Policy SNS tematica di Amazon per CloudTrail

Per inviare notifiche a un SNS argomento, è CloudTrail necessario disporre delle autorizzazioni richieste. CloudTrailassegna automaticamente le autorizzazioni richieste all'argomento quando crei un SNS argomento Amazon come parte della creazione o dell'aggiornamento di un percorso nella CloudTrail console.

CloudTrail aggiunge automaticamente alla policy la seguente dichiarazione con i seguenti campi:

La seguente politica consente di CloudTrail inviare notifiche sulla consegna dei file di registro dalle regioni supportate. Per ulteriori informazioni, consulta CloudTrail Regioni supportate. Questa è la politica predefinita che viene allegata a una politica di SNS argomento nuova o esistente quando si crea o si aggiorna un percorso e si sceglie di abilitare SNS le notifiche.

SNSpolitica dell'argomento

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AWSCloudTrailSNSPolicy20131101",
            "Effect": "Allow",
            "Principal": {
                "Service": "cloudtrail.amazonaws.com"
            },
            "Action": "SNS:Publish",
            "Resource": "arn:aws:sns:region:SNSTopicOwnerAccountId:SNSTopicName"
        }
    ]
}

Per utilizzare un SNS argomento Amazon AWS KMS crittografato per inviare notifiche, devi anche abilitare la compatibilità tra l'origine dell'evento (CloudTrail) e l'argomento crittografato aggiungendo la seguente dichiarazione alla politica di. AWS KMS key

KMSpolitica chiave

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "cloudtrail.amazonaws.com"
            },
            "Action": [
                "kms:GenerateDataKey*",
                "kms:Decrypt"
            ],
            "Resource": "*"
        }
    ]
}

Per ulteriori informazioni, consulta Abilitare la compatibilità tra le fonti di eventi provenienti dai AWS servizi e gli argomenti crittografati.

Procedure ottimali di sicurezza per la politica SNS tematica

Per impostazione predefinita, la dichiarazione IAM politica CloudTrail allegata al tuo SNS argomento Amazon consente al responsabile del CloudTrail servizio di pubblicare su un SNS argomento, identificato da unARN. Per impedire a un utente malintenzionato di accedere al tuo SNS argomento e di inviare notifiche per conto dei CloudTrail destinatari dell'argomento, modifica manualmente la policy relativa all' CloudTrail SNSargomento aggiungendo una chiave di aws:SourceArn condizione all'informativa allegata da. CloudTrail Il valore di questa chiave è il ARN percorso, o una serie di percorsi ARNs che utilizzano l'SNSargomento. Poiché include sia l'ID specifico del percorso che l'ID dell'account proprietario del percorso, limita l'accesso all'SNSargomento solo agli account autorizzati a gestire il percorso. Prima di aggiungere le chiavi delle condizioni alla politica dell'SNSargomento, recupera il nome dell'SNSargomento dalle impostazioni del percorso nella CloudTrail console.

Anche la chiave di condizione aws:SourceAccount è supportata, ma non consigliata.

Specificare un argomento esistente per l'invio di notifiche

Puoi aggiungere manualmente le autorizzazioni per un SNS argomento di Amazon alla politica degli argomenti nella SNS console Amazon e quindi specificare l'argomento nella CloudTrail console.

Risoluzione dei problemi relativi alla politica dell'SNSargomento

Le sezioni seguenti descrivono come risolvere i problemi relativi alla politica dell'SNSargomento.

CloudTrail non sta inviando notifiche per una regione

Quando crei un nuovo argomento come parte della creazione o dell'aggiornamento di un percorso, CloudTrail assegna le autorizzazioni necessarie all'argomento. La politica dell'argomento utilizza il nome principale del servizio"cloudtrail.amazonaws.com", che consente di CloudTrail inviare notifiche per tutte le regioni.

Se non invia notifiche per una regione, CloudTrail è possibile che l'argomento abbia una politica precedente che specifica l' CloudTrail account IDs per ciascuna regione. Questa politica CloudTrail autorizza l'invio di notifiche solo per le regioni specificate.

La seguente politica tematica consente di CloudTrail inviare notifiche solo per le nove regioni specificate:

{
    "Version": "2012-10-17",
    "Statement": [{
        "Sid": "AWSCloudTrailSNSPolicy20131101",
        "Effect": "Allow",
        "Principal": {"AWS": [
            "arn:aws:iam::903692715234:root",
            "arn:aws:iam::035351147821:root",
            "arn:aws:iam::859597730677:root",
            "arn:aws:iam::814480443879:root",
            "arn:aws:iam::216624486486:root",
            "arn:aws:iam::086441151436:root",
            "arn:aws:iam::388731089494:root",
            "arn:aws:iam::284668455005:root",
            "arn:aws:iam::113285607260:root"
        ]},
        "Action": "SNS:Publish",
        "Resource": "aws:arn:sns:us-east-1:123456789012:myTopic"
    }]
}

Questa politica utilizza un'autorizzazione basata sull' CloudTrail account individualeIDs. Per inviare i log per una nuova regione, devi aggiornare manualmente la politica per includere l'ID dell' CloudTrailaccount per quella regione. Ad esempio, poiché è CloudTrail stato aggiunto il supporto per la regione Stati Uniti orientali (Ohio), è necessario aggiornare la politica per aggiungere l'ID dell'account ARN per quella regione:. "arn:aws:iam::475085895292:root"

Come procedura consigliata, aggiorna la politica per utilizzare un'autorizzazione con il responsabile del CloudTrail servizio. A tale scopo, sostituisci l'ID dell'account ARNs con il nome principale del servizio:"cloudtrail.amazonaws.com".

Ciò consente CloudTrail di inviare notifiche per le regioni attuali e nuove. Di seguito è riportata una versione aggiornata del policy precedente:

{
    "Version": "2012-10-17",
    "Statement": [{
        "Sid": "AWSCloudTrailSNSPolicy20131101",
        "Effect": "Allow",
        "Principal": {"Service": "cloudtrail.amazonaws.com"},
        "Action": "SNS:Publish",
        "Resource": "arn:aws:sns:us-west-2:123456789012:myTopic"
    }]
}

Verifica che la policy includa i valori corretti:

CloudTrail non sta inviando notifiche per un account membro di un'organizzazione

Quando un account membro con un percorso AWS Organizations organizzativo non invia SNS notifiche Amazon, potrebbe esserci un problema con la configurazione della policy dell'SNSargomento. CloudTrail crea gli itinerari organizzativi negli account dei membri anche se la convalida di una risorsa fallisce, ad esempio, l'SNSargomento dell'organization trail non include tutti gli account IDs dei membri. Se la politica dell'SNSargomento non è corretta, si verifica un errore di autorizzazione.

Per verificare se la politica degli SNS argomenti di un percorso presenta un errore di autorizzazione:

Risorse aggiuntive

Per ulteriori informazioni sugli SNS argomenti e su come abbonarsi, consulta la Amazon Simple Notification Service Developer Guide.