› › ›

监控 CloudTrail 日志

编辑

监控 CloudTrail 日志编辑

在本节中，您将了解如何监控和分析使用 Amazon Data Firehose 发送到 Elastic 的 CloudTrail 日志。您将执行以下步骤

在 Kibana 中安装 AWS 集成
将 Cloudtrail 事件导出到 CloudWatch
设置 Firehose 传输流
设置订阅过滤器以将 Cloudtrail 事件路由到传输流
在 Kibana 中可视化您的 CloudTrail 日志

开始之前编辑

我们假设您已经拥有

具有从 AWS 拉取必要数据的权限的 AWS 帐户。
在 Elastic Cloud 上使用我们的托管 Elasticsearch 服务的部署。该部署包括用于存储和搜索数据的 Elasticsearch 集群，以及用于可视化和管理数据的 Kibana。AWS Data Firehose 与 Elastic Stack 版本 7.17 或更高版本兼容，仅在 Elastic Cloud 上运行。

确保部署在 AWS 上，因为 Amazon Data Firehose 传输流专门连接到 AWS 上的端点。

步骤 1：在 Kibana 中安装 AWS 集成编辑

在 Kibana 中，导航到管理 > 集成并浏览目录以查找 Amazon Data Firehose 集成。
导航到设置选项卡，然后单击 安装 Amazon Data Firehose 资产。

步骤 2：将 Cloudtrail 事件导出到 CloudWatch编辑

要将 CloudTrail 日志导出到 CloudWatch，您必须通过以下步骤设置跟踪

转到 AWS 控制台并导航到 CloudTrail。
单击 创建跟踪 并配置 选择跟踪属性 面板上的常规详细信息，例如
- 跟踪名称
- 存储位置
  
  默认情况下，CloudTrail 将数据导出到 S3 存储桶。无法选择退出 S3。
指定加密选项。

将数据从 CloudTrail 导出到 S3 时，建议启用 日志文件 SSE-KMS 加密。您可以使用现有的 AWS KMS 密钥，也可以创建一个新的密钥。
启用 CloudWatch 日志 并确认 日志组名称。

CloudTrail 提供将事件作为日志发送到 CloudWatch 的选项。您必须启用此选项才能将事件转发到 Amazon Data Firehose。

您还需要创建一个 IAM 角色或选择一个现有的角色，以使 CloudTrail 能够将日志事件放入 CloudWatch 流中。
从 选择日志事件 面板中，选择要发送到 Elastic 的事件类型。
查看您在前面步骤中指定的属性和日志事件，然后单击 创建跟踪。
验证一切按预期工作。

打开您刚刚在 CloudWatch 上创建的日志组，并确保有来自您刚刚创建的 CloudTrail 的事件。

步骤 3：设置 Firehose 传输流编辑

现在您拥有一个 CloudWatch 日志组，其中包含来自 CloudTrail 的事件。有关如何设置 Amazon Data Firehose 传输流以将数据发送到 Elastic Cloud 的更多信息，您还可以查看设置指南。

从 Elastic Cloud 上的部署中收集 Elasticsearch 端点和 API 密钥。
- Elasticsearch 端点 URL：输入 Elasticsearch 集群的 Elasticsearch 端点 URL。要查找 Elasticsearch 端点，请转到 Elastic Cloud 控制台并选择 连接详细信息。
- API 密钥：输入编码的 Elastic API 密钥。要创建 API 密钥，请转到 Elastic Cloud 控制台，选择 连接详细信息，然后单击 创建和管理 API 密钥。如果您使用的是具有 限制权限 的 API 密钥，请确保查看索引权限，至少为将用于此传输流的索引提供“auto_configure”和“write”权限。
通过指定以下数据来设置传输流
- Elastic 端点 URL
- API 密钥
- 内容编码：gzip
- 重试持续时间：60（默认）
- 备份设置：仅将失败数据备份到 s3 存储桶

现在您拥有一个 Amazon Data Firehose 传输流，它指定了

源：直接放置
目标：elastic
参数：es_datastream_name：logs-aws.cloudtrail-default

步骤 4：设置订阅过滤器以将 Cloudtrail 事件路由到传输流编辑

Amazon Data Firehose 传输流已准备好将日志发送到您的 Elastic Cloud 部署。

访问包含 CloudTrail 事件的日志组。

打开 CloudTrail 服务发送事件的日志组。您必须使用 Amazon Data Firehose 传输流将这些事件转发到 Elastic Stack。CloudWatch 日志组提供订阅过滤器，它允许您从日志组中选择日志事件并将其转发到其他服务，例如 Amazon Kinesis 流、Amazon Data Firehose 流或 AWS Lambda。

按照以下步骤为 Amazon Data Firehose 创建订阅过滤器。

选择目标帐户。

选择您在步骤 3 中创建的传输流。

授予权限。

按照以下步骤启用 CloudWatch 服务以将日志事件发送到 Amazon Data Firehose 中的传输流

创建一个新的角色，并使用允许 CloudWatch 假设该角色的信任策略。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "logs.eu-north-1.amazonaws.com"
            },
            "Action": "sts:AssumeRole",
            "Condition": {
                "StringLike": {
                    "aws:SourceArn": "arn:aws:logs:eu-north-1:<YOUR ACCOUNT ID>:*"
                }
            }
        }
    ]
}

将新的 IAM 策略分配给该角色，该策略允许“将记录放入”Amazon Data Firehose 传输流中。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "firehose:PutRecord",
            "Resource": "arn:aws:firehose:eu-north-1:<YOUR ACCOUNT ID>:deliverystream/mbranca-dev-cloudtrail-logs"
        }
    ]
}

新角色准备就绪后，您可以在订阅过滤器中选择它。在日志格式选项中选择 Amazon CloudTrail 以配置日志格式和过滤器。