監控何時存取排程刪除的 AWS Secrets Manager 秘密

前往 https://console.aws.amazon.com/cloudtrail/ 開啟 CloudTrail 主控台。

在頂端導覽列上，選擇 AWS 區域 以監控秘密。

在左側導覽窗格中，選擇 Trails (追蹤)，然後選擇要為 CloudWatch 設定的追蹤名稱。

在 Trails Configuration (追蹤組態) 頁面，向下捲動到 CloudWatch Logs 部分，然後選擇編輯圖示 ( )。

在 New or existing log group (新建或現有的日誌群組) 中，輸入日誌群組的名稱，例如 CloudTrail/MyCloudWatchLogGroup。

對於 IAM role (IAM 角色)，您可以使用名為 CloudTrail_CloudWatchLogs_Role 的預設角色。此角色有預設的角色政策，內含將 CloudTrail 事件交付至日誌群組所需的許可。

選擇 Continue (繼續) 來儲存您的組態。

在 AWS CloudTrail 將與帳戶中 API 活動相關的 CloudTrail 事件交付至 CloudWatch Logs 日誌群組頁面，選擇 Allow (允許)。

前往 https://console.aws.amazon.com/cloudwatch/ 登入 CloudWatch 主控台。

在頂端導覽列上，選擇您要監控秘密 AWS 的區域。

在左側導覽窗格中，選擇 Logs (日誌)。

在 Log Groups (日誌群組) 中，選取您在之前程序中建立的日誌群組旁的核取方塊，例如 CloudTrail/MyCloudWatchLogGroup。然後，選擇 Create Metric Filter (建立指標篩選條件)。

在 Filter Pattern (篩選條件模式) 中，請輸入或貼上下列內容：

{ $.eventName = "GetSecretValue" && $.errorMessage = "*secret because it was marked for deletion*" }

選擇 Assign Metric (指派指標)。

在 Create Metric Filter and Assign a Metric (建立指標篩選條件並指定指標) 頁面上，請執行下列動作：

1. 針對 Metric Namespace (指標命名空間)，輸入 CloudTrailLogMetrics。

2. 針對 Metric Name (指標名稱)，輸入 AttemptsToAccessDeletedSecrets。

3. 選擇 Show advanced metric settings (顯示進階指標設定)，然後在必要時於 Metric Value (指標值) 中輸入 1。

4. 選擇 Create Filter (建立篩選條件)。

在篩選條件方塊中，選擇 Create Alarm (建立警示)。

在 Create Alarm (建立警示) 視窗中，請執行下列動作：

1. 在 Name (名稱) 輸入 AttemptsToAccessDeletedSecretsAlarm。

2. 在 Whenever: (無論何時：) 的 is: (是) 中，選擇 >=，然後輸入 1。

3. 在 Send notification to: (傳送通知給：) 欄位旁，執行以下其中一項：

   • 若要建立和使用新的 Amazon SNS 主題，請選擇 New list (新清單)，然後輸入新的主題名稱。對於 Email list: (電子郵件清單：) 欄位，請輸入至少一個電子郵件地址。您可以利用逗號分隔來輸入多個電子郵件地址。

   • 若要使用現有的 Amazon SNS 主題，請選擇要使用的主題名稱。如果清單不存在，請選擇 Select list (選取清單)。

4. 選擇建立警示 。