Configuration d’une source de journaux Amazon AWS CloudTrail à l’aide du protocole de l’API REST Amazon AWS S3

Recherche ou création du compartiment S3 qui contient les données que vous souhaitez collecter

Vous devez rechercher ou créer et noter la région du compartiment S3 qui contient les données que vous souhaitez collecter.

1. Connectez-vous à AWS Management Console en tant qu’administrateur.

2. Cliquez sur Services, puis accédez à la console de gestion du service de file d’attente simple.

3. Dans la colonne Région AWS de la liste Compartiments , notez la région où se trouve le compartiment à partir duquel vous souhaitez collecter des données. Vous avez besoin de la région pour la valeur du paramètre Nom de la région lorsque vous ajoutez une source de journal dans JSA.

4. Cochez la case en regard du nom du compartiment, puis dans le panneau qui s’ouvre à droite, cliquez sur Copier l’ARN du compartiment pour copier la valeur dans le presse-papiers. Enregistrez cette valeur ou laissez-la dans le presse-papiers. Vous avez besoin de cette valeur lorsque vous terminez la section « Création de la file d’attente SQS utilisée pour recevoir les notifications ObjectCreated ».

Création de la file d’attente SQS utilisée pour recevoir les notifications ObjectCreated

Vous devez créer une file d’attente SQS et configurer les notifications S3 ObjectCreated dans AWS Management Console lorsque vous utilisez le protocole de l’API REST Amazon AWS S3.

Vous devez suivre la procédure « Recherche du compartiment S3 qui contient les données que vous souhaitez collecter ».

La file d’attente SQS doit se trouver dans la même région que le compartiment AWS S3 à partir duquel la file d’attente est collectée.

1. Connectez-vous à AWS Management Console en tant qu’administrateur.

2. Cliquez sur Services, puis accédez à la console de gestion du service de file d’attente simple.

3. Dans l’angle supérieur droit de la fenêtre, définissez la région sur l’emplacement du compartiment. Vous avez noté cette valeur lorsque vous avez terminé la procédure « Recherche du compartiment S3 qui contient les données que vous souhaitez collecter ».

4. Sélectionnez Créer une nouvelle file d’attente, puis tapez une valeur pour le nom de la file d’attente.

5. Cliquez sur File d’attente standard, sélectionnez Configurer la file d’attente, puis modifiez les valeurs par défaut des attributs de file d’attente suivants.

   • Délai d’expiration de la visibilité par défaut : 60 secondes (vous pouvez utiliser une valeur inférieure. Dans le cas de la collecte à équilibrage de charge, des événements dupliqués peuvent se produire avec des valeurs inférieures à 30 secondes. Cette valeur ne peut pas être égale à 0.)

   • Période de conservation des messages : 14 jours (vous pouvez utiliser une valeur inférieure. Dans le cas d’une collecte étendue, les données peuvent être perdues.)

   Utilisez la valeur par défaut pour les attributs de file d’attente restants.

   D’autres options, telles que Redrive Policy ou SSE, peuvent être utilisées en fonction des exigences de votre environnement AWS. Ces valeurs ne devraient pas affecter la collecte de données.

6. Sélectionnez Créer une file d’attente.

Configuration des autorisations de file d’attente SQS

Vous devez configurer des autorisations de file d’attente SQS pour que les utilisateurs puissent accéder à la file d’attente.

Vous devez terminer Création de la file d’attente SQS utilisée pour recevoir les notifications ObjectCreated.

Vous pouvez définir les autorisations de file d’attente SQS à l’aide de l’éditeur d’autorisations ou d’un document de stratégie JSON.

1. Connectez-vous à AWS Management Console en tant qu’administrateur.

2. Accédez à la console de gestion SQS, puis sélectionnez la file d’attente que vous avez créée dans la liste.

3. Dans la fenêtre Propriétés , sélectionnez Détails, puis notez la valeur du champ ARN . Vous avez besoin de cette valeur lorsque vous terminez la procédure « Création d’une notification ObjectCreated ».

4. Facultatif : définissez les autorisations de file d’attente SQS à l’aide de l’éditeur d’autorisations.

   1. Dans la fenêtre Propriétés , sélectionnez Autorisations > Ajouter une autorisation, puis configurez les paramètres suivants :

      Tableau 1 : paramètres d’autorisation

      Paramètre	Valeur
      Effet	Cliquez sur Autoriser.
      Principal	Cliquez sur Tout le monde (*).
      Actions	Dans la liste, sélectionnez SendMessage

   2. Cliquez sur Ajouter des conditions (facultatif), puis configurez les paramètres suivants :

      Tableau 2 : paramètres Ajouter des conditions (facultatif)

      Paramètre	Valeur
      Qualificatif	Aucun
      Condition	ARNLike
      Clé	Type aws:SourceArn.
      Valeur	ARN du compartiment S3 à partir du moment où vous avez terminé la procédure Recherche ou création du compartiment S3 contenant les données que vous souhaitez collecter . Exemple: aws:s3:::my-example-s3bucket

   3. Cliquez sur Ajouter une condition > Ajouter une autorisation.

5. Facultatif : définissez les autorisations de file d’attente SQS à l’aide d’un document de stratégie JSON.

   1. Dans la fenêtre Propriétés, sélectionnez Modifier le document de police (avancé).

   2. Copiez et collez la stratégie JSON suivante dans la fenêtre Modifier le document de stratégie :

      Le copier-coller peut ne pas conserver l’espace blanc dans la stratégie JSON. L’espace blanc est obligatoire. Si l’espace blanc n’est pas conservé lorsque vous collez la stratégie JSON, collez-le dans un éditeur de texte et restaurez l’espace. Ensuite, copiez et collez la stratégie JSON à partir de votre éditeur de texte dans la fenêtre Modifier le document de stratégie .

6. Cliquez sur Vérifier la stratégie. Assurez-vous que les données sont correctes, puis cliquez sur Enregistrer les modifications.

Création de notifications ObjectCreated

Configurez les notifications ObjectCreated pour les dossiers que vous souhaitez surveiller dans le compartiment S3.

1. Connectez-vous à AWS Management Console en tant qu’administrateur.

2. Cliquez sur Services, accédez à S3, puis sélectionnez un compartiment.

3. Cliquez sur l’onglet Propriétés , puis dans le volet Événements , cliquez sur Ajouter une notification. Configurez les paramètres du nouvel événement.

   Le tableau suivant présente un exemple de configuration de paramètre de notification ObjectCreated :

   Tableau 3 : Exemple : Configuration du paramètre de notification New ObjectCreated

   Paramètre	Valeur
   Nom	Saisissez le nom de votre choix.
   Épreuves	Sélectionnez Tous les événements de création d’objet.
   Préfixe	AWSLogs/ Pourboire: Vous pouvez choisir un préfixe qui contient les données que vous souhaitez rechercher, en fonction de l’emplacement des données et des données que vous souhaitez placer dans la file d’attente. Par exemple; AWSLogs/, CustomPrefix/AWSLogs/, AWSLogs/ 123456789012/.
   Suffixe	json.gz
   Envoyer à	File d’attente SQS Pourboire: Vous pouvez envoyer les données de différents dossiers vers la même file d’attente ou vers des files d’attente différentes en fonction des besoins de votre collection ou de votre locataire JSA . Choisissez une ou plusieurs des méthodes suivantes : Différents dossiers qui vont dans différentes files d’attente Différents dossiers de différents compartiments qui vont dans la même file d’attente Tout, d’un simple compartiment à une seule file d’attente Tout, des compartiments multiples qui vont dans une seule file d’attente
   SQS (en anglais seulement)	SecureQueue_TEST

   Dans l’exemple de la figure 1 d’une configuration de paramètre, des notifications sont créées pour AWSLogs/ à partir de la racine du compartiment. Lorsque vous utilisez cette configuration, tous les événements ObjectCreated déclenchent une notification. S’il y a plusieurs comptes et régions dans le compartiment, tout est traité. Dans cet exemple, json.gz est utilisé. Ce type de fichier peut changer en fonction des données que vous collectez. En fonction du contenu de votre compartiment, vous pouvez omettre l’extension ou choisir une extension qui correspond aux données que vous recherchez dans les dossiers dans lesquels vous avez configuré les événements.

   Au bout d’environ 5 minutes, la file d’attente contenant les données s’affiche. Dans la colonne Messages disponibles , vous pouvez afficher le nombre de messages

4. Cliquez sur Services, puis accédez à Services de file d’attente simple.

5. Dans la liste SecureQueue TEST , sélectionnez Afficher/Supprimer les messages pour afficher les messages.

   Exemple de message :

6. Définissez une autorisation d’utilisateur ou de rôle pour accéder à la file d’attente SQS et pour obtenir l’autorisation de télécharger à partir du compartiment cible. L’utilisateur ou le rôle d’utilisateur doit avoir l’autorisation de lire et de supprimer de la file d’attente SQS. Une fois que JSA a lu la notification, puis téléchargé et traité le fichier cible, le message doit être supprimé de la file d’attente.

   Exemple de politique :

   Vous pouvez ajouter plusieurs compartiments à la file d’attente S3. Pour vous assurer que tous les objets sont accessibles, vous devez avoir un /* de fin à la fin du chemin d’accès au dossier que vous avez ajouté.

   Vous pouvez ajouter cette stratégie directement à un utilisateur, à un rôle d’utilisateur, ou vous pouvez créer un utilisateur à accès minimal avec les autorisations sts :AssumeRole uniquement. Lorsque vous configurez une source de journal dans JSA, configurez le paramètre Assume Role ARN (Assumer l’ARN du rôle) pour que JSA assume le rôle. Pour vous assurer que tous les fichiers en attente d’être traités en une seule exécution (vidage de la file d’attente) peuvent se terminer sans nouvelle tentative, utilisez la valeur par défaut de 1 heure pour le paramètre Durée de session de l’API.

   Lorsque vous utilisez des rôles assumés, assurez-vous que l’ARN de l’utilisateur qui assume la règle se trouve dans les entités approuvées pour ce rôle. Dans le volet Entités approuvées, vous pouvez afficher les entités approuvées qui peuvent assumer le rôle. En outre, l’utilisateur doit avoir l’autorisation d’assumer des rôles dans ce compte (ou tout autre). Seul mon utilisateur de test, no.permissions.user, peut avoir cette autorisation.