› › › ›

监控 CloudTrail 日志

编辑

监控 CloudTrail 日志

编辑

在本节中，您将学习如何监控和分析通过 Amazon Data Firehose 发送到 Elastic 的 CloudTrail 日志。您将执行以下步骤：

在 Kibana 中安装 AWS 集成
将 CloudTrail 事件导出到 CloudWatch
设置 Firehose 传输流
设置订阅筛选器以将 CloudTrail 事件路由到传输流
在 Kibana 中可视化您的 CloudTrail 日志

开始之前

编辑

我们假设您已经拥有：

一个具有从 AWS 获取必要数据的权限的 AWS 账户。
在 Elastic Cloud 上使用我们的托管 Elasticsearch 服务的部署。该部署包括用于存储和搜索数据的 Elasticsearch 集群，以及用于可视化和管理数据的 Kibana。AWS Data Firehose 仅适用于在 Elastic Cloud 上运行的 7.17 或更高版本的 Elastic Stack。

确保部署在 AWS 上，因为 Amazon Data Firehose 传输流专门连接到 AWS 上的端点。

步骤 1：在 Kibana 中安装 AWS 集成

编辑

在主菜单中找到集成，或使用全局搜索字段。
浏览目录以查找 Amazon Data Firehose 集成。
导航到设置选项卡，然后点击 安装 Amazon Data Firehose 资源。

步骤 2：将 CloudTrail 事件导出到 CloudWatch

编辑

要将 CloudTrail 日志导出到 CloudWatch，您必须通过以下步骤设置一个跟踪：

转到 AWS 控制台并导航到 CloudTrail。
点击 创建跟踪，并在 选择跟踪属性 面板中配置常规详细信息，例如：
- 跟踪名称
- 存储位置
  
  默认情况下，CloudTrail 将数据导出到 S3 存储桶。无法选择不使用 S3。
指定加密选项。

将数据从 CloudTrail 导出到 S3 时，建议启用 日志文件 SSE-KMS 加密。您可以使用现有的 AWS KMS 密钥，或创建一个新的密钥。
启用 CloudWatch Logs 并确认 日志组名称。

CloudTrail 提供了将事件作为日志发送到 CloudWatch 的选项。您必须启用此选项才能将事件转发到 Amazon Data Firehose。

您还需要创建一个 IAM 角色或选择一个现有的 IAM 角色，以使 CloudTrail 能够将日志事件放入 CloudWatch 流中。
在 选择日志事件 面板中，选择要发送到 Elastic 的事件类型。
查看您在上一步中指定的属性和日志事件，然后点击 创建跟踪。
验证一切是否按预期工作。

打开您刚刚在 CloudWatch 上创建的日志组，并确保其中包含您刚刚创建的 CloudTrail 的事件。

步骤 3：设置 Firehose 传输流

编辑

您现在拥有一个包含来自 CloudTrail 的事件的 CloudWatch 日志组。有关如何设置 Amazon Data Firehose 传输流以将数据发送到 Elastic Cloud 的更多信息，您还可以查看设置指南。

从您在 Elastic Cloud 上的部署中收集 Elasticsearch 端点和 API 密钥。
- Elasticsearch 端点 URL：输入 Elasticsearch 集群的 Elasticsearch 端点 URL。要查找 Elasticsearch 端点，请转到 Elastic Cloud 控制台并选择 连接详细信息。
- API 密钥：输入编码的 Elastic API 密钥。要创建 API 密钥，请转到 Elastic Cloud 控制台，选择 连接详细信息 并点击 创建和管理 API 密钥。如果您使用的是具有 限制权限 的 API 密钥，请务必查看索引权限，至少为将与此传输流一起使用的索引提供“auto_configure”和“write”权限。
通过指定以下数据来设置传输流：
- Elastic 端点 URL
- API 密钥
- 内容编码：gzip
- 重试持续时间：60（默认）
- 备份设置：仅将失败的数据备份到 s3 存储桶

您现在已经指定了一个 Amazon Data Firehose 传输流，其中：

源：直接写入
目标：Elastic
参数：es_datastream_name: logs-aws.cloudtrail-default

步骤 4：设置订阅筛选器以将 CloudTrail 事件路由到传输流

编辑

Amazon Data Firehose 传输流已准备好将日志发送到您的 Elastic Cloud 部署。

访问包含 CloudTrail 事件的日志组。

打开 CloudTrail 服务正在发送事件的日志组。您必须使用 Amazon Data Firehose 传输流将这些事件转发到 Elastic Stack。CloudWatch 日志组提供了一个订阅筛选器，允许您选择日志组中的日志事件并将其转发到其他服务，例如 Amazon Kinesis 流、Amazon Data Firehose 流或 AWS Lambda。

按照以下步骤为 Amazon Data Firehose 创建订阅筛选器。

选择目标账户。

选择您在步骤 3 中创建的传输流。

授予权限。

按照以下步骤启用 CloudWatch 服务以将日志事件发送到 Amazon Data Firehose 中的传输流：

创建一个新的角色，并使用信任策略允许 CloudWatch 假设该角色。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "logs.eu-north-1.amazonaws.com"
            },
            "Action": "sts:AssumeRole",
            "Condition": {
                "StringLike": {
                    "aws:SourceArn": "arn:aws:logs:eu-north-1:<YOUR ACCOUNT ID>:*"
                }
            }
        }
    ]
}

为该角色分配一个新的 IAM 策略，允许“将记录放入”Amazon Data Firehose 传输流中。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "firehose:PutRecord",
            "Resource": "arn:aws:firehose:eu-north-1:<YOUR ACCOUNT ID>:deliverystream/mbranca-dev-cloudtrail-logs"
        }
    ]
}

准备好新角色后，您可以在订阅筛选器中选择它。在日志格式选项中选择 Amazon CloudTrail 以配置日志格式和筛选器。

验证编辑

要检查是否存在目标错误日志，请转到 AWS 控制台，访问您的 Amazon Data Firehose 传输流，并检查 目标错误日志 中的条目。

如果一切正确，此列表应为空。如果出现错误，您可以检查详细信息。以下示例显示了一个由于身份验证设置错误而无法将记录发送到 Elastic Stack 的传输流。