Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Envoyer des événements à CloudWatch Logs

Lorsque vous configurez votre parcours pour envoyer des événements à CloudWatch Logs, il CloudTrail envoie uniquement les événements correspondant à vos paramètres de suivi. Par exemple, si vous configurez votre journal pour qu'il enregistre uniquement les événements liés aux données, il envoie les événements de données uniquement à votre groupe de CloudWatch journaux Logs. CloudTrail prend en charge l'envoi de données, d'informations et d'événements de gestion vers CloudWatch Logs. Pour plus d’informations, consultez Utilisation de fichiers CloudTrail journaux.

Pour envoyer des événements à un groupe de CloudWatch journaux Logs :

Configuration de la surveillance des CloudWatch journaux avec la console

Vous pouvez utiliser le AWS Management Console pour configurer votre journal afin d'envoyer des événements aux CloudWatch journaux à des fins de surveillance.

Création d'un groupe de journaux ou spécification d'un groupe de journaux existant

CloudTrail utilise un groupe de CloudWatch journaux comme point de terminaison de livraison pour les événements du journal. Vous pouvez créer un groupe de journaux ou spécifier un groupe existant.

Spécification d’un rôle IAM

Vous pouvez spécifier un rôle CloudTrail à assumer pour transmettre les événements au flux de log.

Affichage des événements dans la CloudWatch console

Après avoir configuré votre journal pour envoyer des événements à votre groupe de CloudWatch journaux Logs, vous pouvez consulter les événements dans la CloudWatch console. CloudTrail transmet généralement les événements à votre groupe de log dans un délai moyen d'environ 5 minutes après un appel d'API. Ce délai n’est pas garanti. Pour plus d’informations, consultez le Contrat de niveau de service (SLA)AWS CloudTrail.

Configuration de la surveillance des CloudWatch journaux avec le AWS CLI

Vous pouvez utiliser le AWS CLI pour configurer l'envoi CloudTrail d'événements aux CloudWatch journaux à des fins de surveillance.

Création d’un groupe de journaux

Création d'un rôle

Créez un rôle lui CloudTrail permettant d'envoyer des événements au groupe de CloudWatch journaux Logs. La commande create-role IAM prend deux paramètres : un nom de rôle et un chemin d'accès vers un document de politique d'endossement de rôle au format JSON. Le document de politique que vous utilisez donne AssumeRole des autorisations à CloudTrail. La commande create-role crée le rôle avec les autorisations requises.

Pour créer le fichier JSON qui contiendra le document de politique, ouvrez un éditeur de texte et enregistrez le contenu de la politique suivante dans un fichier nommé assume_role_policy_document.json.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "",
      "Effect": "Allow",
      "Principal": {
        "Service": "cloudtrail.amazonaws.com"
      },
      "Action": "sts:AssumeRole"
    }
  ]
}

Exécutez la commande suivante pour créer le rôle avec AssumeRole des autorisations pour CloudTrail.

aws iam create-role --role-name role_name --assume-role-policy-document file://<path to assume_role_policy_document>.json

Lorsque la commande est terminée, prenez note de l’ARN du rôle dans la sortie.

Création d'un document de politique

Créez le document de politique de rôle suivant pour CloudTrail. Ce document accorde CloudTrail les autorisations requises pour créer un flux de CloudWatch journaux dans le groupe de journaux que vous spécifiez et pour transmettre des CloudTrail événements à ce flux de journaux.

{
  "Version": "2012-10-17",
  "Statement": [
    {

      "Sid": "AWSCloudTrailCreateLogStream2014110",
      "Effect": "Allow",
      "Action": [
        "logs:CreateLogStream"
      ],
      "Resource": [
        "arn:aws:logs:region:accountID:log-group:log_group_name:log-stream:accountID_CloudTrail_region*"
      ]

    },
    {
      "Sid": "AWSCloudTrailPutLogEvents20141101",
      "Effect": "Allow",
      "Action": [
        "logs:PutLogEvents"
      ],
      "Resource": [
        "arn:aws:logs:region:accountID:log-group:log_group_name:log-stream:accountID_CloudTrail_region*"
      ]
    }
  ]
}

Enregistrez le document de politique dans un fichier nommé role-policy-document.json.

Si vous créez une politique qui peut être utilisée pour les journaux d'activité de l'organisation, vous devrez la configurer légèrement différemment. Par exemple, la politique suivante accorde CloudTrail les autorisations requises pour créer un flux de journaux dans le groupe de CloudWatch journaux que vous spécifiez et pour transmettre des CloudTrail événements à ce flux de journaux, à la fois pour les traces du AWS compte 111111111111 et pour les pistes d'organisation créées dans le compte 111111111111 qui sont appliquées à l'organisation avec l'ID o-exampleorgid : AWS Organizations

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AWSCloudTrailCreateLogStream20141101",
            "Effect": "Allow",
            "Action": [
                "logs:CreateLogStream"
            ],
            "Resource": [
                "arn:aws:logs:us-east-2:111111111111:log-group:CloudTrail/DefaultLogGroupTest:log-stream:111111111111_CloudTrail_us-east-2*",
                "arn:aws:logs:us-east-2:111111111111:log-group:CloudTrail/DefaultLogGroupTest:log-stream:o-exampleorgid_*"
            ]
        },
        {
            "Sid": "AWSCloudTrailPutLogEvents20141101",
            "Effect": "Allow",
            "Action": [
                "logs:PutLogEvents"
            ],
            "Resource": [
                "arn:aws:logs:us-east-2:111111111111:log-group:CloudTrail/DefaultLogGroupTest:log-stream:111111111111_CloudTrail_us-east-2*",             
                "arn:aws:logs:us-east-2:111111111111:log-group:CloudTrail/DefaultLogGroupTest:log-stream:o-exampleorgid_*"
            ]
        }
    ]
}

Pour plus d'informations sur les journaux d'activité d'organisation, consultez Création d'un journal de suivi pour une organisation.

Exécutez la commande suivante pour appliquer la politique au rôle.

aws iam put-role-policy --role-name role_name --policy-name cloudtrail-policy --policy-document file://<path to role-policy-document>.json

Mise à jour du journal d'activité

Mettez à jour le journal avec les informations relatives au groupe de journaux et au rôle à l'aide de la CloudTrail update-trail commande.

aws cloudtrail update-trail --name trail_name --cloud-watch-logs-log-group-arn log_group_arn --cloud-watch-logs-role-arn role_arn

Pour plus d'informations sur les AWS CLI commandes, consultez la référence de ligne de AWS CloudTrail commande.

Limitation

CloudWatch Les journaux autorisent EventBridge chacun une taille d'événement maximale de 256 Ko. Bien que la taille maximale de la plupart des événements de service soit de 256 Ko, certains services comportent tout de même des événements plus importants. CloudTrail n'envoie pas ces événements à CloudWatch Logs ou EventBridge.

À CloudTrail partir de la version 1.05, la taille maximale des événements est de 256 Ko. Cela permet d'empêcher l'exploitation par des acteurs malveillants et de permettre à d'autres AWS services, tels que CloudWatch Logs et EventBridge.