:

„Leere“ Digest-Dateien

CloudTrail stellt eine Übersichtsdatei bereit, auch wenn in Ihrem Konto während des Zeitraums von einer Stunde, für den die Übersichtsdatei steht, keine API Aktivität stattgefunden hat. Dies kann nützlich sein, wenn Sie sicherstellen müssen, dass während der in der Digest-Datei dargestellten Stunde keine Protokolldateien übermittelt wurden.

Das folgende Beispiel zeigt den Inhalt einer Digest-Datei, in der eine Stunde aufgezeichnet wurde, in der keine API Aktivität stattfand. Beachten Sie, dass das Feld logFiles:[ ] am Ende der Digest-Datei leer ist.

{
  "awsAccountId": "111122223333",
  "digestStartTime": "2015-08-20T17:01:31Z",
  "digestEndTime": "2015-08-20T18:01:31Z",
  "digestS3Bucket": "amzn-s3-demo-bucket",
  "digestS3Object": "AWSLogs/111122223333/CloudTrail-Digest/us-east-2/2015/08/20/111122223333_CloudTrail-Digest_us-east-2_example-trail-name_us-east-2_20150820T180131Z.json.gz",
  "digestPublicKeyFingerprint": "31e8b5433410dfb61a9dc45cc65b22ff",
  "digestSignatureAlgorithm": "SHA256withRSA",
  "newestEventTime": null,
  "oldestEventTime": null,
  "previousDigestS3Bucket": "amzn-s3-demo-bucket",
  "previousDigestS3Object": "AWSLogs/111122223333/CloudTrail-Digest/us-east-2/2015/08/20/111122223333_CloudTrail-Digest_us-east-2_example-trail-name_us-east-2_20150820T170131Z.json.gz",
  "previousDigestHashValue": "ed96c4bac9eaa8fe9716ca0e515da51938be651b1db31d781956416a9d05cdfa",
  "previousDigestHashAlgorithm": "SHA-256",
  "previousDigestSignature": "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",
  "logFiles": []
}

Signatur der Digest-Datei

Die Signaturinformationen für eine Digest-Datei befinden sich in zwei Objektmetadaten-Eigenschaften des Amazon-S3-Digest-Dateiobjekts. Jede Digest-Datei weist die folgenden Metadateneinträge auf:

Verkettung von Digest-Dateien

Die Tatsache, dass jede Digest-Datei einen Verweis auf ihre vorherige Digest-Datei enthält, ermöglicht eine „Verkettung“, die es Validierungstools wie der ermöglicht, AWS CLI zu erkennen, ob eine Digest-Datei gelöscht wurde. Außerdem ermöglicht diese Tatsache eine sukzessive Prüfung der Digest-Dateien in einem angegebenen Zeitraum, beginnend mit der aktuellen Datei.

Wenn die S3-Bucket-Richtlinie Ihres Trails falsch konfiguriert ist oder es zu CloudTrail einer unerwarteten Dienstunterbrechung kommt, erhalten Sie möglicherweise nicht alle oder einige Digest-Dateien. Führen Sie den get-trail-statusBefehl aus und überprüfen Sie den LatestDigestDeliveryError Parameter auf Fehler, um zu überprüfen, ob Ihr Trail Fehler bei der Übermittlung der Digests aufweist. Sobald das Zustellungsproblem behoben ist (z. B. durch Korrektur der Bucket-Richtlinie), CloudTrail wird versucht, alle fehlenden Digest-Dateien erneut zuzustellen. Während des Zeitraums für die erneute Zustellung werden die Digest-Dateien möglicherweise nicht in der richtigen Reihenfolge zugestellt, sodass die Kette vorübergehend unterbrochen zu sein scheint.

Wenn die Protokollierung gestoppt oder der Trail gelöscht wird, CloudTrail wird eine endgültige Übersichtsdatei geliefert. Diese Digest-Datei kann Informationen für alle verbleibenden Protokolldateien enthalten, die Ereignisse bis einschließlich des Ereignisses StopLogging abdecken.