Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Aktivieren Sie die Amazon CloudWatch Logs-Protokollweiterleitung für AWS Managed Microsoft AD

Sie können entweder die AWS Directory Service Konsole verwenden oder APIs um die Sicherheitsereignisprotokolle des Domain-Controllers an Amazon CloudWatch Logs für Ihr AWS verwaltetes Microsoft AD weiterzuleiten. Dies hilft Ihnen, Ihre Anforderungen an die Richtlinien für die Sicherheitsüberwachung, -prüfung und -aufbewahrung von Protokollen zu erfüllen, indem die Transparenz der Sicherheitsereignisse in Ihrem Verzeichnis gewährleistet wird.

CloudWatch Protokolle können diese Ereignisse auch an andere AWS Konten, AWS Dienste oder Anwendungen von Drittanbietern weiterleiten. Dies erleichtert Ihnen die zentrale Überwachung und Konfiguration von Warnungen, um ungewöhnliche Aktivitäten nahezu in Echtzeit zu erkennen und proaktiv darauf zu reagieren.

Nach der Aktivierung können Sie die CloudWatch Logs-Konsole verwenden, um die Daten aus der Protokollgruppe abzurufen, die Sie bei der Aktivierung des Dienstes angegeben haben. Diese Protokollgruppe enthält die Sicherheitsprotokolle aus Ihren Domain-Controllern.

Weitere Informationen zu Protokollgruppen und zum Lesen ihrer Daten finden Sie unter Arbeiten mit Protokollgruppen und Protokollströmen im Amazon CloudWatch Logs-Benutzerhandbuch.

Verwenden von AWS Management Console , um die Amazon CloudWatch Logs-Protokollweiterleitung zu aktivieren

Sie können die Amazon CloudWatch Logs-Protokollweiterleitung für Ihr AWS Managed Microsoft AD in der aktivieren AWS Management Console.

Verwenden von CLI oder PowerShell , um die Amazon CloudWatch Logs-Protokollweiterleitung für AWS Managed Microsoft AD zu aktivieren

Bevor Sie den ds create-log-subscriptionBefehl verwenden können, müssen Sie zunächst eine CloudWatch Amazon-Protokollgruppe und dann eine IAM Ressourcenrichtlinie erstellen, die dieser Gruppe die erforderlichen Berechtigungen erteilt. Gehen Sie wie folgt vor PowerShell, um die Protokollweiterleitung mithilfe von CLI oder zu aktivieren.

Schritt 1: Erstellen Sie eine Protokollgruppe in CloudWatch Logs

Erstellen Sie eine Protokollgruppe, die Sicherheitsprotokolle von Ihren Domain-Controllern erhält. Wir empfehlen, dem Namen /aws/directoryservice/ voranzustellen, dies ist jedoch nicht erforderlich. Beispielsweise:

Beispiel für einen CLI Befehl

aws logs create-log-group --log-group-name '/aws/directoryservice/d-1111111111'

Beispiel für einen PowerShell Befehl

New-CWLLogGroup -LogGroupName '/aws/directoryservice/d-1111111111'

Anweisungen zum Erstellen einer CloudWatch Logs-Gruppe finden Sie unter Erstellen einer Protokollgruppe in CloudWatch Logs im Amazon CloudWatch Logs-Benutzerhandbuch.

Schritt 2: Erstellen Sie eine CloudWatch Logs-Ressourcenrichtlinie in IAM

Erstellen Sie eine CloudWatch Protokoll-Ressourcenrichtlinie, die AWS Directory Service Rechte zum Hinzufügen von Protokollen zu der neuen Protokollgruppe gewährt, die Sie in Schritt 1 erstellt haben. Sie können entweder den genauen ARN Wert für die Protokollgruppe angeben, um den Zugriff auf andere Protokollgruppen zu beschränken AWS Directory Service, oder einen Platzhalter verwenden, um alle Protokollgruppen einzubeziehen. Die folgende Beispielrichtlinie verwendet die Platzhaltermethode, um zu ermitteln, dass alle Protokollgruppen, die mit /aws/directoryservice/ dem AWS Konto beginnen, in dem sich Ihr Verzeichnis befindet, eingeschlossen werden.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "ds.amazonaws.com"
            },
            "Action": [
                "logs:CreateLogStream",
                "logs:PutLogEvents"
            ],
            "Resource": "arn:aws:logs:YOUR_REGION:YOUR_ACCOUNT_NUMBER:log-group:/aws/directoryservice/*"
        }
    ]
}

Sie müssen diese Richtlinie in einer Textdatei (z. B. DSPolicy .json) auf Ihrer lokalen Workstation speichern, da Sie sie von der aus ausführen müssen. CLI Beispielsweise:

Beispiel für CLI einen Befehl

aws logs put-resource-policy --policy-name DSLogSubscription --policy-document
          file://DSPolicy.json

Beispiel für einen PowerShell Befehl

$PolicyDocument = Get-Content .\DSPolicy.json –Raw

Write-CWLResourcePolicy -PolicyName DSLogSubscription -PolicyDocument $PolicyDocument

Schritt 3: Erstellen Sie ein AWS Directory Service Protokollabonnement

In diesem letzten Schritt können Sie nun die Protokollweiterleitung aktivieren, indem Sie das Protokollabonnement erstellen. Beispielsweise:

Beispiel für einen CLI Befehl

aws ds create-log-subscription --directory-id 'd-1111111111' --log-group-name '/aws/directoryservice/d-1111111111'

Beispiel für einen PowerShell Befehl

New-DSLogSubscription -DirectoryId 'd-1111111111' -LogGroupName '/aws/directoryservice/d-1111111111'