Aktivierung der Amazon CloudWatch Logs-Protokollweiterleitung für AWS Managed Microsoft AD

Sie können entweder die AWS Directory Service Konsole verwenden oder APIs um die Sicherheitsereignisprotokolle des Domain-Controllers an Amazon CloudWatch Logs für Ihr AWS verwaltetes Microsoft AD weiterzuleiten. Dies hilft Ihnen, Ihre Anforderungen an die Richtlinien für die Sicherheitsüberwachung, -prüfung und -aufbewahrung von Protokollen zu erfüllen, indem die Transparenz der Sicherheitsereignisse in Ihrem Verzeichnis gewährleistet wird.

CloudWatch Protokolle können diese Ereignisse auch an andere AWS Konten, AWS Dienste oder Anwendungen von Drittanbietern weiterleiten. Dies erleichtert Ihnen die zentrale Überwachung und Konfiguration von Warnungen, um ungewöhnliche Aktivitäten nahezu in Echtzeit zu erkennen und proaktiv darauf zu reagieren.

Nach der Aktivierung können Sie die CloudWatch Logs-Konsole verwenden, um die Daten aus der Protokollgruppe abzurufen, die Sie bei der Aktivierung des Dienstes angegeben haben. Diese Protokollgruppe enthält die Sicherheitsprotokolle aus Ihren Domain-Controllern.

Weitere Informationen zu Protokollgruppen und zum Lesen ihrer Daten finden Sie unter Arbeiten mit Protokollgruppen und Protokollströmen im Amazon CloudWatch Logs-Benutzerhandbuch.

Verwenden von AWS Management Console , um die Amazon CloudWatch Logs-Protokollweiterleitung zu aktivieren

Sie können die Amazon CloudWatch Logs-Protokollweiterleitung für Ihr AWS Managed Microsoft AD in der aktivieren AWS Management Console.

Verwenden der CLI oder PowerShell um die Amazon CloudWatch Logs-Protokollweiterleitung zu aktivieren

Bevor Sie den ds create-log-subscriptionBefehl verwenden können, müssen Sie zunächst eine CloudWatch Amazon-Protokollgruppe und dann eine IAM-Ressourcenrichtlinie erstellen, die dieser Gruppe die erforderlichen Berechtigungen erteilt. Gehen Sie wie folgt vor PowerShell, um die Protokollweiterleitung mit der CLI oder zu aktivieren.

Schritt 1: Erstellen Sie eine Protokollgruppe in CloudWatch Logs

Erstellen Sie eine Protokollgruppe, die Sicherheitsprotokolle von Ihren Domain-Controllern erhält. Wir empfehlen, dem Namen /aws/directoryservice/ voranzustellen, dies ist jedoch nicht erforderlich. Zum Beispiel:

aws logs create-log-group --log-group-name '/aws/directoryservice/d-1111111111'

Anweisungen zum Erstellen einer CloudWatch Logs-Gruppe finden Sie unter Erstellen einer Protokollgruppe in CloudWatch Logs im Amazon CloudWatch Logs-Benutzerhandbuch.

Schritt 2: Erstellen Sie eine CloudWatch Logs-Ressourcenrichtlinie in IAM

Erstellen Sie eine CloudWatch Protokoll-Ressourcenrichtlinie, die AWS Directory Service Rechte zum Hinzufügen von Protokollen zu der neuen Protokollgruppe gewährt, die Sie in Schritt 1 erstellt haben. Sie können entweder den genauen ARN für die Protokollgruppe angeben, um den Zugriff von AWS Directory Service auf andere Protokollgruppen einzuschränken, oder einen Platzhalter verwenden, um alle Protokollgruppen einzuschließen. Die folgende Beispielrichtlinie verwendet die Platzhaltermethode, um zu ermitteln, dass alle Protokollgruppen, die mit /aws/directoryservice/ dem AWS Konto beginnen, in dem sich Ihr Verzeichnis befindet, eingeschlossen werden.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "ds.amazonaws.com"
            },
            "Action": [
                "logs:CreateLogStream",
                "logs:PutLogEvents"
            ],
            "Resource": "arn:aws:logs:YOUR_REGION:YOUR_ACCOUNT_NUMBER:log-group:/aws/directoryservice/*"
        }
    ]
}

Sie müssen diese Richtlinie in einer Textdatei (z. B. DSPolicy .json) auf Ihrer lokalen Workstation speichern, da Sie sie über die CLI ausführen müssen. Zum Beispiel:

aws logs put-resource-policy --policy-name DSLogSubscription --policy-document
          file://DSPolicy.json

Schritt 3: Erstellen Sie ein AWS Directory Service Protokollabonnement

In diesem letzten Schritt können Sie nun die Protokollweiterleitung aktivieren, indem Sie das Protokollabonnement erstellen. Zum Beispiel:

aws ds create-log-subscription --directory-id 'd-1111111111' --log-group-name '/aws/directoryservice/d-1111111111'