Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Pencatatan panggilan AWS Directory Service API menggunakan AWS CloudTrail

Microsoft AD API AWS Terkelola terintegrasi dengan AWS CloudTrail, layanan yang menangkap panggilan API yang dilakukan oleh atau atas nama Microsoft AD AWS Terkelola di Anda Akun AWS dan mengirimkan file log ke bucket Amazon S3 yang Anda tentukan. CloudTrail menangkap panggilan API dari konsol Microsoft AD AWS Terkelola dan dari panggilan kode ke Microsoft AD AWS APIs Terkelola. Dengan menggunakan informasi yang dikumpulkan oleh CloudTrail, Anda dapat menentukan permintaan apa yang dibuat untuk Microsoft AD yang AWS dikelola, alamat IP sumber dari mana permintaan itu dibuat, siapa yang membuat permintaan, kapan dibuat, dan sebagainya. Untuk mempelajari selengkapnya CloudTrail, lihat Panduan AWS CloudTrail Pengguna.

AWS Informasi Microsoft AD yang Dikelola di CloudTrail

CloudTrail diaktifkan pada Akun AWS saat Anda membuat akun. Ketika aktivitas terjadi di Microsoft AD yang AWS Dikelola, aktivitas tersebut direkam dalam suatu CloudTrail peristiwa bersama dengan peristiwa AWS layanan lainnya dalam riwayat Acara. Anda dapat melihat, mencari, dan mengunduh acara terbaru di situs Anda Akun AWS. Untuk informasi selengkapnya, lihat Melihat Acara dengan Riwayat CloudTrail Acara.

Untuk catatan peristiwa yang sedang berlangsung di Anda Akun AWS, termasuk acara untuk Microsoft AD yang AWS Dikelola, buat jejak. Jejak memungkinkan CloudTrail untuk mengirimkan file log ke bucket Amazon S3. Secara default, saat Anda membuat jejak di konsol, jejak tersebut berlaku untuk semua AWS Wilayah. Jejak mencatat peristiwa dari semua Wilayah di AWS partisi dan mengirimkan file log ke bucket Amazon S3 yang Anda tentukan. Selain itu, Anda dapat mengonfigurasi AWS layanan lain untuk menganalisis lebih lanjut dan menindaklanjuti data peristiwa yang dikumpulkan dalam CloudTrail log. Untuk informasi selengkapnya, lihat berikut:

Saat CloudTrail logging diaktifkan di Anda Akun AWS, semua panggilan API yang dilakukan ke tindakan Microsoft AD AWS Terkelola dilacak dalam file log. AWS Catatan Microsoft AD yang dikelola ditulis bersama dengan catatan AWS layanan lain dalam file log. CloudTrail menentukan kapan harus membuat dan menulis ke file baru berdasarkan periode waktu dan ukuran file. Semua panggilan yang dilakukan ke panggilan AWS Directory Service API atau CLI dicatat oleh. CloudTrail

Setiap entri log berisi informasi tentang siapa yang membuat permintaan tersebut. Informasi identitas pengguna dalam log membantu Anda menentukan apakah permintaan dibuat dengan kredensi pengguna root atau IAM, dengan kredensial keamanan sementara untuk peran atau pengguna federasi, atau oleh layanan lain. AWS Untuk informasi selengkapnya, lihat bidang UserIdentity di Referensi CloudTrail Acara.

Anda dapat menyimpan file log dalam bucket selama yang diinginkan, tetapi Anda juga dapat menentukan aturan siklus hidup Amazon S3 untuk mengarsipkan atau menghapus file log secara otomatis. Secara default, file log Anda dienkripsi dengan menggunakan enkripsi di sisi server (SSE) Amazon S3.

Anda dapat memilih untuk CloudTrail mempublikasikan notifikasi Amazon SNS saat file log baru dikirimkan jika Anda ingin mengambil tindakan cepat saat pengiriman file log. Untuk informasi lebih lanjut, lihat Mengonfigurasi pemberitahuan Amazon SNS.

Anda juga dapat menggabungkan file log Microsoft AD AWS Terkelola dari beberapa AWS Wilayah dan Akun AWS ke dalam satu bucket Amazon S3. Untuk informasi selengkapnya, lihat Menggabungkan File CloudTrail Log ke Satu Bucket Amazon S3.

Memahami Entri File Log Microsoft AD yang AWS Dikelola

CloudTrail file log dapat berisi satu atau lebih entri log, di mana setiap entri terdiri dari beberapa peristiwa berformat JSON. Entri log mewakili permintaan tunggal dari sumber apa pun dan mencakup informasi tentang tindakan yang diminta, parameter apa pun, tanggal dan waktu tindakan, dan lain-lain. Entri log tidak dijamin berada dalam urutan tertentu; yaitu, mereka bukan jejak tumpukan terurut dari panggilan API publik.

Informasi sensitif, seperti kata sandi, token autentikasi, komentar file, dan konten file disunting dalam entri log.

Contoh berikut menunjukkan contoh entri CloudTrail log untuk Microsoft AD yang AWS Dikelola:

{
  "Records" : [
    {
      "eventVersion" : "1.02",
      "userIdentity" :
      {
        "type" : "IAMUser",
        "principalId" : "<user_id>",
        "arn" : "<user_arn>",
        "accountId" : "<account_id>",
        "accessKeyId" : "<access_key_id>",
        "userName" : "<username>"
      },
      "eventTime" : "<event_time>",
      "eventSource" : "ds.amazonaws.com",
      "eventName" : "CreateDirectory",
      "awsRegion" : "<region>",
      "sourceIPAddress" : "<IP_address>",
      "userAgent" : "<user_agent>",
      "requestParameters" :
      {
        "name" : "<name>",
        "shortName" : "<short_name>",
        "vpcSettings" :
        {
          "vpcId" : "<vpc_id>",
          "subnetIds" : [
            "<subnet_id_1>",
            "<subnet_id_2>"
          ]
        },
        "type" : "<size>",
        "setAsDefault" : <option>,
        "password" : "***OMITTED***"
      },
      "responseElements" :
      {
        "requestId" : "<request_id>",
        "directoryId" : "<directory_id>"
      },
      "requestID" : "<request_id>",
      "eventID" : "<event_id>",
      "eventType" : "AwsApiCall",
      "recipientAccountId" : "<account_id>"
    }
  ]
}