View a markdown version of this page

Crear un suscriptor con acceso a las consultas en Security Lake - Amazon Security Lake
Configurar el uso compartido de tablas entre cuentas (paso de suscriptor)

Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

Crear un suscriptor con acceso a las consultas en Security Lake

Elige el método que prefieras para crear un suscriptor con acceso a las consultas en la versión actual Región de AWS. Un suscriptor solo puede consultar los datos en los Región de AWS que se creó. Para crear un suscriptor, necesitarás tener el Cuenta de AWS ID y el ID externo del suscriptor. El ID externo es un identificador único que te proporciona el suscriptor. Para obtener más información sobre los ID externos, consulte Cómo usar un ID externo para conceder acceso a sus AWS recursos a un tercero en la Guía del usuario de IAM.

nota

Security Lake no admite la versión 1 del uso compartido de datos entre cuentas de Lake Formation. Debe actualizar a la versión 2 o 3 del uso compartido de datos entre cuentas de Lake Formation. Para ver los pasos para actualizar la configuración de la versión multicuenta a través de la AWS Lake Formation consola o la AWS CLI, consulte Para habilitar la nueva versión en la Guía para AWS Lake Formation desarrolladores.

Console

  1. Abra la consola de Security Lake en https://console.aws.amazon.com/securitylake/.

    Inicie sesión en la cuenta de administrador delegado.

  2. Con el Región de AWS selector de la esquina superior derecha de la página, seleccione la región en la que desea crear el suscriptor.

  3. En el panel de navegación izquierdo, elija Suscriptores.

  4. En la página Suscriptores, selecciona Crear suscriptor.

  5. Para ver los detalles del suscriptor, introduce un nombre de suscriptor y una descripción opcional.

    La región se rellena automáticamente según la selección actual Región de AWS y no se puede modificar.

  6. En el caso de las fuentes de registros y eventos, elija las fuentes que desea que Security Lake incluya al devolver los resultados de las consultas.

  7. En el método de acceso a los datos, elija Lake Formation para crear un acceso de consulta para el suscriptor.

  8. Para las credenciales del suscriptor, proporcione el Cuenta de AWS ID del suscriptor y el ID externo.

  9. (Opcional) En el caso de las etiquetas, introduce hasta 50 etiquetas para asignárselas al suscriptor.

    Una etiqueta es una etiqueta que se puede definir y asignar a determinados tipos de AWS recursos. Cada etiqueta consta de una clave de etiqueta necesaria y un valor de etiqueta opcional. Las etiquetas pueden ayudarlo a identificar, clasificar y administrar los recursos de diferentes maneras. Para obtener más información, consulte Etiquetado de los recursos de Security Lake.

  10. Seleccione Crear.

API

Para crear un suscriptor con acceso a las consultas mediante programación, utilice el CreateSubscriber funcionamiento de la API de Security Lake. Si usa AWS Command Line Interface (AWS CLI), ejecute el comando https://awscli.amazonaws.com/v2/documentation/api/latest/reference/securitylake/create-subscriber.html create-subscriber.

En tu solicitud, usa estos parámetros para especificar los siguientes ajustes para el suscriptor:

  • En accessTypes, especifique LAKEFORMATION.

  • Para sources ello, especifique cada fuente que desee que Security Lake incluya al devolver los resultados de la consulta.

  • ParasubscriberIdentity, especifique la AWS identidad y el identificador externo que utiliza el suscriptor para consultar los datos de origen.

El siguiente ejemplo crea un suscriptor con acceso de consulta en la AWS región actual para la identidad del suscriptor especificada. Este ejemplo está formateado para Linux, macOS o Unix y utiliza el carácter de barra invertida (\) de continuación de línea para mejorar la legibilidad.

$ aws securitylake create-subscriber \ 
--subscriber-identity {"accountID": 129345678912,"externalId": 123456789012} \
--sources [{"awsLogSource": {"sourceName": VPC_FLOW, "sourceVersion": 2.0}}] \
--subscriber-name subscriber name \
--access-types LAKEFORMATION

Configurar el uso compartido de tablas entre cuentas (paso de suscriptor)

Security Lake utiliza el uso compartido de tablas entre cuentas de Lake Formation para facilitar el acceso de los suscriptores a las consultas. Al crear un suscriptor con acceso a consultas en la consola, la API o la API de Security Lake AWS CLI, Security Lake comparte información sobre las tablas de Lake Formation relevantes con el suscriptor mediante la creación de un recurso compartido en AWS Resource Access Manager (AWS RAM).

Cuando realiza ciertos tipos de modificaciones en un suscriptor con acceso de consulta, Security Lake crea un nuevo recurso compartido. Para obtener más información, consulte Editar un suscriptor con acceso a consultas en Security Lake.

El suscriptor debe seguir estos pasos para consumir los datos de las tablas de Lake Formation:

  1. Aceptar el recurso compartido: el suscriptor debe aceptar el recurso compartido que tenga resourceShareArn y resourceShareName que se genere al crear o editar el suscriptor. Elige uno de los siguientes métodos de acceso:

    La invitación para compartir recursos vence en 12 horas, por lo que debe validarla y aceptarla en un plazo de 12 horas. Si la invitación caduca, seguirás viéndola en ese PENDING estado, pero al aceptarla no tendrás acceso a los recursos compartidos. Cuando hayan pasado más de 12 horas, elimina al suscriptor de Lake Formation y vuelve a crearlo para recibir una nueva invitación para compartir recursos.

  2. Cree un enlace de recursos a la base de datos compartida: el suscriptor debe crear un enlace de recursos a la base de datos compartida de Lake Formation en AWS Lake Formation (si usa la consola) o AWS Glue (si usa la API/AWS CLI). Este enlace de recursos dirige la cuenta del suscriptor a la base de datos compartida. Elija uno de los siguientes métodos de acceso:

  3. Consulte las tablas compartidas: servicios como Amazon Athena pueden hacer referencia a las tablas directamente y los nuevos datos que recopila Security Lake están disponibles automáticamente para su consulta. Las consultas se ejecutan en el Cuenta de AWS suscriptor y los costes derivados de las consultas se facturan al suscriptor. Puede controlar el acceso de lectura a los recursos en su propia cuenta de Security Lake.

Para obtener más información sobre la concesión de permisos entre cuentas, consulte el uso compartido de Cross-account datos en Lake Formation en la Guía para AWS Lake Formation desarrolladores.