Tutorial: Monitore mudanças importantes em sua organização com a Amazon EventBridge

Faça login em AWS como administrador da conta de gerenciamento da organização e, em seguida, abra o CloudTrail console emhttps://console.aws.amazon.com/cloudtrail/.

Na barra de navegação no canto superior direito do console, escolha a região US East (N. Virginia) (Leste dos EUA (Norte da Virgínia)). Se você escolher uma região diferente, AWS Organizations não aparece como uma opção nas EventBridge configurações da Amazon e CloudTrail não captura informações sobre AWS Organizations.

No painel de navegação, selecione Trilhas.

Escolha Create Trail (Criar trilha).

Em Trail name (Nome da trilha), digite My-Test-Trail.

Execute uma das opções a seguir para especificar onde CloudTrail entregar seus registros:

Escolha Próximo.

Na página Choose log events (Escolher eventos de log), na seção Management events (Eventos de gerenciamento), escolha Read (Ler) e Write (Gravar).

Escolha Próximo.

Verifique suas seleções e escolha Create trail (Criar trilha).

Abra as AWS Lambda console emhttps://console.aws.amazon.com/lambda/.

Se você não tiver familiaridade com o Lambda, escolha Get Started Now (Começar a usar agora) na página de boas-vindas. Caso contrário, escolha Create function (Criar função).

Na página Create function (Criar função), selecione Usar um blueprint (Usar um esquema).

Na caixa de pesquisa Blueprints (Esquemas), digitehello para o filtro e escolha o esquema hello-world.

Selecione Configurar.

Na página Basic information (Informações básicas), faça o seguinte:

1. No nome da função do Lambda, insira LogOrganizationEvents na caixa de texto Name (Nome).

2. Em Role (Função), escolha Create a new role with basic Lambda permissions (Criar uma nova função com permissões básicas do Lambda). Essa função concede à sua função do Lambda permissões para acessar os dados necessários e para gravar seu log de saída.

Edite o código da função do Lambda, conforme mostrado no exemplo a seguir.

console.log('Loading function');

exports.handler = async (event, context) => {
    console.log('LogOrganizationsEvents');
    console.log('Received event:', JSON.stringify(event, null, 2));
    return event.key1;  // Echo back the first key value
    // throw new Error('Something went wrong');
};

Esse código de exemplo registra o evento com uma string de LogOrganizationEvents marcador seguida pela JSON string que compõe o evento.

Escolha a opção Criar função.

Abra o SNS console da Amazon emhttps://console.aws.amazon.com/sns/v3/.

No painel de navegação, escolha Topics (Tópicos).

Selecione Create new topic (Criar novo tópico).

1. Em Topic name (Nome do tópico), digite OrganizationsCloudWatchTopic.

2. Em Display name (Nome de exibição), digite OrgsCWEvnt.

3. Escolha Criar tópico.

Agora você pode criar uma assinatura para o tópico. Escolha o ARN para o tópico que você acabou de criar.

Selecione Create subscription.

1. Na página Create subscription (Criar assinatura), em Protocol (Protocolo), selecione Email (E-mail).

2. Para Endpoint, insira seu endereço de e-mail.

3. Selecione Create subscription. AWS envia um e-mail para o endereço de e-mail que você especificou na etapa anterior. Aguarde até o e-mail chegar e, em seguida, clique no link Confirmar assinatura no e-mail para verificar se você recebeu o e-mail corretamente.

4. Volte ao console e atualize a página. A mensagem Confirmação pendente desaparece e é substituída pelo ID de assinatura agora válido.

Abra o EventBridge console da Amazon emhttps://console.aws.amazon.com/events/.

Defina o console para a região US East (N. Virginia) (Leste dos EUA [Norte da Virgínia]) ou as informações sobre o Organizations não estarão disponíveis. Na barra de navegação no canto superior direito do console, escolha a região US East (N. Virginia) (Leste dos EUA (Norte da Virgínia)).

Para obter instruções sobre a criação de regras, consulte Introdução à Amazon EventBridge no guia EventBridge do usuário da Amazon.

Abra o CloudWatch console emhttps://console.aws.amazon.com/cloudwatch/.

Na página de navegação, escolha Logs.

Em Grupos de registros, escolha o grupo associado à sua função Lambda: /aws/lambda/. LogOrganizationEvents

Cada grupo contém um ou mais streams e deve haver um grupo para hoje. Escolha-o.

Visualize o log. Você deve ver linhas semelhantes às seguintes:

Selecione a linha central da entrada para ver o JSON texto completo do evento recebido. Você pode ver todos os detalhes da API solicitação nas responseElements partes requestParameters e na saída.

2017-03-09T22:45:05.101Z 0999eb20-051a-11e7-a426-cddb46425f16 Received event:
{
    "version": "0",
    "id": "123456-EXAMPLE-GUID-123456",
    "detail-type": "AWS API Call via CloudTrail",
    "source": "aws.organizations",
    "account": "123456789012",
    "time": "2017-03-09T22:44:26Z",
    "region": "us-east-1",
    "resources": [],
    "detail": {
        "eventVersion": "1.04",
        "userIdentity": {
            ...
        },
        "eventTime": "2017-03-09T22:44:26Z",
        "eventSource": "organizations.amazonaws.com",
        "eventName": "CreateOrganizationalUnit",
        "awsRegion": "us-east-1",
        "sourceIPAddress": "192.168.0.1",
        "userAgent": "AWS Organizations Console, aws-internal/3",
        "requestParameters": {
            "parentId": "r-exampleRootId",
            "name": "TestCWEOU"
        },
        "responseElements": {
            "organizationalUnit": {
                "name": "TestCWEOU",
                "id": "ou-exampleRootId-exampleOUId",
                "arn": "arn:aws:organizations::1234567789012:ou/o-exampleOrgId/ou-exampleRootId-exampeOUId"
            }
        },
        "requestID": "123456-EXAMPLE-GUID-123456",
        "eventID": "123456-EXAMPLE-GUID-123456",
        "eventType": "AwsApiCall"
    }
}

Verifique se há uma mensagem de O em sua conta de e-mail rgsCWEvnt (o nome de exibição do seu SNS tópico na Amazon). O corpo do e-mail contém a mesma saída de JSON texto da entrada de registro mostrada na etapa anterior.

Use o CloudTrail console para excluir a trilha chamada My-Test-Trail que você criou na etapa 1.

Se você criou um bucket do Amazon S3 na etapa 1, use o console do Amazon S3 para excluí-lo.

Use o console do Lambda para excluir a função chamada LogOrganizationEvents que você criou na etapa 2.

Use o SNSconsole da Amazon para excluir o SNS tópico da Amazon chamado OrganizationsCloudWatchTopic que você criou na etapa 3.

Use o CloudWatch console para excluir a EventBridge regra chamada OrgsMonitorRule que você criou na etapa 4.

Use o console do Organizations para excluir a UO denominada TestCWEOU que você criou na etapa 5.