Tutorial: Überwachen Sie wichtige Änderungen an Ihrer Organisation mit Amazon EventBridge

Melden Sie sich an AWS als Administrator des Verwaltungskontos der Organisation und öffnen Sie dann die CloudTrail Konsole unterhttps://console.aws.amazon.com/cloudtrail/.

Wählen Sie in der Navigationsleiste in der oberen rechten Ecke der Konsole die Region USA Ost (Nord-Virginia) aus. Wenn Sie eine andere Region wählen, AWS Organizations erscheint nicht als Option in den EventBridge Amazon-Konfigurationseinstellungen und erfasst CloudTrail keine Informationen über AWS Organizations.

Wählen Sie im Navigationsbereich Trails aus.

Wählen Sie Create Trail (Trail erstellen) aus.

Geben Sie für Trail name (Trail-Name) den Namen My-Test-Trail ein.

Wählen Sie eine der folgenden Optionen aus, um anzugeben, wohin CloudTrail die Logs geliefert werden sollen:

Wählen Sie Weiter.

Wählen Sie auf der Seite Choose log events (Protokollereignisse auswählen) im Abschnitt Management events (Verwaltungsereignisse) die Optionen Read (Lesen) und Write (Schreiben) aus.

Wählen Sie Weiter.

Prüfen Sie Ihre Auswahlen und wählen Sie dann Create trail (Trail erstellen).

Öffnen Sie AWS Lambda Konsole bei. https://console.aws.amazon.com/lambda/

Wenn Sie Lambda zum ersten Mal verwenden, wählen Sie auf der Willkommensseite Get Started Now (Erste Schritte); wählen Sie andernfalls Create function (Funktion erstellen) aus.

Wählen Sie auf der Seite Create function (Funktion erstellen) die Option Use a blueprint (Blueprint verwenden) aus.

Geben Sie im Suchfeld Blueprints den Suchbegriff hello für den Filter ein und wählen Sie den Blueprint hello-world aus.

Wählen Sie Konfigurieren aus.

Führen Sie auf der Seite Basic information (Grundlegende Informationen) folgende Schritte aus:

1. Geben Sie für den Lambda-Funktionsnamen den Namen LogOrganizationEvents in das Textfeld Name ein.

2. Wählen Sie unter Role (Rolle) die Option Create a new role with basic Lambda permissions (Eine neue Rolle mit den grundlegenden Lambda-Berechtigungen erstellen) aus. Diese Rolle gewährt Ihrer Lambda-Funktion die Berechtigung für den Zugriff auf die erforderlichen Daten zum Schreiben des Ausgabeprotokolls.

Bearbeiten Sie den Code für die Lambda-Funktion wie im folgenden Beispiel:

console.log('Loading function');

exports.handler = async (event, context) => {
    console.log('LogOrganizationsEvents');
    console.log('Received event:', JSON.stringify(event, null, 2));
    return event.key1;  // Echo back the first key value
    // throw new Error('Something went wrong');
};

Dieser Beispielcode protokolliert das Ereignis mit einer LogOrganizationEvents Markierungszeichenfolge, gefolgt von der JSON Zeichenfolge, aus der das Ereignis besteht.

Wählen Sie Funktion erstellen aus.

Öffnen Sie die SNS Amazon-Konsole unterhttps://console.aws.amazon.com/sns/v3/.

Wählen Sie im Navigationsbereich Topics (Themen) aus.

Wählen Sie Create new topic (Neues Thema erstellen).

1. Geben Sie in das Feld Topic name (Themenname) den Namen OrganizationsCloudWatchTopic.

2. Geben Sie unter Display name (Anzeigename) OrgsCWEvnt ein.

3. Wählen Sie Thema erstellen aus.

Jetzt können Sie einen Abonnementen für das Thema erstellen. Wählen Sie das ARN für das Thema aus, das Sie gerade erstellt haben.

Wählen Sie Create subscription (Abonnement erstellen) aus.

1. Wählen Sie auf der Seite Create subscription unter Protocol Email aus.

2. Geben Sie unter Endpunkt Ihre E-Mail-Adresse ein.

3. Wählen Sie Create subscription (Abonnement erstellen) aus. AWS sendet eine E-Mail an die E-Mail-Adresse, die Sie im vorherigen Schritt angegeben haben. Warten Sie, bis die E-Mail ankommt und wählen Sie dann den Link Confirm subscription darin aus, um den erfolgreichen Erhalt der E-Mail zu bestätigen.

4. Kehren Sie zur Konsole zurück und aktualisieren Sie die Seite. Die Nachricht Pending confirmation wird ausgeblendet und durch die nun gültige Abonnement-ID ersetzt.

Öffnen Sie die EventBridge Amazon-Konsole unterhttps://console.aws.amazon.com/events/.

Stellen Sie die Konsole auf die Region USA Ost (Nord-Virginia) ein, da sonst keine Informationen zu Organizations verfügbar sind. Wählen Sie in der Navigationsleiste in der oberen rechten Ecke der Konsole die Region USA Ost (Nord-Virginia) aus.

Anweisungen zum Erstellen von Regeln finden Sie unter Erste Schritte mit Amazon EventBridge im EventBridge Amazon-Benutzerhandbuch.

Öffnen Sie die CloudWatch Konsole unterhttps://console.aws.amazon.com/cloudwatch/.

Wählen Sie auf der Navigationsseite Logs (Protokolle).

Wählen Sie unter Protokollgruppen die Gruppe aus, die Ihrer Lambda-Funktion zugeordnet ist: LogOrganizationEvents/aws/lambda/.

Jede Gruppe enthält mindestens einen Stream. Außerdem sollte eine Gruppe für heute vorhanden sein. Wählen Sie diese aus.

Zeigen Sie das Protokoll an. Es sollten Zeilen angezeigt werden, die den folgenden ähneln:

Wählen Sie die mittlere Zeile des Eintrags aus, um den vollständigen Text des empfangenen Ereignisses zu sehen. JSON Sie können alle Details der API Anfrage in den responseElements Teilen requestParameters und in der Ausgabe sehen.

2017-03-09T22:45:05.101Z 0999eb20-051a-11e7-a426-cddb46425f16 Received event:
{
    "version": "0",
    "id": "123456-EXAMPLE-GUID-123456",
    "detail-type": "AWS API Call via CloudTrail",
    "source": "aws.organizations",
    "account": "123456789012",
    "time": "2017-03-09T22:44:26Z",
    "region": "us-east-1",
    "resources": [],
    "detail": {
        "eventVersion": "1.04",
        "userIdentity": {
            ...
        },
        "eventTime": "2017-03-09T22:44:26Z",
        "eventSource": "organizations.amazonaws.com",
        "eventName": "CreateOrganizationalUnit",
        "awsRegion": "us-east-1",
        "sourceIPAddress": "192.168.0.1",
        "userAgent": "AWS Organizations Console, aws-internal/3",
        "requestParameters": {
            "parentId": "r-exampleRootId",
            "name": "TestCWEOU"
        },
        "responseElements": {
            "organizationalUnit": {
                "name": "TestCWEOU",
                "id": "ou-exampleRootId-exampleOUId",
                "arn": "arn:aws:organizations::1234567789012:ou/o-exampleOrgId/ou-exampleRootId-exampeOUId"
            }
        },
        "requestID": "123456-EXAMPLE-GUID-123456",
        "eventID": "123456-EXAMPLE-GUID-123456",
        "eventType": "AwsApiCall"
    }
}

Suchen Sie in Ihrem E-Mail-Konto nach einer Nachricht von O rgsCWEvnt (dem Anzeigenamen Ihres SNS Amazon-Themas). Der Text der E-Mail enthält dieselbe JSON Textausgabe wie der Protokolleintrag, der im vorherigen Schritt angezeigt wurde.

Verwenden Sie die CloudTrail Konsole, um den Pfad mit dem Namen zu löschenMy-Test-Trail, den Sie in Schritt 1 erstellt haben.

Wenn Sie in Schritt 1 einen Amazon-S3-Bucket erstellt haben, verwenden Sie zum Löschen die Amazon-S3-Konsole.

Verwenden Sie die Lambda-Konsole unter zum Löschen der Funktion namens LogOrganizationEvents, die Sie in Schritt 2 erstellt haben.

Verwenden Sie die SNSAmazon-Konsole, um das SNS Amazon-Thema mit dem Namen zu löschenOrganizationsCloudWatchTopic, das Sie in Schritt 3 erstellt haben.

Verwenden Sie die CloudWatch Konsole, um die EventBridge Regel mit dem Namen zu löschenOrgsMonitorRule, die Sie in Schritt 4 erstellt haben.

Verwenden Sie abschließnd die Organizations-Konsole zum Löschen der Organisationseinheit mit dem Namen TestCWEOU, die Sie in Schritt 5 erstellt haben.