Création d'un magasin de données d'événements pour les événements extérieurs AWS à la console

Vous pouvez créer un magasin de données d'événements pour inclure des événements extérieurs à AWS, puis utiliser CloudTrail Lake pour rechercher, interroger et analyser les données enregistrées par vos applications.

Vous pouvez utiliser les intégrations CloudTrail Lake pour enregistrer et stocker les données d'activité des utilisateurs provenant de l'extérieur AWS, de n'importe quelle source dans vos environnements hybrides, telles que des applications internes ou SaaS hébergées sur site ou dans le cloud, des machines virtuelles ou des conteneurs.

Lorsque vous créez un magasin de données d’événement pour une intégration, vous créez également un canal associé à une politique de ressources.

CloudTrail Les magasins de données sur les événements de Lake sont payants. Lorsque vous créez un magasin de données d’événement, vous choisissez l’option de tarification que vous voulez utiliser pour le magasin de données d’événement. L’option de tarification détermine le coût d’ingestion et de stockage des événements, ainsi que les périodes de conservation par défaut et maximale pour le magasin de données d’événement. Pour plus d'informations sur la CloudTrail tarification et la gestion des coûts du lac, voir AWS CloudTrail Tarification etGestion des coûts CloudTrail du lac.

Pour créer un magasin de données d'événements pour des événements en dehors de AWS

1. Connectez-vous à la CloudTrail console AWS Management Console et ouvrez-la à l'adresse https://console.aws.amazon.com/cloudtrail/.

2. Dans le panneau de navigation, sous Lake, choisissez Entrepôts de données d'événement.

3. Choisissez Créer un magasin de données d’événement.

4. Sur la page Configure event data store (Configurer un magasin de données d'événement), dans General details (Détails généraux), saisissez un nom pour le magasin de données d'événement. Un nom est obligatoire.

5. Choisissez l’option de tarification que vous souhaitez utiliser pour votre magasin de données d’événement. L’option de tarification détermine le coût d’ingestion et de stockage des événements, ainsi que la période de conservation par défaut et maximale pour votre magasin de données d’événement. Pour plus d’informations, veuillez consulter Tarification d’AWS CloudTrail et Gestion des coûts CloudTrail du lac.

   Les options suivantes sont disponibles :

   • Tarif de rétention extensible d’un an : généralement recommandé si vous prévoyez d’ingérer moins de 25 To de données d’événement par mois et souhaitez une période de conservation flexible allant jusqu’à 10 ans. Pendant les 366 premiers jours (période de conservation par défaut), le stockage est inclus sans frais supplémentaires dans le prix d’ingestion. Après 366 jours, la rétention prolongée est disponible moyennant un pay-as-you-go prix. Il s’agit de l’option par défaut.

     • Période de conservation par défaut : 366 jours.

     • Période de conservation maximale : 3 653 jours

   • Tarif de rétention sur sept ans : recommandé si vous prévoyez d’ingérer plus de 25 To de données d’événement par mois et que vous avez besoin d’une période de conservation allant jusqu’à 7 ans. La conservation est incluse dans le prix d’ingestion sans frais supplémentaires.

     • Période de conservation par défaut : 2 557 jours.

     • Période de conservation maximale : 2 557 jours

6. Spécifiez une période de conservation pour le magasin de données d’événement. Les périodes de conservation peuvent être comprises entre 7 jours et 3 653 jours (environ 10 ans) pour l’option de tarification de rétention extensible d’un an, ou entre 7 jours et 2 557 jours (environ sept ans) pour l’option de tarification de rétention sur sept ans.

   CloudTrail Lake détermine s'il convient de conserver un événement en vérifiant si celui-ci se situe dans la période de conservation spécifiée. eventTime Par exemple, si vous spécifiez une période de conservation de 90 jours, les événements CloudTrail seront supprimés lorsqu'ils datent eventTime de plus de 90 jours.

7. (Facultatif) Pour activer le chiffrement en utilisant AWS Key Management Service, choisissez Utiliser le mien AWS KMS key. Choisissez Nouveau pour en AWS KMS key créer une pour vous, ou choisissez Existant pour utiliser une clé KMS existante. Dans Enter KMS alias, spécifiez un alias au format alias/ MyAliasName. L'utilisation de votre propre clé KMS nécessite que vous modifiiez votre politique de clé KMS pour autoriser le chiffrement et le déchiffrement des CloudTrail journaux. Pour plus d'informations, consultezConfigurer les politiques AWS KMS clés pour CloudTrail. CloudTrail prend également en charge les clés AWS KMS multirégionales. Pour plus d’informations, consultez la section Utilisation de clés multi-régions dans le Guide du développeur AWS Key Management Service .

   L'utilisation de votre propre clé KMS entraîne des AWS KMS coûts de chiffrement et de déchiffrement. Une fois que vous avez associé un magasin de données d’événement à une clé KMS, celle-ci ne peut être ni supprimée ni modifiée.

   Note

   Pour activer AWS Key Management Service le chiffrement pour le magasin de données d'événements d'une organisation, vous devez utiliser une clé KMS existante pour le compte de gestion.

8. (Facultatif) Si vous souhaitez interroger les données de votre événement à l’aide d’Amazon Athena, choisissez Activer dans Fédération de requêtes Lake. La fédération vous permet de visualiser les métadonnées associées au magasin de données d’événement dans le catalogue de données d’ AWS Glue et d’exécuter des requêtes SQL sur les données d’événement dans Athena. Les métadonnées des tables stockées dans le catalogue de AWS Glue données permettent au moteur de requête Athena de savoir comment rechercher, lire et traiter les données que vous souhaitez interroger. Pour plus d’informations, consultez Fédérer un magasin de données d’événement.

   Pour activer la fédération de requêtes Lake, choisissez Activer, puis procédez comme suit :

   1. Choisissez si vous souhaitez créer un rôle ou utiliser un rôle IAM existant. AWS Lake Formation utilise ce rôle pour gérer les autorisations pour le magasin de données d’événement fédéré. Lorsque vous créez un nouveau rôle à l'aide de la CloudTrail console, il en crée CloudTrail automatiquement un avec les autorisations requises. Si vous choisissez un rôle existant, assurez-vous que la politique du rôle fournit les autorisations minimales requises.

   2. Si vous créez un rôle, saisissez un nom pour identifier le rôle.

   3. Si vous utilisez un rôle existant, choisissez le rôle que vous souhaitez utiliser. Le rôle doit exister dans votre compte.

9. (Facultatif) Dans la zone Balises, vous pouvez ajouter jusqu’à 50 paires clé-valeur de balise pour vous aider à identifier, trier et contrôler l’accès à votre magasin de données d’événement. Pour plus d'informations sur l'utilisation des politiques IAM pour autoriser l'accès à un magasin de données d'événement basé sur des identifications, consultez Exemples : rejeter l'accès à la création ou à la suppression de magasins de données d'événement en fonction des identifications. Pour plus d'informations sur la manière dont vous pouvez utiliser les balises AWS, consultez la section Marquage de vos AWS ressources dans le Guide de l'utilisateur AWS des ressources de balisage.

10. Choisissez Suivant pour configurer le magasin de données d’événement.

11. Sur la page Choose events (Choisir les événements), sélectionnez Events from integrations (Événements issus des intégrations).

12. Dans Events from integration (Événements issus des intégrations), sélectionnez la source pour transmettre les événements au stockage de données d'événement.

13. Fournissez un nom afin d'identifier le canal de l'intégration. Le nom doit comporter entre 3 et 128 caractères. Les noms peuvent contenir uniquement des lettres, des chiffres, des points, des tirets et des traits de soulignement.

14. Dans Resource policy (Politique de ressources), configurez la politique de ressources pour le canal de l'intégration. Les politiques de ressources sont des documents de politique JSON précisant les actions qu'un principal spécifié peut effectuer sur la ressource ainsi que les conditions dans lesquelles ces actions peuvent être effectuées. Les comptes définis comme principaux dans la politique de ressources peuvent appeler l'API PutAuditEvents pour transmettre des événements à votre canal. Le propriétaire de la ressource dispose d'un accès implicite à la ressource si sa politique IAM autorise l'action cloudtrail-data:PutAuditEvents.

    Les informations requises pour la politique sont déterminées par le type d'intégration. Pour une intégration des directions, ajoute CloudTrail automatiquement les identifiants de AWS compte du partenaire et vous demande de saisir l'identifiant externe unique fourni par le partenaire. Pour une intégration de solution, vous devez spécifier au moins un identifiant de AWS compte comme identifiant principal, et vous pouvez éventuellement saisir un identifiant externe pour éviter toute confusion entre les adjoints.

    Note

    Si vous ne créez pas de politique de ressources pour le canal, seul son propriétaire peut appeler l’API PutAuditEvents sur celui-ci.

    1. Pour une intégration directe, saisissez l'ID externe fourni par votre partenaire. Le partenaire d'intégration fournit un ID externe unique, tel qu'un ID de compte ou une chaîne générée aléatoirement, à utiliser pour l'intégration afin d'éviter tout problème d'adjoint confus. Le partenaire est responsable de la création et de la transmission d'un ID externe unique.

       Vous pouvez sélectionner How to find this? (Comment trouver cela ?) pour consulter la documentation du partenaire expliquant comment trouver l'ID externe.

       

       Note

       Si la politique de ressources inclut un ID externe, tous les appels à l'API PutAuditEvents doivent l'inclure. Cependant, si la politique ne définit pas d’ID externe, le partenaire peut appeler l’API PutAuditEvents et spécifier un paramètre externalId.

    2. Pour une intégration de solution, choisissez Ajouter un AWS compte pour spécifier chaque ID de AWS compte à ajouter en tant que principal dans la politique.

15. Choisissez Suivant pour examiner vos préférences.

16. Sur la page Review and create (Vérifier et créer), examinez vos choix. Choisissez Modifier (Edit) pour apporter des modifications à la section. Lorsque vous êtes prêt à créer le magasin de données d’événement, choisissez Créer un magasin de données d’événement.

17. Le nouvel entrepôt de données d'événement est visible dans la table Entrepôts de données d'événement sur la page Entrepôts de données d'événement.

18. Fournissez l’Amazon Resource Name (ARN) du canal à l’application partenaire. Les instructions pour fournir l'ARN du canal à l'application partenaire se trouvent sur le site Web de documentation du partenaire. Afin d'obtenir davantage d'informations et ouvrir la page du partenaire dans AWS Marketplace, cliquez sur le lien Learn more (En savoir plus) pour le partenaire dans l'onglet Available sources (Sources disponibles) de la page Integrations (Intégrations).

Le magasin de données d'événements commence à intégrer les événements des partenaires CloudTrail via le canal de l'intégration lorsque vous, le partenaire ou les applications partenaires appelez l'PutAuditEventsAPI sur le canal.