Utilisation AWS CloudTrail pour enregistrer les WorkDocs API appels Amazon

Vous pouvez utiliser AWS CloudTrail ; pour enregistrer les WorkDocs API appels Amazon. CloudTrail fournit un enregistrement des actions entreprises par un utilisateur, un rôle ou un AWS service sur Amazon WorkDocs. CloudTrail capture tous les API appels pour Amazon WorkDocs sous forme d'événements, y compris les appels depuis la WorkDocs console Amazon et les appels de code vers Amazon WorkDocs APIs.

Si vous créez un suivi, vous pouvez activer la diffusion continue d' CloudTrail événements vers un compartiment Amazon S3, y compris des événements pour Amazon WorkDocs. Si vous ne créez pas de trace, vous pouvez toujours consulter les événements les plus récents dans la CloudTrail console dans Historique des événements.

Les informations collectées par CloudTrail incluent les demandes, les adresses IP à partir desquelles les demandes ont été effectuées, les utilisateurs qui ont fait les demandes et les dates des demandes.

Pour plus d'informations CloudTrail, consultez le guide de AWS CloudTrail l'utilisateur.

WorkDocs Informations Amazon dans CloudTrail

CloudTrail est activé sur votre AWS compte lorsque vous le créez. Lorsqu'une activité a lieu sur Amazon WorkDocs, cette activité est enregistrée dans un CloudTrail événement avec d'autres événements de AWS service dans l'historique des événements. Vous pouvez consulter, rechercher et télécharger les événements récents dans votre AWS compte. Pour plus d'informations, consultez la section Affichage des événements avec l'historique des CloudTrail événements.

Pour un enregistrement continu des événements de votre AWS compte, y compris des événements pour Amazon WorkDocs, créez un parcours. Un suivi permet CloudTrail de fournir des fichiers journaux à un compartiment Amazon S3. Par défaut, lorsque vous créez un journal d’activité dans la console, il s’applique à toutes les régions. Le journal enregistre les événements de toutes les régions de la AWS partition et transmet les fichiers journaux au compartiment Amazon S3 que vous spécifiez. En outre, vous pouvez configurer d'autres AWS services pour analyser plus en détail les données d'événements collectées dans les CloudTrail journaux et agir en conséquence. Pour plus d’informations, consultez :

• Présentation de la création d’un journal d’activité

• CloudTrail services et intégrations pris en charge

• Configuration des SNS notifications Amazon pour CloudTrail

• Réception de fichiers CloudTrail journaux de plusieurs régions et réception de fichiers CloudTrail journaux de plusieurs comptes

Toutes les WorkDocs actions Amazon sont enregistrées CloudTrail et documentées dans le Amazon WorkDocs API Reference. Par exemple, les appels aux UpdateDocument sectionsCreateFolder, DeactivateUser et génèrent des entrées dans les fichiers CloudTrail journaux.

Chaque événement ou entrée de journal contient des informations sur la personne ayant initié la demande. Les informations relatives à l’identité permettent de déterminer les éléments suivants :

• Si la demande a été faite avec les informations IAM d'identification root ou utilisateur.

• Si la demande a été effectuée avec les informations d’identification de sécurité temporaires d’un rôle ou d’un utilisateur fédéré.

• Si la demande a été faite par un autre AWS service.

Pour plus d'informations, consultez l'CloudTrail userIdentityélément.

Comprendre les entrées des fichiers WorkDocs journaux Amazon

Un suivi est une configuration qui permet de transmettre des événements sous forme de fichiers journaux à un compartiment Amazon S3 que vous spécifiez. CloudTrail les fichiers journaux contiennent une ou plusieurs entrées de journal. Un événement représente une demande unique provenant de n'importe quelle source et inclut des informations sur l'action demandée, la date et l'heure de l'action, les paramètres de la demande, etc. CloudTrail les fichiers journaux ne constituent pas une trace ordonnée des API appels publics, ils n'apparaissent donc pas dans un ordre spécifique.

Amazon WorkDocs génère différents types d' CloudTrail entrées, celles du plan de contrôle et celles du plan de données. La différence importante entre les deux est que l'identité de l'utilisateur pour les entrées dans le plan de contrôle est un IAM utilisateur. L'identité de l'utilisateur pour les entrées du plan de données est l'utilisateur de l' WorkDocs annuaire Amazon.

Note

Pour plus de sécurité, créez des utilisateurs fédérés plutôt que des IAM utilisateurs dans la mesure du possible.

Les informations sensibles, telles que les mots de passe, les jetons d'authentification, les commentaires sur les fichiers et le contenu des fichiers, sont consignées dans les entrées de journal. Ils apparaissent sous la forme HIDDEN _ DUE _TO_ SECURITY _ REASONS dans les CloudTrail journaux. Ils apparaissent sous la forme HIDDEN _ DUE _TO_ SECURITY _ REASONS dans les CloudTrail journaux.

L'exemple suivant montre deux entrées de CloudTrail journal pour Amazon WorkDocs : le premier enregistrement concerne une action du plan de contrôle et le second une action du plan de données.

{
  Records : [
    {
      "eventVersion" : "1.01",
      "userIdentity" :
      {
        "type" : "IAMUser",
        "principalId" : "user_id",
        "arn" : "user_arn",
        "accountId" : "account_id",
        "accessKeyId" : "access_key_id",
        "userName" : "user_name"
      },
      "eventTime" : "event_time",
      "eventSource" : "workdocs.amazonaws.com",
      "eventName" : "RemoveUserFromGroup",
      "awsRegion" : "region",
      "sourceIPAddress" : "ip_address",
      "userAgent" : "user_agent",
      "requestParameters" :
      {
        "directoryId" : "directory_id",
        "userSid" : "user_sid",
        "group" : "group"
      },
      "responseElements" : null,
      "requestID" : "request_id",
      "eventID" : "event_id"
    },
    {
      "eventVersion" : "1.01",
      "userIdentity" :
      {
        "type" : "Unknown",
        "principalId" : "user_id",
        "accountId" : "account_id",
        "userName" : "user_name"
      },
      "eventTime" : "event_time",
      "eventSource" : "workdocs.amazonaws.com",      
      "awsRegion" : "region",
      "sourceIPAddress" : "ip_address",
      "userAgent" : "user_agent",
      "requestParameters" :
      {
        "AuthenticationToken" : "**-redacted-**"
      },
      "responseElements" : null,
      "requestID" : "request_id",
      "eventID" : "event_id"
    }
  ]
}