Registro de solicitudes de AWS KMS que utilizan un punto de conexión de VPC

AWS CloudTrail registra todas las operaciones que utilizan el punto de conexión de VPC. Cuando una solicitud a AWS KMS utiliza un punto de conexión de VPC, el ID de este aparece en la entrada de registro de AWS CloudTrail que registra la solicitud. Puede utilizar el ID del punto de conexión para auditar el uso del punto de conexión de VPC de AWS KMS.

Sin embargo, los registros de CloudTrail no incluyen operaciones solicitadas por entidades principales en otras cuentas o solicitudes de operaciones de AWS KMS en claves KMS y alias en otras cuentas. Además, para proteger su VPC, las solicitudes que son denegadas por una política de puntos de conexión de la VPC, pero de lo contrario se habría permitido, no se registran en AWS CloudTrail.

Por ejemplo, esta entrada de registro de ejemplo registra una solicitud GenerateDataKey que ha utilizado el punto de conexión de VPC. El campo vpcEndpointId aparece al final de la entrada de log.

{
  "eventVersion":"1.05",
  "userIdentity": {
    "type": "IAMUser",
    "principalId": "EX_PRINCIPAL_ID",
    "arn": "arn:aws:iam::111122223333:user/Alice",
    "accessKeyId": "EXAMPLE_KEY_ID",
    "accountId": "111122223333",
    "userName": "Alice"
  },
  "eventTime":"2018-01-16T05:46:57Z",
  "eventSource":"kms.amazonaws.com",
  "eventName":"GenerateDataKey",
  "awsRegion":"eu-west-1",
  "sourceIPAddress":"172.01.01.001",
  "userAgent":"aws-cli/1.14.23 Python/2.7.12 Linux/4.9.75-25.55.amzn1.x86_64 botocore/1.8.27",
  "requestParameters":{
    "keyId":"1234abcd-12ab-34cd-56ef-1234567890ab",
    "numberOfBytes":128
  },
  "responseElements":null,
  "requestID":"a9fff0bf-fa80-11e7-a13c-afcabff2f04c",
  "eventID":"77274901-88bc-4e3f-9bb6-acf1c16f6a7c",
  "readOnly":true,
  "resources":[{
    "ARN":"arn:aws:kms:eu-west-1:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab",
    "accountId":"111122223333",
    "type":"AWS::KMS::Key"
  }],
  "eventType":"AwsApiCall",
  "recipientAccountId":"111122223333",
  "vpcEndpointId": "vpce-1234abcdf5678c90a"
}