AWS Audit Managertidak lagi terbuka untuk pelanggan baru. Pelanggan yang sudah ada dapat terus menggunakan layanan ini seperti biasa. Untuk informasi selengkapnya, lihat [perubahan AWS Audit Manager ketersediaan](https://docs.aws.amazon.com/audit-manager/latest/userguide/audit-manager-availability-change.html).
Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.
# Mengonfigurasi tujuan laporan penilaian default
Saat membuat laporan penilaian, Audit Manager akan menerbitkan laporan tersebut ke bucket S3 pilihan Anda. Bucket S3 ini disebut sebagai[](concepts.md#assessment-report-destination). Anda dapat memilih bucket S3 tempat Audit Manager menyimpan laporan penilaian Anda.
## Prasyarat
### Kiat konfigurasi untuk tujuan laporan penilaian Anda
Untuk memastikan keberhasilan pembuatan laporan penilaian Anda, kami sarankan Anda menggunakan konfigurasi berikut untuk tujuan laporan penilaian Anda.
**Same-Region ember**
Kami menyarankan Anda menggunakan bucket S3 yang Wilayah AWS sama dengan penilaian Anda. Bila Anda menggunakan bucket dan penilaian wilayah yang sama, laporan penilaian Anda dapat menyertakan hingga 22.000 item bukti. Sebaliknya, saat Anda menggunakan bucket dan penilaian lintas wilayah, hanya 3.500 item bukti yang dapat disertakan.
**Wilayah AWS**
Kunci terkelola pelanggan Anda (jika Anda memberikannya) harus sesuai dengan Wilayah penilaian Anda dan bucket tujuan laporan penilaian S3 Anda. Wilayah AWS Untuk petunjuk tentang cara mengubah kunci KMS, lihat[Mengkonfigurasi pengaturan enkripsi data Anda](settings-KMS.md). Untuk daftar Wilayah Audit Manager yang didukung, lihat [AWS Audit Managertitik akhir dan kuota](https://docs.aws.amazon.com/general/latest/gr/audit-manager.html) di Referensi *Umum Amazon Web Services*.
**Enkripsi ember S3**
Jika tujuan laporan penilaian Anda memiliki kebijakan bucket yang memerlukan enkripsi sisi server (SSE) [SSE-KMS](https://docs.aws.amazon.com/AmazonS3/latest/userguide/UsingKMSEncryption.html#require-sse-kms), maka kunci KMS yang digunakan dalam kebijakan bucket tersebut harus sesuai dengan kunci KMS yang dikonfigurasi dalam setelan enkripsi data Audit Manager. Jika Anda belum mengonfigurasi kunci KMS di setelan Audit Manager, dan kebijakan bucket tujuan laporan penilaian Anda memerlukan SSE, pastikan kebijakan bucket mengizinkan. [SSE-S3](https://docs.aws.amazon.com/AmazonS3/latest/userguide/UsingServerSideEncryption.html) Untuk petunjuk tentang cara mengonfigurasi kunci KMS yang digunakan untuk enkripsi data, lihat[Mengkonfigurasi pengaturan enkripsi data Anda](settings-KMS.md).
**Cross-account Ember S3**
Menggunakan bucket S3 lintas akun sebagai tujuan laporan penilaian Anda tidak didukung di konsol Audit Manager. Anda dapat menentukan bucket lintas akun sebagai tujuan laporan penilaian Anda dengan menggunakan AWS CLI atau salah satu AWS SDK, tetapi untuk mempermudah, sebaiknya Anda tidak melakukannya.
Untuk keamanan dan kinerja yang optimal, sebaiknya gunakan bucket S3 di AWS akun dan wilayah yang sama dengan penilaian Anda.
Jika Anda memilih untuk menggunakan bucket S3 lintas akun sebagai tujuan laporan penilaian Anda, pertimbangkan poin-poin berikut.
+ Secara default, objek S3—seperti laporan penilaian—dimiliki oleh objek yang mengunggah objek. Akun AWS Anda dapat menggunakan setelan [Kepemilikan Objek S3](https://docs.aws.amazon.com/AmazonS3/latest/userguide/about-object-ownership.html) untuk mengubah perilaku default ini sehingga objek baru apa pun yang ditulis oleh akun dengan daftar kontrol akses (ACL) yang `bucket-owner-full-control` dikalengkan secara otomatis menjadi milik pemilik bucket.
Meskipun ini bukan persyaratan, kami menyarankan Anda untuk membuat perubahan berikut pada pengaturan bucket lintas akun Anda. Membuat perubahan ini memastikan bahwa pemilik bucket memiliki kendali penuh atas laporan penilaian yang Anda publikasikan ke bucket mereka.
+ [Setel kepemilikan objek bucket S3](https://docs.aws.amazon.com/AmazonS3/latest/userguide/about-object-ownership.html#enable-object-ownership) ke *pilihan pemilik bucket*, bukan penulis *objek* default
+ [Tambahkan kebijakan bucket](https://docs.aws.amazon.com/AmazonS3/latest/userguide/about-object-ownership.html#ensure-object-ownership) untuk memastikan bahwa objek yang diunggah ke bucket tersebut `bucket-owner-full-control` memiliki ACL
+ Untuk mengizinkan Audit Manager mempublikasikan laporan dalam bucket S3 lintas akun, Anda harus menambahkan kebijakan bucket S3 berikut ke tujuan laporan penilaian Anda. Ganti {{placeholder text}} dengan informasi Anda sendiri. `Principal`Elemen dalam kebijakan ini adalah pengguna atau peran yang memiliki penilaian dan membuat laporan penilaian. `Resource`Ini menentukan bucket S3 lintas akun tempat laporan diterbitkan.
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Sid": "Allow cross account assessment report publishing",
"Effect": "Allow",
"Principal": {
"AWS": "arn:aws:iam::{{111122223333}}:user/{{AssessmentOwnerUserName}}"
},
"Action": [
"s3:ListBucket",
"s3:PutObject",
"s3:GetObject",
"s3:GetBucketLocation",
"s3:PutObjectAcl",
"s3:DeleteObject"
],
"Resource": [
"arn:aws:s3:::{{CROSS-ACCOUNT-BUCKET}}",
"arn:aws:s3:::{{CROSS-ACCOUNT-BUCKET/*}}"
]
}
]
}
```
------
### Praktik terbaik keamanan untuk tujuan laporan penilaian Anda
Audit Manager tidak memvalidasi kepemilikan bucket S3. Ini menimbulkan risiko jika bucket dihapus dan dibuat ulang oleh bucket yang berbeda Akun AWS (dikenal sebagai *bucket sniping*). Risiko juga ada jika pihak yang tidak berwenang membuat ember dengan nama yang diantisipasi sebelum Anda melakukannya (dikenal sebagai *bucket squatting*). Dalam kedua kasus tersebut, Audit Manager terus mempublikasikan laporan penilaian ke bucket tersebut. Layanan tidak mendeteksi perubahan kepemilikan. Di bawah [Model Tanggung Jawab AWS Bersama](https://aws.amazon.com/compliance/shared-responsibility-model/), Anda bertanggung jawab untuk memastikan bahwa tujuan laporan penilaian Anda adalah ember yang dimiliki oleh tepercayaAkun AWS.
Untuk melindungi laporan penilaian Anda, sebaiknya Anda menerapkan satu atau beberapa kontrol berikut.
**Batasi tindakan S3 ke akun tepercaya dengan menggunakan tombol kondisi `s3:ResourceAccount`**
Tambahkan `s3:ResourceAccount` kondisi pada kebijakan IAM yang dilampirkan pada identitas yang digunakan Audit Manager untuk mempublikasikan laporan penilaian. Kondisi ini mencegah identitas menulis ke bucket yang dimiliki oleh akun selain yang Anda tentukan. Kondisi ini berlaku terlepas dari kebijakan akses bucket itu sendiri.
Untuk informasi selengkapnya, lihat [Batasi akses ke bucket Amazon S3 yang dimiliki oleh akun AWS tertentu](https://aws.amazon.com/blogs/storage/limit-access-to-amazon-s3-buckets-owned-by-specific-aws-accounts/).
**Batasi tindakan S3 ke organisasi Anda dengan menggunakan SCP**
Jika Anda menggunakan, buat kebijakan kontrol layanan (SCP) yang menyangkal tindakan S3 pada sumber daya di luar organisasi Anda. Contoh kebijakan berikut menyangkal semua tindakan S3 ke sumber daya di luar organisasi Anda. Kondisi memeriksa apakah `aws:ResourceOrgID` cocok dengan ID organisasi Anda.
```
{
"Version": "2012-10-17",
"Statement": [
{
"Sid": "DenyS3ActionsOutsideOrganization",
"Effect": "Deny",
"Action": "s3:*",
"Resource": "*",
"Condition": {
"StringNotEquals": {
"aws:ResourceOrgID": "{{o-xxxxxxxxxx}}"
}
}
}
]
}
```
Ganti {{o-xxxxxxxxxx}} dengan ID organisasi Anda. Untuk informasi selengkapnya, lihat [aws: ResourceOrg ID](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_condition-keys.html#condition-keys-resourceorgid) di *Panduan Pengguna IAM*.
**Menggunakan kunci KMS yang dikelola pelanggan untuk enkripsi data**
Saat Anda mengonfigurasi Audit Manager untuk menggunakan kunci terkelola pelanggan untuk enkripsi data, Audit Manager mengenkripsi laporan penilaian sebelum menuliskannya ke Amazon S3. Jika laporan dipublikasikan ke ember yang dimiliki oleh pihak yang tidak berwenang, isi laporan tetap dienkripsi. Konten tidak dapat dibaca tanpa akses ke kunci KMS Anda. Untuk petunjuk, lihat [Mengkonfigurasi pengaturan enkripsi data Anda](settings-KMS.md).
**Gunakan bucket S3 di namespace regional akun Anda**
Bucket S3 yang dibuat di namespace regional akun Anda menyertakan Akun AWS ID Anda dan Wilayah AWS nama bucket. Bucket ini tidak dapat dibuat oleh akun lain, yang menghilangkan risiko sniping ember. Untuk informasi selengkapnya, lihat [ruang nama Account-level bucket](https://docs.aws.amazon.com/AmazonS3/latest/userguide/gpbucketnamespaces.html#account-regional-gp-buckets) di *Panduan Pengguna Layanan Penyimpanan Sederhana Amazon*.
## Prosedur
Anda dapat memperbarui setelan ini menggunakan konsol Audit Manager, AWS Command Line Interface (AWS CLI), atau Audit Manager API.
------
#### [ Audit Manager console ]
**Untuk memperbarui tujuan laporan penilaian default Anda di konsol Audit Manager**
1. Dari tab Pengaturan **penilaian**, buka bagian **Tujuan laporan penilaian**.
1. Untuk menggunakan bucket S3 yang ada, pilih nama bucket dari menu tarik-turun.
1. Untuk membuat bucket S3 baru, pilih **Create new bucket**.
1. Setelah selesai, pilih **Simpan**.
------
#### [ AWS CLI ]
**Untuk memperbarui tujuan laporan penilaian default Anda diAWS CLI**
Jalankan perintah [update-settings](https://docs.aws.amazon.com/cli/latest/reference/auditmanager/update-settings.html) dan gunakan `--default-assessment-reports-destination` parameter untuk menentukan bucket S3.
Dalam contoh berikut, ganti {{placeholder text}} dengan informasi Anda sendiri:
```
aws auditmanager update-settings --default-assessment-reports-destination destinationType=S3,destination={{s3://amzn-s3-demo-destination-bucket}}
```
------
#### [ Audit Manager API ]
**Untuk memperbarui tujuan laporan penilaian default Anda menggunakan API**
Panggil [UpdateSettings](https://docs.aws.amazon.com/audit-manager/latest/APIReference/API_UpdateSettings.html)operasi dan gunakan AssessmentReportsDestination parameter [default](https://docs.aws.amazon.com/audit-manager/latest/APIReference/API_UpdateSettings.html#auditmanager-UpdateSettings-request-defaultAssessmentReportsDestination) untuk menentukan bucket S3.
------
## Sumber daya tambahan
+ [Membuat bucket](https://docs.aws.amazon.com/AmazonS3/latest/user-guide/create-bucket.html)
+ [Laporan penilaian](assessment-reports.md)