Création d'un parcours à l'aide de la CloudTrail console

Connectez-vous à la CloudTrail console AWS Management Console et ouvrez-la à l'adresse https://console.aws.amazon.com/cloudtrail/.

Sur la page d'accueil du CloudTrail service, sur la page des sentiers ou dans la section des sentiers de la page du tableau de bord, choisissez Créer un parcours.

Sur la page Créer un journal de suivi, tapez un nom pour votre journal de suivi dans la zone Nom du journal de suivi. Pour de plus amples informations, veuillez consulter Exigences de dénomination pour les CloudTrail ressources, les compartiments S3 et les clés KMS.

S'il s'agit d'un suivi d' AWS Organizations organisation, vous pouvez activer le suivi pour tous les comptes de votre organisation. Pour voir cette option, vous devez vous connecter à la console avec un utilisateur ou un rôle dans le compte de gestion ou d'administrateur délégué. Pour créer avec succès le journal de suivi d’une organisation, assurez-vous que l’utilisateur ou le rôle dispose d’autorisations suffisantes. Pour plus d'informations, consultez Création d'un journal de suivi pour une organisation.

Sous Emplacement de stockage, choisissez Créer un nouveau compartiment S3 pour créer un nouveau compartiment. Lorsque vous créez un compartiment, CloudTrail crée et applique les stratégies nécessaires. Si vous choisissez de créer un nouveau compartiment S3, votre IAM politique doit inclure une autorisation pour l's3:PutEncryptionConfigurationaction, car le chiffrement côté serveur est activé par défaut pour le compartiment.

Pour retrouver plus facilement vos journaux, créez un nouveau dossier (également appelé préfixe) dans un compartiment existant pour stocker vos CloudTrail journaux. Saisir le préfixe dans Préfixe.

Pour KMSChiffrement des fichiers SSE journaux, choisissez Activé si vous souhaitez chiffrer vos fichiers journaux en utilisant le KMS cryptage SSE - au lieu du cryptage SSE -S3. La valeur par défaut est Activé. Si vous n'activez SSE pas le KMS chiffrement, vos journaux sont chiffrés à l'aide du chiffrement SSE -S3. Pour plus d'informations sur SSE KMS le chiffrement, voir Utilisation du chiffrement côté serveur avec AWS Key Management Service (SSE-KMS). Pour plus d'informations sur le chiffrement SSE -S3, consultez Utilisation du chiffrement côté serveur avec des clés de chiffrement gérées par Amazon S3 (-S3). SSE

Si vous activez SSE le KMS chiffrement, choisissez-en un nouveau ou un existant AWS KMS key. Dans AWS KMS Alias, spécifiez un alias au format alias/MyAliasName. Pour plus d'informations, consultezMettre à jour une ressource pour utiliser votre KMS clé avec la console. CloudTrail prend également en charge les clés AWS KMS multirégionales. Pour plus d’informations, consultez la section Utilisation de clés multi-régions dans le Guide du développeur AWS Key Management Service .

Sous Paramètres supplémentaires, configurez les événements suivants.

1. Sous Validation du fichier journal, choisissez Activé pour que les fichiers de valeur de hachage soient livrés dans votre compartiment S3. Vous pouvez utiliser les fichiers de synthèse pour vérifier que vos fichiers journaux n'ont pas changé après leur CloudTrail livraison. Pour de plus amples informations, veuillez consulter Validation de l' CloudTrail intégrité du fichier journal.

2. Pour l'envoi des SNS notifications, choisissez Enabled pour être averti chaque fois qu'un journal est envoyé à votre bucket. CloudTrail enregistre plusieurs événements dans un fichier journal. SNSles notifications sont envoyées pour chaque fichier journal, pas pour chaque événement. Pour de plus amples informations, veuillez consulter Configuration des SNS notifications Amazon pour CloudTrail.

   Si vous activez SNS les notifications, pour Créer un nouveau SNS sujet, choisissez Nouveau pour créer un sujet, ou choisissez Existant pour utiliser un sujet existant. Si vous créez un suivi qui s'applique à toutes les régions, les SNS notifications relatives aux livraisons de fichiers journaux provenant de toutes les régions sont envoyées au SNS sujet unique que vous créez.

   Si vous choisissez Nouveau, vous CloudTrail spécifiez un nom pour le nouveau sujet ou vous pouvez saisir un nom. Si vous choisissez Existant, choisissez un SNS sujet dans la liste déroulante. Vous pouvez également accéder à un sujet ARN d'une autre région ou à partir d'un compte disposant des autorisations appropriées. Pour de plus amples informations, veuillez consulter Politique SNS thématique d'Amazon pour CloudTrail.

   Si vous créez une rubrique, vous devez vous abonner à la rubrique pour être averti de l'envoi de fichiers journaux. Vous pouvez vous abonner depuis la SNS console Amazon. En raison de la fréquence des notifications, nous vous recommandons de configurer l'abonnement de manière à utiliser une SQS file d'attente Amazon afin de gérer les notifications par programmation. Pour plus d'informations, consultez Getting started with Amazon SNS dans le guide du développeur Amazon Simple Notification Service.

Vous pouvez éventuellement configurer CloudTrail pour envoyer des fichiers CloudWatch journaux à Logs en choisissant Enabled in CloudWatch Logs. Pour de plus amples informations, veuillez consulter Envoi d'événements à CloudWatch Logs.

1. Si vous activez l'intégration aux CloudWatch journaux, choisissez Nouveau pour créer un nouveau groupe de journaux, ou Existant pour utiliser un groupe existant. Si vous choisissez Nouveau, vous CloudTrail spécifiez un nom pour le nouveau groupe de journaux ou vous pouvez saisir un nom.

2. Si vous choisissez Existant, choisissez un groupe de journaux dans la liste déroulante.

3. Choisissez Nouveau pour créer un nouveau IAM rôle pour les autorisations permettant d'envoyer des CloudWatch journaux à Logs. Choisissez Existant pour choisir un IAM rôle existant dans la liste déroulante. L’instruction de politique pour le rôle nouveau ou existant s’affiche lorsque vous déroulez Document de politique. Pour plus d’informations sur ce rôle, consultez Document de politique de rôle pour l'utilisation CloudTrail des CloudWatch journaux à des fins de surveillance.

   Note

   • Lorsque vous configurez un trail, vous pouvez choisir un compartiment S3 et un SNS sujet appartenant à un autre compte. Toutefois, si vous souhaitez CloudTrail transmettre des événements à un groupe de CloudWatch journaux journaux, vous devez choisir un groupe de journaux existant dans votre compte actuel.

   • Seul le compte de gestion peut configurer un groupe de CloudWatch journaux pour un journal d'entreprise à l'aide de la console. L'administrateur délégué peut configurer un groupe de CloudWatch journaux Logs à l'aide UpdateTrail API des opérations AWS CLI CloudTrail CreateTrail ou ou.

Pour les balises, vous pouvez ajouter jusqu'à 50 paires de clés de balises pour vous aider à identifier, à trier et à contrôler l'accès à votre sentier. Les balises peuvent vous aider à identifier à la fois vos CloudTrail traces et les compartiments Amazon S3 contenant les fichiers CloudTrail journaux. Vous pouvez ensuite utiliser des groupes de ressources pour vos CloudTrail ressources. Pour plus d’informations, consultez AWS Resource Groups et Balises.

Sur la page Choisir des événements du journal, choisissez les types d’événements que vous souhaitez consigner. Sous Événements de gestion, procédez comme suit.

1. Pour ce qui est de APIl'activité, choisissez si vous souhaitez que votre parcours enregistre les événements de lecture, les événements d'écriture ou les deux. Pour de plus amples informations, veuillez consulter Événements de gestion.

2. Choisissez Exclure les AWS KMS événements pour filtrer AWS Key Management Service (AWS KMS) les événements de votre parcours. Le paramètre par défaut est d'inclure tous les AWS KMS événements.

   L'option permettant d'enregistrer ou d'exclure AWS KMS des événements n'est disponible que si vous enregistrez des événements de gestion sur votre parcours. Si vous choisissez de ne pas consigner les événements de gestion, AWS KMS ceux-ci ne sont pas enregistrés et vous ne pouvez pas modifier les paramètres de journalisation des AWS KMS événements.

   AWS KMS des actions telles que EncryptDecrypt, et génèrent GenerateDataKey généralement un grand volume (plus de 99 %) d'événements. Ces actions sont désormais journalisées en tant qu’événements Lecture. Les AWS KMS actions pertinentes à faible volume telles que DisableDelete, et ScheduleKey (qui représentent généralement moins de 0,5 % du volume d' AWS KMS événements) sont enregistrées en tant qu'événements d'écriture.

   Pour exclure des événements importants tels queEncrypt, et DecryptGenerateDataKey, tout en enregistrant les événements pertinents tels queDisable, Delete etScheduleKey, choisissez de consigner les événements de gestion d'écriture et décochez la case Exclure les AWS KMS événements.

3. Choisissez Exclure RDS les API événements Amazon Data pour exclure de votre liste les événements Amazon Relational Database Service API Data Data. Le paramètre par défaut est d'inclure tous les API événements Amazon RDS Data. Pour plus d'informations sur les API événements Amazon RDS Data, consultez la section Journalisation des API appels de données AWS CloudTrail dans le Guide de RDS l'utilisateur Amazon pour Aurora.

Pour journaliser les événements de données, choisissez Événements de données. Des frais supplémentaires s'appliquent pour la journalisation des événements de données. Pour plus d'informations, consultez AWS CloudTrail Pricing (Tarification CTlong).

Pour Type de ressource, choisissez le type de ressource sur lequel vous souhaitez enregistrer les événements de données. Pour plus d'informations sur les types de ressources disponibles, consultezÉvénements de données.

Choisissez un modèle de sélecteur de journaux. CloudTrail inclut des modèles prédéfinis qui enregistrent tous les événements de données pour le type de ressource. Pour créer un modèle de sélecteur de journal personnalisé, choisissez Personnaliser.

(Facultatif) Dans Nom du sélecteur, saisissez un nom pour identifier votre sélecteur. Le nom du sélecteur est un nom descriptif pour un sélecteur d'événements avancé, tel que « Journaliser les événements de données pour deux compartiments S3 uniquement ». Le nom du sélecteur est répertorié comme Name dans le sélecteur d'événements avancé et est visible si vous agrandissez la vue. JSON

Si vous avez sélectionné Personnalisé, dans les sélecteurs d'événements avancés, créez une expression basée sur les valeurs des champs des sélecteurs d'événements avancés.

1. Choisissez parmi les options suivantes.

   • readOnly- readOnly peut être défini pour être égal à une valeur de true oufalse. Les événements de données en lecture seule sont des événements qui ne modifient pas l'état d'une ressource, tels que les événements Get* ou Describe*. Les événements d'écriture ajoutent, modifient ou suppriment des ressources, des attributs ou des artefacts, tels que les événements Put*, Delete*, ou Write*. Pour journaliser les deux événements read et write, n'ajoutez pas de sélecteur readOnly.

   • eventName - eventName peut utiliser n’importe quel opérateur. Vous pouvez l'utiliser pour inclure ou exclure tout événement de données enregistré CloudTrail, tel que PutBucketGetItem, ouGetSnapshotBlock.

   • resources.ARN- Vous pouvez utiliser n'importe quel opérateurresources.ARN, mais si vous utilisez égal ou non, la valeur doit correspondre exactement à celle ARN d'une ressource valide du type que vous avez spécifié dans le modèle comme valeur deresources.type. Pour de plus amples informations, veuillez consulter Filtrer les événements de données par resources.ARN.

     Note

     Vous ne pouvez pas utiliser le resources.ARN champ pour filtrer les types de ressources qui n'en ont pasARNs.

   Pour plus d'informations sur les ARN formats des ressources relatives aux événements de données, consultez la section Actions, ressources et clés de condition dans le guide de AWS Identity and Access Management l'utilisateur.

2. Pour chaque champ, choisissez + Conditions pour ajouter autant de conditions que vous le souhaitez, jusqu'à un maximum de 500 valeurs spécifiées pour toutes les conditions. Par exemple, pour exclure les événements de données de deux compartiments S3 des événements de données enregistrés dans votre banque de données d'événements, vous pouvez définir le champ sur ressources. ARN, définissez l'opérateur pour ne commence pas par, puis collez-le dans un compartiment S3 ARN pour lequel vous ne souhaitez pas enregistrer d'événements.

   Pour ajouter le deuxième compartiment S3, choisissez + Condition, puis répétez l'instruction précédente en collant le dossier ARN for ou en recherchant un autre compartiment.

   Pour plus d'informations sur le mode CloudTrail d'évaluation de plusieurs conditions, consultezComment CloudTrail évaluer plusieurs conditions pour un champ.

   Note

   Il est possible de définir un maximum de 500 valeurs pour tous les sélecteurs d'un entrepôt de données d'événement. Cela inclut des tableaux de valeurs multiples pour un sélecteur tel que eventName. Si vous avez défini des valeurs uniques pour tous les sélecteurs, il est possible d’ajouter un maximum de 500 conditions à un sélecteur.

3. Choisir + champ pour ajouter des champs supplémentaires au besoin. Pour éviter les erreurs, il convient de ne pas définir de valeurs conflictuelles ou en double pour les champs. Par exemple, ne spécifiez pas qu'un sélecteur ARN dans un sélecteur soit égal à une valeur, puis spécifiez qu'il n'est ARN pas égal à la même valeur dans un autre sélecteur.

Pour ajouter un autre type de ressource sur lequel enregistrer les événements de données, choisissez Ajouter un type d'événement de données. Répétez les étapes 12 à cette étape pour configurer les sélecteurs d'événements avancés pour le type de ressource.

Pour enregistrer les événements d'activité réseau, sélectionnez Événements d'activité réseau. Les événements d'activité réseau permettent aux propriétaires de VPC terminaux d'enregistrer les AWS API appels passés à l'aide de leurs VPC terminaux d'un point de terminaison privé VPC vers le Service AWS. Des frais supplémentaires s'appliquent pour la journalisation des événements liés à l'activité du réseau. Pour plus d'informations, consultez AWS CloudTrail Pricing (Tarification CTlong).

Pour enregistrer les événements liés à l'activité du réseau, procédez comme suit :

1. Dans Source des événements d'activité réseau, choisissez la source des événements d'activité réseau.

2. Dans Modèle de sélecteur de journaux, choisissez un modèle. Vous pouvez choisir de consigner tous les événements liés à l'activité réseau, de consigner tous les événements liés à l'activité réseau auxquels l'accès est refusé ou de choisir Personnaliser pour créer un sélecteur de journal personnalisé afin de filtrer sur plusieurs champs, tels que eventName etvpcEndpointId.

3. (Facultatif) Entrez un nom pour identifier le sélecteur. Le nom du sélecteur est répertorié sous la forme Nom dans le sélecteur d'événements avancé et est visible si vous agrandissez la vue. JSON

4. Dans les sélecteurs d'événements avancés, les sélecteurs créent des expressions en choisissant des valeurs pour Champ, Opérateur et Valeur. Vous pouvez ignorer cette étape si vous utilisez un modèle de journal prédéfini.

   1. Pour exclure ou inclure des événements liés à l'activité réseau, vous pouvez choisir l'un des champs suivants dans la console.

      • eventName— Vous pouvez utiliser n'importe quel opérateur aveceventName. Vous pouvez l'utiliser pour inclure ou exclure n'importe quel événement, tel queCreateKey.

      • errorCode— Vous pouvez l'utiliser pour filtrer un code d'erreur. Actuellement, le seul pris en charge errorCode estVpceAccessDenied.

      • vpcEndpointId— Identifie le VPC point de terminaison par lequel l'opération est passée. Vous pouvez utiliser n'importe quel opérateur avecvpcEndpointId.

   2. Pour chaque champ, choisissez + Conditions pour ajouter autant de conditions que vous le souhaitez, jusqu'à un maximum de 500 valeurs spécifiées pour toutes les conditions.

   3. Choisir + champ pour ajouter des champs supplémentaires au besoin. Pour éviter les erreurs, il convient de ne pas définir de valeurs conflictuelles ou en double pour les champs.

5. Pour ajouter une autre source d'événements pour laquelle vous souhaitez enregistrer les événements d'activité réseau, choisissez Ajouter un sélecteur d'événements d'activité réseau.

6. Vous pouvez éventuellement agrandir la JSONvue pour afficher vos sélecteurs d'événements avancés sous forme de JSON bloc.

Choisissez Insights events si vous souhaitez que votre parcours enregistre les événements CloudTrail Insights.

Dans Type d’événement, sélectionnez Événements Insights. Vous devez enregistrer les événements de gestion de Write pour enregistrer les événements Insights relatifs au taux d'APIappels. Vous devez enregistrer les événements de gestion en lecture ou en écriture pour enregistrer les événements Insights afin de connaître le taux API d'erreur.

CloudTrail Insights analyse les événements de gestion pour détecter toute activité inhabituelle et enregistre les événements lorsque des anomalies sont détectées. Par défaut, les journaux de suivi ne journalisent pas les événements Insights. Pour plus d'informations sur les événements Insights, consultez Travailler avec CloudTrail Insights. Des frais supplémentaires s’appliquent pour la journalisation des événements Insights. Pour CloudTrail connaître les tarifs, consultez la section AWS CloudTrail Tarification.

Les événements Insights sont transmis à un dossier différent nommé /CloudTrail-Insight dans le même compartiment S3 qui est spécifié dans la zone Emplacement de stockage de la page de détails du journal. CloudTrailcrée le nouveau préfixe pour vous. Par exemple, si votre compartiment S3 de destination actuel se nomme amzn-s3-demo-bucket/AWSLogs/CloudTrail/, le nom du compartiment S3 avec un nouveau préfixe se nommera amzn-s3-demo-bucket/AWSLogs/CloudTrail-Insight/.

Après avoir sélectionné les types d’événements à journaliser, choisissez Suivant.

Sur la page Vérifier et créer, vérifiez vos choix. Choisissez Modifier dans une section pour modifier les paramètres de journal de suivi affichés dans cette section. Lorsque vous êtes prêt à créer votre journal de suivi, choisissez Créer un journal de suivi.

Le nouveau journal de suivi s’affiche sur la page Journaux de suivi. En 5 minutes environ, CloudTrail publie des fichiers journaux qui indiquent les AWS API appels passés sur votre compte. Les fichiers journaux se trouvent dans le compartiment S3 que vous avez spécifié.

Si vous avez activé les événements Insights pour un parcours, le lancement de ces événements CloudTrail peut prendre jusqu'à 36 heures, à condition qu'une activité inhabituelle soit détectée pendant cette période.

Dans Événements, sélectionnez Événements de données pour journaliser les événements de données. Des frais supplémentaires s'appliquent pour la journalisation des événements de données. Pour plus d'informations, consultez AWS CloudTrail Pricing (Tarification CTlong).

Pour les compartiments Amazon S3 :

1. Pour Data event source (Source d'événements de données), choisissez S3.

2. Il est possible de choisir de journaliser Tous les compartiments S3 actuels et futurs ou de spécifier des compartiments ou fonctions individuels. Par défaut, les événements de données sont journalisés pour tous les compartiments S3 actuels et futurs.

   Note

   Le maintien de l'option par défaut Tous les compartiments S3 actuels et futurs active la journalisation des événements de données pour tous les compartiments actuellement présents dans votre AWS compte et pour tous les compartiments que vous créez une fois que vous avez terminé de créer le journal. Il permet également de consigner l'activité des événements de données effectuée par n'importe quelle IAM identité de votre AWS compte, même si cette activité est effectuée sur un bucket appartenant à un autre AWS compte.

   Si vous créez un parcours pour une seule région (à l'aide du AWS CLI), sélectionnez Tous les compartiments S3 actuels et futurs pour enregistrer les événements de données pour tous les compartiments de la même région que votre parcours et pour tous les compartiments que vous créerez ultérieurement dans cette région. Les événements de données relatifs aux compartiments Amazon S3 situés dans d'autres régions ne seront pas enregistrés dans votre AWS compte.

3. Si vous laissez l’option par défaut, Tous les compartiments S3 actuels et futurs, choisissez de journaliser les événements de lecture, les événements d’écriture, ou les deux.

4. Pour sélectionner des compartiments individuels, il convient de vider les boîtes de dialogue Lecture et Écriture pour Tous les compartiments S3 actuels et futurs. Dans Sélection du compartiment individuel, recherchez un compartiment sur lequel journaliser les événements de données. Recherchez des compartiments spécifiques en tapant un préfixe de compartiment pour le compartiment souhaité. Vous pouvez sélectionner plusieurs compartiments dans cette fenêtre. Choisissez Ajouter un compartiment pour journaliser les événements de données pour d’autres compartiments. Choisissez de journaliser les événements Lecture tels que GetObject, les événements Écriture tels que PutObject, ou les deux.

   Ce paramètre est prioritaire par rapport aux paramètres que vous définissez pour les compartiments individuels. Par exemple, si vous spécifiez la journalisation des événements Read (Lecture) pour tous les compartiments S3, puis choisissez d'ajouter un compartiment spécifique pour la journalisation des événements de données, Read (Lecture) est déjà sélectionné pour le compartiment que vous avez ajouté. Vous ne pouvez pas effacer la sélection. Vous pouvez uniquement configurer l’option pour Écriture.

   Pour supprimer un compartiment de la journalisation, choisissez X.

Pour ajouter un autre type de ressource sur lequel enregistrer les événements de données, choisissez Ajouter un type d'événement de données.

Pour les fonctions Lambda :

1. Pour Data event source (Source d'événement de données), choisissez Lambda.

2. Dans Fonction Lambda, sélectionnez Toutes les régions pour enregistrer toutes les fonctions Lambda, ou Fonction d'entrée ARN pour enregistrer les événements de données sur une fonction spécifique.

   Pour enregistrer les événements de données relatifs à toutes les fonctions Lambda de votre AWS compte, sélectionnez Enregistrer toutes les fonctions actuelles et futures. Ce paramètre est prioritaire par rapport aux paramètres que vous définissez pour les fonctions individuelles. Toutes les fonctions sont journalisées, même si elles ne sont pas toutes affichées.

   Note

   Si vous créez un journal de suivi pour toutes les régions, cette sélection active la journalisation des événements de données pour toutes les fonctions se trouvant actuellement dans votre compte AWS et pour toute fonction Lambda que vous êtes susceptible de définir dans n'importe quelle région après avoir achevé la création du journal de suivi. Si vous créez un suivi pour une seule région (en utilisant le AWS CLI), cette sélection active l'enregistrement des événements de données pour toutes les fonctions actuellement présentes dans cette région sur votre AWS compte, ainsi que pour toutes les fonctions Lambda que vous pourriez créer dans cette région une fois que vous aurez terminé de créer le journal. Cela n’active pas la journalisation des événements de données pour les fonctions Lambda créées dans d’autres régions.

   La journalisation des événements de données pour toutes les fonctions permet également de consigner l'activité des événements de données effectuée par n'importe quelle IAM identité de votre AWS compte, même si cette activité est effectuée sur une fonction appartenant à un autre AWS compte.

3. Si vous sélectionnez Fonction d'entrée comme ARN, entrez la valeur ARN d'une fonction Lambda.

   Note

   Si votre compte compte compte plus de 15 000 fonctions Lambda, vous ne pouvez pas afficher ou sélectionner toutes les fonctions dans la CloudTrail console lors de la création d'un journal. Vous pouvez toujours sélectionner l’option de journalisation de toutes les fonctions, même si elles ne sont pas affichées. Si vous souhaitez enregistrer des événements de données pour des fonctions spécifiques, vous pouvez ajouter manuellement une fonction si vous la connaissezARN. Vous pouvez également terminer la création du journal dans la console, puis utiliser la put-event-selectors commande AWS CLI et pour configurer la journalisation des événements de données pour des fonctions Lambda spécifiques. Pour de plus amples informations, veuillez consulter Gérer les sentiers à l'aide du AWS CLI.

Pour Tables DynamoDB :

1. Pour Data event source (Source d'événement de données), choisissez DynamoDB.

2. Dans la sélection d'une table DynamoDB, choisissez Parcourir pour sélectionner une table ou collez le contenu ARN d'une table DynamoDB à laquelle vous avez accès. Une ARN table DynamoDB utilise le format suivant :

   arn:partition:dynamodb:region:account_ID:table/table_name

   Pour ajouter un autre tableau, choisissez Ajouter une ligne et recherchez un tableau ou collez le ARN contenu d'un tableau auquel vous avez accès.

Pour configurer les événements Insights et d’autres paramètres pour votre piste, revenez à la procédure précédente dans cette rubrique, Création d'un parcours à l'aide de la console.