建立整合以記錄外部 AWS 的事件 AWS CLI

如果您還沒有可用於整合的一或多個事件資料存放區，請執行 create-event-data-store 以建立事件資料存放區。

下列範例 AWS CLI 命令會建立從外部記錄事件的事件資料存放區 AWS。對於活動事件，eventCategory 欄位選取器值為 ActivityAuditLog。事件資料存放區的保留期間設定為 90 天。依預設，事件資料存放區會收集來自所有區域的事件，但由於這是收集非AWS 事件，所以請新增--no-multi-region-enabled選項將其設定為單一「區域」。依預設會啟用終止保護，且事件資料存放區不會針對組織中的帳戶收集事件。

aws cloudtrail create-event-data-store \
--name my-event-data-store \
--no-multi-region-enabled \
--retention-period 90 \
--advanced-event-selectors '[
    {
      "Name": "Select all external events",
      "FieldSelectors": [
          { "Field": "eventCategory", "Equals": ["ActivityAuditLog"] }
        ]
    }
  ]'

以下是回應範例。

{
    "EventDataStoreArn": "arn:aws:cloudtrail:us-east-1:123456789012:eventdatastore/EXAMPLEf852-4e8f-8bd1-bcf6cEXAMPLE",
    "Name": "my-event-data-store",
    "AdvancedEventSelectors": [
        {
           "Name": "Select all external events",
           "FieldSelectors": [
              {
                  "Field": "eventCategory",
                  "Equals": [
                      "ActivityAuditLog"
                    ]
                }
            ]
        }
    ],
    "MultiRegionEnabled": true,
    "OrganizationEnabled": false,
    "BillingMode": "EXTENDABLE_RETENTION_PRICING",
    "RetentionPeriod": 90,
    "TerminationProtectionEnabled": true,
    "CreatedTimestamp": "2023-10-27T10:55:55.384000-04:00",
    "UpdatedTimestamp": "2023-10-27T10:57:05.549000-04:00"
}

您需要事件資料存放區 ID (或前面回應範例EXAMPLEf852-4e8f-8bd1-bcf6cEXAMPLE中的尾碼)ARN，才能繼續進行下一個步驟並建立頻道。

執行命create-channel令以建立允許合作夥伴或來源應用程式將事件傳送至中的事件資料存放區的通道 CloudTrail。

通道具有下列元件：

若要停止從來源接收事件，請刪除通道。

您需要至少一個目的地事件資料存放區的 ID，才能執行此命令。目的地的有效類型為 EVENT_DATA_STORE。您可以將擷取的事件傳送至多個事件資料存放區。下列範例命令會建立將事件傳送至兩個事件資料存放區的通道，該通道由它們IDs在--destinations參數的Location屬性中表示。--destinations、--name 和 --source 是必要參數。若要擷取來自 CloudTrail 夥伴的事件，請將夥伴的名稱指定為的--source值。若要從外部您自己的應用程式內嵌事件 AWS，請指定Custom為的--source值。

aws cloudtrail create-channel \
    --region us-east-1 \
    --destinations '[{"Type": "EVENT_DATA_STORE", "Location": "EXAMPLEf852-4e8f-8bd1-bcf6cEXAMPLE"}, {"Type": "EVENT_DATA_STORE", "Location": "EXAMPLEg922-5n2l-3vz1- apqw8EXAMPLE"}]'
    --name my-partner-channel \
    --source $partnerSourceName \

在回應您的create-channel指令時，複製新頻道ARN的。您需要在ARN接下來的步驟中執行put-resource-policy和put-audit-events命令。

執行命put-resource-policy令，將資源策略附加至通道。資源JSON策略是指定指定主參與者可以對資源執行的動作以及在何種情況下的政策文件。在頻道的資源策略中定義為主參與者的帳號可以呼叫PutAuditEventsAPI以傳遞事件。

政策所需的資訊取決於整合類型。

資源政策的需求如下：

aws cloudtrail put-resource-policy \
    --resource-arn "channelARN" \
    --policy "{
    "Version": "2012-10-17",
    "Statement":
    [
        {
            "Sid": "ChannelPolicy",
            "Effect": "Allow",
            "Principal":
            {
                "AWS":
                [
                    "arn:aws:iam::111122223333:root",
                    "arn:aws:iam::444455556666:root",
                    "arn:aws:iam::123456789012:root"
                ]
            },
            "Action": "cloudtrail-data:PutAuditEvents",
            "Resource": "arn:aws:cloudtrail:us-east-1:777788889999:channel/EXAMPLE-80b5-40a7-ae65-6e099392355b",
            "Condition":
            {
                "StringEquals":
                {
                    "cloudtrail:ExternalId": "UniqueExternalIDFromPartner"
                }
            }
        }
    ]
}"
                    

如需資源政策的詳細資訊，請參閱AWS CloudTrail 資源型政策範例。

執行PutAuditEventsAPI以擷取您的活動事件 CloudTrail。您將需要要新增之事件的裝載。 CloudTrail 請確定事件裝載中沒有任何敏感或個人識別資訊，然後再將其導入。 CloudTrail請注意，PutAuditEventsAPI使用cloudtrail-dataCLI端點，而不是cloudtrail端點。

下列範例顯示如何使用put-audit-eventsCLI指令。--audit-events 和 --channel-arn 是必要參數。如果在資源政策中定義了外部 ID，則需要 --external-id 參數。您需要在上一個步驟中建立ARN的通道。的值--audit-events是事件物件的JSON陣列。 --audit-events包含來自事件的必要 ID、事件的必要裝載作為的值EventData，以及可在擷取到之後協助驗證事件完整性的選用總和檢查碼。 CloudTrail

aws cloudtrail-data put-audit-events \
--channel-arn $ChannelArn \
--external-id $UniqueExternalIDFromPartner \
--audit-events \
id="event_ID",eventData='"{event_payload}"' \
id="event_ID",eventData='"{event_payload}"',eventDataChecksum="optional_checksum"

以下是包含兩個事件範例的範例命令。

aws cloudtrail-data put-audit-events \
--channel-arn arn:aws:cloudtrail:us-east-1:123456789012:channel/EXAMPLE8-0558-4f7e-a06a-43969EXAMPLE \
--external-id UniqueExternalIDFromPartner \
--audit-events \
id="EXAMPLE3-0f1f-4a85-9664-d50a3EXAMPLE",eventData='"{\"eventVersion\":\0.01\",\"eventSource\":\"custom1.domain.com\", ...
\}"' \
id="EXAMPLE7-a999-486d-b241-b33a1EXAMPLE",eventData='"{\"eventVersion\":\0.02\",\"eventSource\":\"custom2.domain.com\", ...
\}"',eventDataChecksum="EXAMPLE6e7dd61f3ead...93a691d8EXAMPLE"

下列範例命令會新增--cli-input-json參數，以指定事件裝載的 JSON file (custom-events.json)。

aws cloudtrail-data put-audit-events --channel-arn $channelArn --external-id $UniqueExternalIDFromPartner --cli-input-json file://custom-events.json --region us-east-1

以下是範例JSON檔案的範例內容custom-events.json。

{
    "auditEvents": [
      {
        "eventData": "{\"version\":\"eventData.version\",\"UID\":\"UID\",
        \"userIdentity\":{\"type\":\"CustomUserIdentity\",\"principalId\":\"principalId\",
        \"details\":{\"key\":\"value\"}},\"eventTime\":\"2021-10-27T12:13:14Z\",\"eventName\":\"eventName\",
        \"userAgent\":\"userAgent\",\"eventSource\":\"eventSource\",
        \"requestParameters\":{\"key\":\"value\"},\"responseElements\":{\"key\":\"value\"},
        \"additionalEventData\":{\"key\":\"value\"},
        \"sourceIPAddress\":\"12.34.56.78\",\"recipientAccountId\":\"152089810396\"}",
        "id": "1"
      }
   ]
}