As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.

Criando uma trilha para uma organização com o AWS CLI

Você pode criar uma trilha da organização usando a AWS CLI. AWS CLI É atualizado regularmente com funcionalidades e comandos adicionais. Para ajudar a garantir o sucesso, certifique-se de ter instalado ou atualizado para uma AWS CLI versão recente antes de começar.

Criar ou atualizar um bucket do Amazon S3 a ser usado para armazenar os arquivos de log de uma trilha da organização

Você deve especificar um bucket do Amazon S3 para receber os arquivos de log para uma trilha de organização. Esse bucket deve ter uma política que CloudTrail permita colocar os arquivos de log da organização no bucket.

Veja a seguir um exemplo de política para um bucket do Amazon S3 chamadoamzn-s3-demo-bucket, que pertence à conta de gerenciamento da organização. Substitua amzn-s3-demo-bucket regionmanagementAccountID,trailName,,, e o-organizationID pelos valores da sua organização

Essa política de bucket consiste em três instruções.

O exemplo de política inclui uma chave de condição aws:SourceArn para a política de bucket do Amazon S3. A chave de condição IAM global aws:SourceArn ajuda a garantir que as CloudTrail gravações no bucket do S3 sejam gravadas somente para uma trilha ou trilhas específicas. Em uma trilha da organização, o valor de aws:SourceArn deve ser uma trilha ARN que pertence à conta de gerenciamento e usa a ID da conta de gerenciamento.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AWSCloudTrailAclCheck20150319",
            "Effect": "Allow",
            "Principal": {
                "Service": [
                    "cloudtrail.amazonaws.com"
                ]
            },
            "Action": "s3:GetBucketAcl",
            "Resource": "arn:aws:s3:::amzn-s3-demo-bucket",
            "Condition": {
                "StringEquals": {
                    "aws:SourceArn": "arn:aws:cloudtrail:region:managementAccountID:trail/trailName"
                }
            }
        },
        {
            "Sid": "AWSCloudTrailWrite20150319",
            "Effect": "Allow",
            "Principal": {
                "Service": [
                    "cloudtrail.amazonaws.com"
                ]
            },
            "Action": "s3:PutObject",
            "Resource": "arn:aws:s3:::amzn-s3-demo-bucket/AWSLogs/managementAccountID/*",
            "Condition": {
                "StringEquals": {
                    "s3:x-amz-acl": "bucket-owner-full-control",
                    "aws:SourceArn": "arn:aws:cloudtrail:region:managementAccountID:trail/trailName"
                }
            }
        },
        {
            "Sid": "AWSCloudTrailOrganizationWrite20150319",
            "Effect": "Allow",
            "Principal": {
                "Service": [
                    "cloudtrail.amazonaws.com"
                ]
            },
            "Action": "s3:PutObject",
            "Resource": "arn:aws:s3:::amzn-s3-demo-bucket/AWSLogs/o-organizationID/*",
            "Condition": {
                "StringEquals": {
                    "s3:x-amz-acl": "bucket-owner-full-control",
                    "aws:SourceArn": "arn:aws:cloudtrail:region:managementAccountID:trail/trailName"
                }
            }
        }
    ]
}

Essa política de exemplo não permite que usuários de contas-membro acessem os arquivos de log criados para a organização. Por padrão, os arquivos de log da organização poderão ser acessados somente pela conta de gerenciamento. Para obter informações sobre como permitir acesso de leitura ao bucket do Amazon S3 para IAM usuários em contas de membros, consulte. Compartilhar arquivos de log do CloudTrail entre contas da AWS

Habilitando CloudTrail como um serviço confiável em AWS Organizations

Antes de criar uma trilha da organização, primeiro é necessário habilitar todos os recursos no Organizations. Para obter mais informações, consulte Habilitar todos os recursos na sua organização ou execute o seguinte comando usando um perfil com permissões suficientes na conta de gerenciamento:

aws organizations enable-all-features

Depois de habilitar todos os recursos, você deve configurar o Organizations to trust CloudTrail como um serviço confiável.

Para criar a relação de serviço confiável entre AWS Organizations e CloudTrail, abra um terminal ou linha de comando e use um perfil na conta de gerenciamento. Execute o comando aws organizations enable-aws-service-access, conforme demonstrado no exemplo a seguir.

aws organizations enable-aws-service-access --service-principal cloudtrail.amazonaws.com

Usar create-trail

Criar uma trilha da organização que se aplica a todas as regiões

Para criar uma trilha da organização que se aplica a todas as regiões, adicione as opções --is-organization-trail e --is-multi-region-trail.

O exemplo a seguir cria uma trilha da organização que fornece logs de todas as regiões a um bucket existente chamado amzn-s3-demo-bucket:

aws cloudtrail create-trail --name my-trail --s3-bucket-name amzn-s3-demo-bucket --is-organization-trail --is-multi-region-trail

Para confirmar se a trilha existe em todas as regiões, os parâmetros IsOrganizationTrail e IsMultiRegionTrail no resultado estão configurados como true:

{
    "IncludeGlobalServiceEvents": true, 
    "Name": "my-trail", 
    "TrailARN": "arn:aws:cloudtrail:us-east-2:123456789012:trail/my-trail", 
    "LogFileValidationEnabled": false, 
    "IsMultiRegionTrail": true, 
    "IsOrganizationTrail": true,
    "S3BucketName": "amzn-s3-demo-bucket"
}

Criar uma trilha da organização como uma trilha de região única

O comando a seguir cria uma trilha organizacional que registra somente eventos em uma única trilha Região da AWS, também conhecida como trilha de região única. A AWS região em que os eventos são registrados é a região especificada no perfil de configuração do AWS CLI.

aws cloudtrail create-trail --name my-trail --s3-bucket-name amzn-s3-demo-bucket --is-organization-trail

Para obter mais informações, consulte Requisitos de nomenclatura para os recursos do CloudTrail, buckets do Amazon S3 e chaves do KMS.

Exemplo de resultado:

{
    "IncludeGlobalServiceEvents": true, 
    "Name": "my-trail", 
    "TrailARN": "arn:aws:cloudtrail:us-east-2:123456789012:trail/my-trail", 
    "LogFileValidationEnabled": false,
    "IsMultiRegionTrail": false,
    "IsOrganizationTrail": true,
    "S3BucketName": "amzn-s3-demo-bucket"
}

Por padrão, o comando create-trail cria uma trilha de região única que não habilita a validação do arquivo de log.

Executar update-trail para atualizar uma trilha da organização

Você pode executar o comando update-trail para alterar as definições de configuração de uma trilha da organização ou aplicar uma trilha existente de uma única conta da AWS a toda a organização. Lembre-se de que só é possível executar o comando update-trail na região em que a trilha foi criada.

Aplicar uma trilha existente a uma organização

Para alterar uma trilha existente para que ela também se aplique a uma organização em vez de a uma única AWS conta, adicione a --is-organization-trail opção, conforme mostrado no exemplo a seguir.

aws cloudtrail update-trail --name my-trail --is-organization-trail

Para confirmar se a trilha agora se aplica à organização, o parâmetro IsOrganizationTrail no resultado mostra um valor de true.

{
    "IncludeGlobalServiceEvents": true, 
    "Name": "my-trail", 
    "TrailARN": "arn:aws:cloudtrail:us-east-2:123456789012:trail/my-trail", 
    "LogFileValidationEnabled": false, 
    "IsMultiRegionTrail": true, 
    "IsOrganizationTrail": true, 
    "S3BucketName": "amzn-s3-demo-bucket"
}

No exemplo anterior, a trilha foi configurada para ser aplicada a todas as regiões ("IsMultiRegionTrail": true). Uma trilha aplicada somente a uma única região mostraria o resultado "IsMultiRegionTrail": false na saída.

Converter uma trilha da organização que se aplica a uma única região para que ela se aplique a todas as regiões

Para alterar uma trilha da organização existente para que ela também se aplique a todas as regiões, adicione a opção --is-multi-region-trail, conforme mostrado no exemplo a seguir.

aws cloudtrail update-trail --name my-trail --is-multi-region-trail

Para confirmar se a trilha agora se aplica a todas as regiões, o parâmetro IsMultiRegionTrail no resultado mostra um valor de true.

{
    "IncludeGlobalServiceEvents": true, 
    "Name": "my-trail", 
    "TrailARN": "arn:aws:cloudtrail:us-east-2:123456789012:trail/my-trail", 
    "LogFileValidationEnabled": false, 
    "IsMultiRegionTrail": true, 
    "IsOrganizationTrail": true,
    "S3BucketName": "amzn-s3-demo-bucket"
}