Mengaktifkan dan menonaktifkan enkripsi file CloudTrail log dengan AWS CLI

Buat kunci dengan AWS CLI. Kunci yang Anda buat harus berada di Region yang sama dengan bucket S3 yang menerima file CloudTrail log Anda. Untuk langkah ini, Anda menggunakan AWS KMS create-keyperintah.

Dapatkan kebijakan kunci yang ada sehingga Anda dapat memodifikasinya untuk digunakan CloudTrail. Anda dapat mengambil kebijakan kunci dengan AWS KMS get-key-policyperintah.

Tambahkan bagian yang diperlukan ke kebijakan kunci sehingga CloudTrail dapat mengenkripsi dan pengguna dapat mendekripsi file log Anda. Pastikan bahwa semua pengguna yang membaca file log diberikan izin dekripsi. Jangan mengubah bagian kebijakan yang ada. Untuk informasi tentang bagian kebijakan yang akan disertakan, lihatKonfigurasikan kebijakan AWS KMS utama untuk CloudTrail.

Lampirkan file JSON kebijakan yang dimodifikasi ke kunci dengan menggunakan AWS KMS put-key-policyperintah.

Jalankan update-trail perintah CloudTrail create-trail or dengan --kms-key-id parameter. Perintah ini memungkinkan enkripsi log.

aws cloudtrail update-trail --name Default --kms-key-id alias/MyKmsKey

--kms-key-idParameter menentukan kunci yang kebijakannya Anda modifikasi. CloudTrail Ini bisa berupa salah satu dari format berikut:

Berikut adalah respons contohnya:

{
    "IncludeGlobalServiceEvents": true, 
    "Name": "Default", 
    "TrailARN": "arn:aws:cloudtrail:us-east-2:123456789012:trail/Default", 
    "LogFileValidationEnabled": false,
    "KmsKeyId": "arn:aws:kms:us-east-2:123456789012:key/12345678-1234-1234-1234-123456789012", 
    "S3BucketName": "amzn-s3-demo-bucket"
}

Kehadiran KmsKeyId elemen menunjukkan bahwa enkripsi file log telah diaktifkan. File log terenkripsi akan muncul di bucket Anda dalam waktu sekitar 5 menit.

Buat kunci dengan AWS CLI. Kunci yang Anda buat harus berada di Wilayah yang sama dengan penyimpanan data acara. Untuk langkah ini, jalankan AWS KMS create-keyperintah.

Dapatkan kebijakan kunci yang ada untuk diedit untuk digunakan CloudTrail. Anda bisa mendapatkan kebijakan kunci dengan menjalankan AWS KMS get-key-policyperintah.

Tambahkan bagian yang diperlukan ke kebijakan kunci sehingga CloudTrail dapat mengenkripsi dan pengguna dapat mendekripsi file log Anda. Pastikan bahwa semua pengguna yang membaca file log diberikan izin dekripsi. Jangan mengubah bagian kebijakan yang ada. Untuk informasi tentang bagian kebijakan yang akan disertakan, lihatKonfigurasikan kebijakan AWS KMS utama untuk CloudTrail.

Lampirkan file JSON kebijakan yang diedit ke kunci dengan menjalankan AWS KMS put-key-policyperintah.

Jalankan update-event-data-store perintah CloudTrail create-event-data-store or, dan tambahkan --kms-key-id parameter. Perintah ini memungkinkan enkripsi log.

aws cloudtrail update-event-data-store --name my-event-data-store --kms-key-id alias/MyKmsKey

--kms-key-idParameter menentukan kunci yang kebijakannya Anda modifikasi. CloudTrail Ini bisa berupa salah satu dari empat format berikut:

Berikut adalah respons contohnya:

{
    "Name": "my-event-data-store",
    "ARN": "arn:aws:cloudtrail:us-east-1:12345678910:eventdatastore/EXAMPLEf852-4e8f-8bd1-bcf6cEXAMPLE",
    "RetentionPeriod": "90",
    "KmsKeyId": "arn:aws:kms:us-east-1:123456789012:key/12345678-1234-1234-1234-123456789012"
    "MultiRegionEnabled": false,
    "OrganizationEnabled": false,
    "TerminationProtectionEnabled": true,
    "AdvancedEventSelectors": [{
        "Name": "Select all external events",
        "FieldSelectors": [{
            "Field": "eventCategory",
            "Equals": [
                "ActivityAuditLog"
            ]
        }]
    }]
}

Kehadiran KmsKeyId elemen menunjukkan bahwa enkripsi file log telah diaktifkan. File log terenkripsi akan muncul di penyimpanan data acara Anda dalam waktu sekitar 5 menit.