本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。
啟用 AWS Managed Microsoft AD 的 Amazon CloudWatch Logs 日誌轉送
您可以使用 Directory Service 主控台或 APIs，將網域控制站安全事件日誌轉送至 AWS Managed Microsoft AD 的 Amazon CloudWatch Logs。這可讓目錄中的安全事件公開透明，協助滿足安全監控、稽核和日誌保留政策需求。
CloudWatch Logs 也可以將這些事件轉送到其他 AWS 帳戶、 AWS 服務或第三方應用程式。您可以更輕鬆地集中監控和設定提醒，以近乎即時的速度主動偵測和回應不尋常的活動。
啟用之後，即可使用 CloudWatch Logs 主控台，從您啟用服務時所指定的日誌群組擷取資料。此日誌群組包含您網域控制器的安全日誌。
如需日誌群組以及如何讀取它們的資料的詳細資訊，請參閱《Amazon CloudWatch Logs 使用者指南》中的使用日誌群組和日誌串流兩節。
注意
使用 AWS 管理主控台 啟用 Amazon CloudWatch Logs 日誌轉送
您可以在 中為 AWS Managed Microsoft AD 啟用 Amazon CloudWatch Logs 日誌轉送 AWS 管理主控台。
-
在 Directory Service 主控台
導覽窗格中，選擇 Directories (目錄)。 -
選擇您要共用之 AWS Managed Microsoft AD 目錄的目錄 ID。
-
在目錄詳細資訊頁面上，執行下列其中一項：
-
如果多區域複寫下顯示多個區域，請選取要啟用日誌轉發的區域，然後選擇聯網和安全索引標籤。如需詳細資訊，請參閱主要區域與其他區域。
-
如果多區域複寫下沒有顯示任何區域，請選擇聯網和安全索引標籤。
-
-
在 Log forwarding (日誌轉發) 部分，選擇 Enable (啟用)。
-
在啟用日誌轉發至 CloudWatch 對話方塊中，選擇下列其中一個選項：
-
在 CloudWatch 日誌群組名稱底下，選取建立新的 CloudWatch 日誌群組，指定您可以在 CloudWatch Logs 中參考的名稱。
-
選取 Choose an existing CloudWatch log group (選擇現有 CloudWatch 日誌群組)，並在 Existing CloudWatch log groups (現有 CloudWatch 日誌群組) 中，從功能表選出一個日誌群組。
-
-
檢閱價格資訊和連結，然後選擇 Enable (啟用)。
使用 CLI 或 PowerShell 啟用 Amazon CloudWatch Logs 日誌轉送
使用 ds create-log-subscription 指令之前，必須先建立 Amazon CloudWatch 日誌群組，然後建立 IAM 資源政策以授與該群組必要的許可。若要使用 CLI 或 PowerShell 啟用日誌轉送，請完成下列步驟。
步驟 1：在 CloudWatch Logs 中建立日誌群組
建立日誌群組以接收網域控制器的安全日誌。我們建議在名稱前面加上 /aws/directoryservice/，但這並非必要步驟。例如：
如需有關如何建立 CloudWatch 日誌群組的詳細資訊，請參閱《Amazon CloudWatch Logs 使用者指南》中的在 CloudWatch Logs 中建立日誌群組。
步驟 2：在 IAM 中建立 CloudWatch Logs 資源政策
建立 CloudWatch Logs 資源政策，授予將日誌新增至您在步驟 1 中建立之新日誌群組 Directory Service 的權限。您可以指定日誌群組的確切 ARN，以限制 對其他日誌群組 Directory Service的存取，或使用萬用字元來包含所有日誌群組。下列範例政策使用 萬用字元方法，來識別將包含目錄所在 AWS 帳戶的所有以 /aws/directoryservice/ 開頭的日誌群組。
您必須在本機工作站上將此政策儲存為文字檔格式 (例如 DSPolicy.json)，以便之後從 CLI 加以執行。例如：
步驟 3：建立 Directory Service 日誌訂閱
在此最終步驟中，您可以藉由建立日誌訂閱，來啟用日誌轉發功能。例如：
