Política de SNS tópicos da Amazon para CloudTrail

Para enviar notificações para um SNS tópico, é CloudTrail necessário ter as permissões necessárias. CloudTrailanexa automaticamente as permissões necessárias ao tópico quando você cria um SNS tópico da Amazon como parte da criação ou atualização de uma trilha no CloudTrail console.

CloudTrail adiciona a seguinte declaração à política para você com os seguintes campos:

A política a seguir permite CloudTrail enviar notificações sobre a entrega de arquivos de log das regiões suportadas. Para ter mais informações, consulte CloudTrail Regiões suportadas. Essa é a política padrão anexada a uma política de SNS tópico nova ou existente quando você cria ou atualiza uma trilha e opta por ativar as SNS notificações.

SNSpolítica de tópicos

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AWSCloudTrailSNSPolicy20131101",
            "Effect": "Allow",
            "Principal": {
                "Service": "cloudtrail.amazonaws.com"
            },
            "Action": "SNS:Publish",
            "Resource": "arn:aws:sns:region:SNSTopicOwnerAccountId:SNSTopicName"
        }
    ]
}

Para usar um SNS tópico AWS KMS criptografado da Amazon para enviar notificações, você também deve ativar a compatibilidade entre a fonte do evento (CloudTrail) e o tópico criptografado adicionando a seguinte declaração à política do AWS KMS key.

KMSpolítica chave

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "cloudtrail.amazonaws.com"
            },
            "Action": [
                "kms:GenerateDataKey*",
                "kms:Decrypt"
            ],
            "Resource": "*"
        }
    ]
}

Para obter mais informações, consulte Habilitar compatibilidade entre fontes de eventos de AWS serviços e tópicos criptografados.

Prática recomendada de segurança para políticas SNS temáticas

Por padrão, a declaração IAM de política CloudTrail anexada ao seu SNS tópico da Amazon permite que o responsável pelo CloudTrail serviço publique em um SNS tópico, identificado por umARN. Para ajudar a impedir que um invasor tenha acesso ao seu SNS tópico e envie notificações em nome dos destinatários do CloudTrail tópico, edite manualmente sua política de CloudTrail SNS tópicos para adicionar uma chave de aws:SourceArn condição à declaração de política anexada por. CloudTrail O valor dessa chave é o ARN da trilha ou uma matriz de trilhas ARNs que estão usando o SNS tópico. Como inclui a ID específica da trilha e a ID da conta proprietária da trilha, ela restringe o acesso ao SNS tópico somente às contas que têm permissão para gerenciar a trilha. Antes de adicionar chaves de condição à sua SNS política de tópicos, obtenha o nome do SNS tópico nas configurações da trilha no CloudTrail console.

A aws:SourceAccount chave de condição também é compatível, mas não é recomendada.

Especificar um tópico existente para enviar notificações

Você pode adicionar manualmente as permissões de um SNS tópico da Amazon à sua política de tópicos no SNS console da Amazon e depois especificar o tópico no CloudTrail console.

Solução de problemas da política de SNS tópicos

As seções a seguir descrevem como solucionar problemas com a política de SNS tópicos.

CloudTrail não está enviando notificações para uma região

Quando você cria um novo tópico como parte da criação ou atualização de uma trilha, CloudTrail anexa as permissões necessárias ao seu tópico. A política de tópicos usa o nome principal do serviço"cloudtrail.amazonaws.com",, que permite CloudTrail enviar notificações para todas as regiões.

Se não CloudTrail estiver enviando notificações para uma região, é possível que seu tópico tenha uma política mais antiga que especifique uma CloudTrail conta IDs para cada região. Essa política dá CloudTrail permissão para enviar notificações somente para as regiões especificadas.

A política de tópicos a seguir CloudTrail permite enviar notificações somente para as nove regiões especificadas:

{
    "Version": "2012-10-17",
    "Statement": [{
        "Sid": "AWSCloudTrailSNSPolicy20131101",
        "Effect": "Allow",
        "Principal": {"AWS": [
            "arn:aws:iam::903692715234:root",
            "arn:aws:iam::035351147821:root",
            "arn:aws:iam::859597730677:root",
            "arn:aws:iam::814480443879:root",
            "arn:aws:iam::216624486486:root",
            "arn:aws:iam::086441151436:root",
            "arn:aws:iam::388731089494:root",
            "arn:aws:iam::284668455005:root",
            "arn:aws:iam::113285607260:root"
        ]},
        "Action": "SNS:Publish",
        "Resource": "aws:arn:sns:us-east-1:123456789012:myTopic"
    }]
}

Esta política usa uma permissão com base na CloudTrail conta individualIDs. Para entregar registros para uma nova região, você deve atualizar manualmente a política para incluir o ID da CloudTrail conta dessa região. Por exemplo, como CloudTrail adicionou suporte para a região Leste dos EUA (Ohio), você deve atualizar a política para adicionar o ID ARN da conta dessa região:"arn:aws:iam::475085895292:root".

Como prática recomendada, atualize a política para usar uma permissão com o responsável pelo CloudTrail serviço. Para fazer isso, substitua o ID ARNs da conta pelo nome principal do serviço:"cloudtrail.amazonaws.com".

Isso dá CloudTrail permissão para enviar notificações para regiões atuais e novas. Veja a seguir uma versão atualizada da política anterior:

{
    "Version": "2012-10-17",
    "Statement": [{
        "Sid": "AWSCloudTrailSNSPolicy20131101",
        "Effect": "Allow",
        "Principal": {"Service": "cloudtrail.amazonaws.com"},
        "Action": "SNS:Publish",
        "Resource": "arn:aws:sns:us-west-2:123456789012:myTopic"
    }]
}

Verifique se a política tem os valores corretos:

CloudTrail não está enviando notificações para uma conta de membro em uma organização

Quando uma conta membro com uma trilha AWS Organizations organizacional não está enviando SNS notificações para a Amazon, pode haver um problema com a configuração da política de SNS tópicos. CloudTrail cria trilhas da organização nas contas dos membros mesmo se a validação do recurso falhar, por exemplo, o SNS tópico da trilha da organização não inclui todas as contas dos membrosIDs. Se a política do SNS tópico estiver incorreta, ocorrerá uma falha na autorização.

Para verificar se a política de SNS tópicos de uma trilha tem uma falha de autorização:

Recursos adicionais

Para obter mais informações sobre SNS tópicos e se inscrever neles, consulte o Guia do desenvolvedor do Amazon Simple Notification Service.