Registrazione con AWS CloudTrail

AWS App Meshfunziona conAWS CloudTrail, un servizio che offre un registro delle operazioni eseguite da un utente, un ruolo o unAWS servizio in App Mesh. CloudTrail acquisisce tutte le chiamate API per App Mesh come eventi. Le chiamate acquisite includono le chiamate dalla console di App Mesh e le chiamate di codice alle operazioni delle API di App Mesh. Se si crea un trail, è possibile abilitare la distribuzione continua di CloudTrail eventi in un bucket Amazon S3, inclusi gli eventi per App Mesh. Se non configuri un trail, puoi comunque visualizzare gli eventi più recenti nella CloudTrail console in Cronologia degli eventi. Le informazioni raccolte da CloudTrail, consentono di determinare la richiesta effettuata a App Mesh, l'indirizzo IP da cui è partita la richiesta, l'utente o l'account della richiesta, il momento in cui è stata eseguita e altri dettagli.

Per ulteriori informazioni CloudTrail, consulta la Guida perAWS CloudTrail l'utente.

Informazioni su App Mesh in CloudTrail

CloudTrail è abilitato sull'AWSaccount al momento della sua creazione. Quando si verifica un'attività in App Mesh, questa viene registrata in un CloudTrail evento insieme ad altri eventi diAWS servizio nella cronologia degli eventi. È possibile visualizzare, cercare e scaricare gli eventi recenti nell'account AWS. Per ulteriori informazioni, consulta Visualizzazione di eventi mediante la cronologia CloudTrail eventi di.

Per una registrazione continua degli eventi nell'AWSaccount, inclusi gli eventi per App Mesh, crea un trail. Un trail consente di CloudTrail distribuire i file di log in un bucket Amazon S3. Per impostazione predefinita, quando si crea un trail nella console, il trail sarà valido in tutte le regioni AWS. Il trail registra gli eventi di tutte le Regioni nella partizione AWS e distribuisce i file di log nel bucket Amazon S3 specificato. Inoltre, puoi configurare altriAWS servizi per analizzare con maggiore dettaglio e usare i dati evento raccolti nei CloudTrail log. Per ulteriori informazioni, consulta gli argomenti seguenti:

• Panoramica della creazione di un percorso

• CloudTrail Servizi e integrazioni supportati

• Configurazione delle notifiche Amazon SNS per CloudTrail

• Ricezione di file di CloudTrail log da più regioni e Ricezione di file di CloudTrail log da più account

Tutte le operazioni di App Mesh vengono registrate CloudTrail e sono documentate in Azioni delle API. Ad esempio, le chiamate a CreateMeshDescribeMesh, e DeleteMeshle azioni generano voci nei file di CloudTrail registro. Vengono registrate anche le azioni che App Mesh esegue per tuo conto, come la creazione di un ruolo collegato al servizio quando crei una mesh.

Ogni evento o voce di log contiene informazioni sull'utente che ha generato la richiesta. Le informazioni di identità consentono di determinare quanto segue:

• Se la richiesta è stata effettuata con le credenziali utenteAWS Identity and Access Management (IAM) o utente (IAM)

• Se la richiesta è stata effettuata con le credenziali di sicurezza temporanee per un ruolo o un utente federato.

• Se la richiesta è stata effettuata da un altro servizio AWS.

Per ulteriori informazioni, consulta Elemento CloudTrail userIdentity.

Informazioni sulle voci di file di registro di App Mesh

Un trail è una configurazione che consente la distribuzione di eventi come i file di log in un bucket Amazon S3 specificato dall’utente. CloudTrail i file di log possono contenere una o più voci di log. Un evento rappresenta una singola richiesta da un'origine e include informazioni sull’operazione richiesta, data e ora dell'operazione, parametri della richiesta e così via. CloudTrail i file di log non sono una traccia di pila ordinata delle chiamate API pubbliche, quindi non vengono visualizzati in base a un ordine specifico.

L'esempio seguente mostra una voce di CloudTrail log di che illustra l'CreateMeshoperazione.

{
    "eventVersion": "1.05",
    "userIdentity": {
        "type": "IAMUser",
        "principalId": "AKIAIOSFODNN7EXAMPLE",
        "arn": "arn:aws:iam::123456789012:user/Mary_Major",
        "accountId": "123456789012",
        "accessKeyId": "AKIAIOSFODNN7EXAMPLE",
        "userName": "Mary_Major",
        "sessionContext": {
            "sessionIssuer": {},
            "webIdFederationData": {},
            "attributes": {
                "mfaAuthenticated": "false",
                "creationDate": "2019-10-18T14:56:49Z"
            }
        },
        "invokedBy": "signin.amazonaws.com"
    },
    "eventTime": "2019-10-18T15:00:49Z",
    "eventSource": "appmesh.amazonaws.com",
    "eventName": "CreateMesh",
    "awsRegion": "us-east-2",
    "sourceIPAddress": "205.251.233.178",
    "userAgent": "signin.amazonaws.com",
    "requestParameters": {
        "meshName": "my-mesh",
        "clientToken": "00000000-0000-0000-0000-0000000000",
        "spec": {
            "egressFilter": {
                "type": "DROP_ALL"
            }
        }
    },
    "responseElements": {
        "mesh": {
            "meshName": "my-mesh",
            "status": {
                "status": "ACTIVE"
            },
            "metadata": {
                "version": 1,
                "lastUpdatedAt": "Oct 18, 2019 3:00:49 PM",
                "uid": "00000000-0000-0000-0000-000000000000",
                "createdAt": "Oct 18, 2019 3:00:49 PM",
                "arn": "arn:aws:iam::123456789012::mesh/my-mesh"
            },
            "spec": {
                "egressFilter": {
                    "type": "DROP_ALL"
                }
            }
        }
    },
    "requestID": "cb8c167e-EXAMPLE",
    "eventID": "e3c6f4ce-EXAMPLE",
    "readOnly": false,
    "eventType": "AwsApiCall",
    "apiVersion": "2019-01-25",
    "recipientAccountId": 123456789012"
}

App Mesh può anche emettere CloudTrail eventi per la nostraStreamAggregatedResources API App Mesh Envoy Management Service. I clienti possono visualizzare il modo in cui i loro Envoys si connettono e debug facilmente dei problemi che Envoy potrebbe riscontrare durante la connessione al piano di controllo di App Mesh.

L'esempio seguente mostra una voce di CloudTrail log di che illustra l'StreamAggregatedResourcesoperazione.

{
    "eventVersion": "1.08",
    "userIdentity": {
        "type": "AssumedRole",
        "principalId": "AKIAIOSFODNN7EXAMPLE:d060be4ac3244e05aca4e067bfe241f8",
        "arn": "arn:aws:sts::123456789012:assumed-role/Application-TaskIamRole-C20GBLBRLBXE/d060be4ac3244e05aca4e067bfe241f8",
        "accountId": "123456789012",
        "accessKeyId": "AKIAIOSFODNN7EXAMPLE",
        "invokedBy": "appmesh.amazonaws.com"
    },
    "eventTime": "2021-06-09T23:09:46Z",
    "eventSource": "appmesh.amazonaws.com",
    "eventName": "StreamAggregatedResources",
    "awsRegion": "us-west-2",
    "sourceIPAddress": "appmesh.amazonaws.com",
    "userAgent": "appmesh.amazonaws.com",
    "eventID": "e3c6f4ce-EXAMPLE",
    "readOnly": false,
    "eventType": "AwsServiceEvent",
    "managementEvent": true,
    "recipientAccountId": "123456789012",
    "serviceEventDetails": {
        "connectionId": "e3c6f4ce-EXAMPLE",
        "nodeArn": "arn:aws:appmesh:us-west-2:123456789012:mesh/CloudTrail-Test/virtualNode/cloudtrail-test-vn",
        "eventStatus": "ConnectionEstablished",
        "failureReason": ""
    },
    "eventCategory": "Management"
}

IleventStatus campo ha uno dei tre valori a seconda di come Envoy si connette al nostro servizio di gestione App Mesh Envoy:

• ConnectionEstablished— Envoy si è connesso correttamente al piano di controllo App Mesh.

• ConnectionGracefullyTerminated— Envoy è disconnesso dal piano di controllo di App Mesh. Questo è il comportamento previsto, poiché una connessione Envoy viene interrotta ogni 30 minuti circa.

• ConnectionTerminated— Si è verificato un problema durante la connessione di Envoy al piano di controllo App Mesh. Il motivo dell'errore è inserito nelfailureReason campo.