View a markdown version of this page

Criação de um assinante com acesso a dados no Security Lake - Amazon Security Lake
Exemplo de mensagem de notificação de objeto

As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.

Criação de um assinante com acesso a dados no Security Lake

Escolha um dos métodos de acesso a seguir para criar um assinante com acesso aos dados atuais Região da AWS.

Console

  1. Abra o console do Security Lake em https://console.aws.amazon.com/securitylake/.

  2. Usando o Região da AWS seletor no canto superior direito da página, selecione a região em que você deseja criar o assinante.

  3. No painel de navegação, escolha Assinantes.

  4. Na página Assinantes, escolha Criar assinante.

  5. Para obter Detalhes do assinante, insira o Nome do assinante e uma Descrição opcional.

    A região é preenchida automaticamente conforme a sua seleção atual Região da AWS e não pode ser modificada.

  6. Para Fontes de log e eventos, escolha quais fontes o assinante está autorizado a consumir.

  7. Para Método de acesso a dados, escolha S3 para configurar o acesso aos dados para o assinante.

  8. Para credenciais de assinante, forneça a ID do assinante e a Conta da AWS ID externa.

  9. (Opcional) Para obter Detalhes da notificação, se você quiser que o Security Lake crie uma fila do Amazon SQS que o assinante possa sondar para receber notificações de objetos, selecione fila SQS. Se você quiser que o Security Lake envie notificações EventBridge para um endpoint HTTPS, selecione Endpoint de assinatura.

    Se você selecionar Endpoint da assinatura, faça também o seguinte:

    1. Insira o Endpoint da assinatura. Exemplos de formatos de endpoint válidos incluem http://example.com. Opcionalmente, você também pode fornecer um nome de chave HTTPS e um valor de chave HTTPS.

    2. Para acessar o serviço, crie uma nova função do IAM ou use uma função existente do IAM que dê EventBridge permissão para invocar destinos da API e enviar notificações de objetos para os endpoints corretos.

      Para obter informações sobre como criar uma nova função do IAM, consulte Criar função do IAM para invocar destinos EventBridge da API.

  10. (Opcional) Em Tags, insira até 50 tags para atribuir ao assinante.

    Uma tag é um rótulo que você pode definir e atribuir a determinados tipos de AWS recursos. Cada tag consiste em uma chave de tag necessária e um valor de tag opcional. As tags podem ajudar você a identificar, categorizar e gerenciar recursos de diferentes maneiras. Para saber mais, consulte Marcando recursos do Security Lake.

  11. Escolha Criar.

API

Para criar um assinante com acesso aos dados de forma programática, use a CreateSubscriber operação da API Security Lake. Se você estiver usando o AWS Command Line Interface (AWS CLI), execute o comando https://awscli.amazonaws.com/v2/documentation/api/latest/reference/securitylake/create-subscriber.html create-subscriber.

Em sua solicitação, use esses parâmetros para especificar as seguintes configurações para o assinante:

  • Para sources, especifique cada fonte que você deseja que o assinante acesse.

  • ParasubscriberIdentity, especifique o ID da AWS conta e o ID externo que o assinante usará para acessar os dados de origem.

  • Parasubscriber-name, especifique o nome do assinante.

  • Em accessTypes, especifique S3.

Exemplo 1

O exemplo a seguir cria um assinante com acesso aos dados na AWS região atual para a identidade de assinante especificada para uma AWS fonte.

$ aws securitylake create-subscriber \ 
--subscriber-identity {"accountID": 1293456789123,"externalId": 123456789012} \
--sources [{"awsLogSource": {"sourceName": VPC_FLOW, "sourceVersion": 2.0}}] \
--subscriber-name subscriber name \
--access-types S3

Exemplo 2

O exemplo a seguir cria um assinante com acesso aos dados na AWS região atual para a identidade de assinante especificada para uma fonte personalizada.

$ aws securitylake create-subscriber \ 
--subscriber-identity {"accountID": 1293456789123,"externalId": 123456789012} \
--sources [{"customLogSource": {"sourceName": custom-source-name, "sourceVersion": 2.0}}] \
--subscriber-name subscriber name
--access-types S3

Os exemplos anteriores são formatados para Linux, macOS ou Unix e usam o caractere de continuação de linha de barra invertida (\) para melhorar a legibilidade.

(Opcional) Depois de criar um assinante, use a CreateSubscriberNotification operação para especificar como notificar o assinante quando novos dados forem gravados no data lake para as fontes que você deseja que o assinante acesse. Se você estiver usando o AWS Command Line Interface (AWS CLI), execute o comando https://awscli.amazonaws.com/v2/documentation/api/latest/reference/securitylake/create-subscriber-notification.html create-subscriber-notification.

  • Para substituir o método de notificação padrão (endpoint HTTPS) e criar uma fila do Amazon SQS, especifique valores para os parâmetros sqsNotificationConfiguration.

  • Se você preferir a notificação com um endpoint HTTPS, especifique valores para os parâmetros httpsNotificationConfiguration.

  • Para o targetRoleArn campo, especifique o ARN da função do IAM que você criou para invocar destinos EventBridge da API.

$ aws securitylake create-subscriber-notification \
--subscriber-id "12345ab8-1a34-1c34-1bd4-12345ab9012" \
--configuration httpsNotificationConfiguration={"targetRoleArn"="arn:aws:iam::XXX:role/service-role/RoleName", "endpoint"="https://account-management.$3.$2.securitylake.aws.dev/v1/datalake"}

Para obter osubscriberID, use a ListSubscribers operação da API Security Lake. Se você estiver usando o AWS Command Line Interface (AWS CLI), execute o comando list-subscriber. 

$ aws securitylake list-subscribers

Para alterar posteriormente o método de notificação (fila do Amazon SQS ou endpoint HTTPS) para o assinante, use a UpdateSubscriberNotification operação ou, se estiver usando a AWS CLI, execute o comando update-subscriber-notification. https://awscli.amazonaws.com/v2/documentation/api/latest/reference/securitylake/update-subscriber-notification.html Você também pode alterar o método de notificação usando o console do Security Lake: selecione o assinante na página Assinantes e escolha Editar.

Exemplo de mensagem de notificação de objeto

O exemplo a seguir mostra a notificação do evento no formato de estrutura JSON para a CreateSubscriberNotification operação. 

{
  "source": "aws.s3",
  "time": "2021-11-12T00:00:00Z",
  "account": "123456789012",
  "region": "ca-central-1",
  "resources": [
    "arn:aws:s3:::amzn-s3-demo-bucket"
  ],
  "detail": {
    "bucket": {
      "name": "amzn-s3-demo-bucket"
    },
    "object": {
      "key": "example-key",
      "size": 5,
      "etag": "b57f9512698f4b09e608f4f2a65852e5"
    },
    "request-id": "N4N7GDK58NMKJ12R",
    "requester": "securitylake.amazonaws.com"
  }
}