As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.

Registrando chamadas de AWS Directory Service API usando AWS CloudTrail

A API AWS Managed Microsoft AD é integrada com AWS CloudTrail, um serviço que captura chamadas de API feitas por ou em nome do AWS Managed Microsoft AD em você Conta da AWS e entrega os arquivos de log em um bucket do Amazon S3 que você especificar. CloudTrail captura chamadas de API do console AWS Managed Microsoft AD e de chamadas de código para o AWS Managed Microsoft AD APIs. Usando as informações coletadas por CloudTrail, você pode determinar qual solicitação foi feita ao AWS Managed Microsoft AD, o endereço IP de origem a partir do qual a solicitação foi feita, quem fez a solicitação, quando ela foi feita e assim por diante. Para saber mais sobre isso CloudTrail, consulte o Guia AWS CloudTrail do usuário.

AWS Informações gerenciadas do Microsoft AD em CloudTrail

CloudTrail é ativado no seu Conta da AWS quando você cria a conta. Quando a atividade ocorre no AWS Managed Microsoft AD, essa atividade é registrada em um CloudTrail evento junto com outros eventos AWS de serviço no histórico de eventos. Você pode visualizar, pesquisar e baixar eventos recentes no seu Conta da AWS. Para obter mais informações, consulte Visualização de eventos com histórico de CloudTrail eventos.

Para obter um registro contínuo dos eventos em seu Conta da AWS, incluindo eventos do AWS Managed Microsoft AD, crie uma trilha. Uma trilha permite CloudTrail entregar arquivos de log para um bucket do Amazon S3. Por padrão, quando você cria uma trilha no console, a trilha se aplica a todas as AWS regiões. A trilha registra eventos de todas as regiões na AWS partição e entrega os arquivos de log ao bucket do Amazon S3 que você especificar. Além disso, você pode configurar outros AWS serviços para analisar e agir com base nos dados de eventos coletados nos CloudTrail registros. Para obter mais informações, consulte:

Quando o CloudTrail registro está ativado em seu Conta da AWS, todas as chamadas de API feitas para ações AWS gerenciadas do Microsoft AD são rastreadas em arquivos de log. AWS Os registros gerenciados do Microsoft AD são gravados junto com outros registros AWS de serviço em um arquivo de log. CloudTrail determina quando criar e gravar em um novo arquivo com base no período e no tamanho do arquivo. Todas as chamadas feitas para a AWS Directory Service API ou CLI são registradas por. CloudTrail

Cada entrada de log contém informações sobre quem gerou a solicitação. As informações de identidade do usuário no registro ajudam a determinar se a solicitação foi feita com credenciais de usuário root ou do IAM, com credenciais de segurança temporárias para uma função ou usuário federado ou por outro serviço. AWS Para obter mais informações, consulte o campo userIdentity na Referência de evento do CloudTrail .

Você pode armazenar os arquivos de log no bucket pelo tempo que desejar, mas também pode definir regras do ciclo de vida do Amazon S3 para arquivar ou excluir os arquivos de log automaticamente. Por padrão, os arquivos de log são criptografados usando-se Server-Side Encryption (SSE - Criptografia do lado do servidor) do Amazon S3.

Você pode optar por CloudTrail publicar notificações do Amazon SNS quando novos arquivos de log forem entregues, se quiser tomar medidas rápidas na entrega do arquivo de log. Para obter mais informações, consulte Configuring Amazon SNS Notifications.

Você também pode agregar arquivos de log AWS gerenciados do Microsoft AD de várias AWS regiões Contas da AWS em um único bucket do Amazon S3. Para obter mais informações, consulte Agregando arquivos de CloudTrail log em um único bucket do Amazon S3.

Compreendendo as entradas AWS gerenciadas do arquivo de log do Microsoft AD

CloudTrail os arquivos de log podem conter uma ou mais entradas de log, em que cada entrada é composta por vários eventos formatados em JSON. Uma entrada de log representa uma única solicitação de qualquer origem e inclui informações sobre a ação solicitada, quaisquer parâmetros, a data e hora da ação e assim por diante. As entradas de log não têm garantia de estarem em uma ordem específica; ou seja, elas não são um rastreamento de pilha ordenado das chamadas de API públicas.

As informações confidenciais, como senhas, tokens de autenticação, comentários de arquivos e o conteúdo do arquivo são redigidas nas entradas do registro.

O exemplo a seguir mostra um exemplo de uma entrada de CloudTrail registro para o Microsoft AD AWS gerenciado:

{
  "Records" : [
    {
      "eventVersion" : "1.02",
      "userIdentity" :
      {
        "type" : "IAMUser",
        "principalId" : "<user_id>",
        "arn" : "<user_arn>",
        "accountId" : "<account_id>",
        "accessKeyId" : "<access_key_id>",
        "userName" : "<username>"
      },
      "eventTime" : "<event_time>",
      "eventSource" : "ds.amazonaws.com",
      "eventName" : "CreateDirectory",
      "awsRegion" : "<region>",
      "sourceIPAddress" : "<IP_address>",
      "userAgent" : "<user_agent>",
      "requestParameters" :
      {
        "name" : "<name>",
        "shortName" : "<short_name>",
        "vpcSettings" :
        {
          "vpcId" : "<vpc_id>",
          "subnetIds" : [
            "<subnet_id_1>",
            "<subnet_id_2>"
          ]
        },
        "type" : "<size>",
        "setAsDefault" : <option>,
        "password" : "***OMITTED***"
      },
      "responseElements" :
      {
        "requestId" : "<request_id>",
        "directoryId" : "<directory_id>"
      },
      "requestID" : "<request_id>",
      "eventID" : "<event_id>",
      "eventType" : "AwsApiCall",
      "recipientAccountId" : "<account_id>"
    }
  ]
}