AWSSupport-ConfigureDNSQueryLogging - AWS Systems Manager Riferimento al runbook di automazione

Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

AWSSupport-ConfigureDNSQueryLogging

Descrizione

Il AWSSupport-ConfigureDNSQueryLogging runbook configura la registrazione per DNS le query che provengono dal tuo cloud privato virtuale () VPC o per le zone ospitate di Amazon Route 53. Puoi scegliere di pubblicare i log delle query su Amazon Logs, Amazon CloudWatch Simple Storage Service (Amazon S3) o Amazon Data Firehose. Per ulteriori informazioni sulla registrazione delle query e sui log delle query con resolver, consulta Public query logging e Resolver query logging. DNS

Esegui questa automazione (console)

Tipo di documento

Automazione

Proprietario

Amazon

Piattaforme

LinuxmacOS, Windows

Parametri

  • AutomationAssumeRole

    Tipo: stringa

    Descrizione: (Facoltativo) L'Amazon Resource Name (ARN) del ruolo AWS Identity and Access Management (IAM) che consente a Systems Manager Automation di eseguire le azioni per tuo conto. Se non viene specificato alcun ruolo, Systems Manager Automation utilizza le autorizzazioni dell'utente che avvia questo runbook.

  • LogDestinationArn

    Tipo: stringa

    Descrizione: (Facoltativo) Il ARN gruppo CloudWatch Logs, il bucket Amazon S3 o lo stream Firehose a cui desideri inviare i log delle query. Tieni presente che la registrazione delle DNS query pubbliche di Route 53 supporta solo i gruppi Logs. CloudWatch Se non si specifica un valore per questo parametro, l'automazione crea un gruppo CloudWatch Logs con il formato AWSSupport-ConfigureDNSQueryLogging-{automation: EXECUTION_ID } e una politica IAM delle risorse per pubblicare i log delle query. Il gruppo CloudWatch Logs creato dall'automazione ha un periodo di conservazione di 14 giorni.

  • QueryLogType

    Tipo: stringa

    Descrizione: (Facoltativo) I tipi di interrogazioni che si desidera registrare.

    Valori validi: Public | Resolver/Private

    Impostazione predefinita: Pubblico

  • ResourceId

    Tipo: stringa

    Descrizione: (Obbligatorio) L'ID della risorsa di cui desideri registrare le interrogazioni. Se si specifica Public il QueryLogType parametro, la risorsa deve essere l'ID di una zona ospitata privata sulla Route 53. Se si specifica Resolver/Private il QueryLogType parametro, la risorsa deve essere l'ID di unVPC.

IAMAutorizzazioni richieste

Il AutomationAssumeRole parametro richiede le seguenti azioni per utilizzare correttamente il runbook.

  • ec2:DescribeVpcs

  • firehose:ListTagsForDeliveryStream

  • firehose:PutRecord

  • firehose:PutRecordBatch

  • firehose:TagDeliveryStream

  • iam:AttachRolePolicy

  • iam:CreatePolicy

  • iam:CreateRole

  • iam:CreateServiceLinkedRole

  • iam:DeletePolicy

  • iam:DeleteRole

  • iam:DeleteRolePolicy

  • iam:GetPolicy

  • iam:GetRole

  • iam:PassRole

  • iam:PutRolePolicy

  • iam:TagRole

  • iam:UpdateRole

  • logs:CreateLogDelivery

  • logs:CreateLogGroup

  • logs:DeleteLogDelivery

  • logs:DeleteLogGroup

  • logs:DescribeLogGroups

  • logs:DescribeLogStreams

  • logs:DescribeResourcePolicies

  • logs:ListLogDeliveries

  • logs:PutResourcePolicy

  • logs:PutRetentionPolicy

  • logs:UpdateLogDelivery

  • route53:CreateQueryLoggingConfig

  • route53:DeleteQueryLoggingConfig

  • route53:GetHostedZone

  • route53resolver:AssociateResolverQueryLogConfig

  • route53resolver:CreateResolverQueryLogConfig

  • route53resolver:DeleteResolverQueryLogConfig

  • s3:GetBucketAcl

Fasi del documento

  • aws:executeScript- Verifica l'esistenza della risorsa specificata per il ResourceId parametro e verifica se il tipo di risorsa corrisponde all'opzione richiestaQueryLogType.

  • aws:executeScript- Verifica che il valore specificato per il LogDestinationArn parametro corrisponda a quello richiesto. QueryLogType

  • aws:executeScript- Verifica le autorizzazioni richieste a Route 53 per pubblicare i log nel gruppo CloudWatch Logs log e crea la politica IAM delle risorse richiesta se non esiste.

  • aws:executeScript- Abilita la registrazione delle DNS interrogazioni sulla destinazione selezionata.