Attivazione e disabilitazione della crittografia dei file di CloudTrail registro con AWS CLI

In questo argomento viene descritto come abilitare e disabilitare SSE la crittografia dei file di KMS registro CloudTrail utilizzando AWS CLI. Per informazioni generali, consulta Crittografia dei file di CloudTrail registro con AWS KMS chiavi (SSE-KMS).

Attivazione della crittografia dei file di CloudTrail registro utilizzando il AWS CLI

• Abilitazione della crittografia dei file di log per un trail

• Abilitazione della crittografia dei file di log per un datastore di eventi

Abilitazione della crittografia dei file di log per un trail

1. Creare una chiave con la AWS CLI. La chiave creata deve trovarsi nella stessa regione del bucket S3 che riceve i CloudTrail file di registro. Per questo passaggio, si utilizza il AWS KMS create-keycomando.

2. Ottieni la politica chiave esistente in modo da poterla modificare per utilizzarla con CloudTrail. È possibile recuperare la politica chiave con il AWS KMS get-key-policycomando.

3. Aggiungi le sezioni obbligatorie alla politica chiave in modo che CloudTrail possano crittografare e gli utenti possano decrittografare i file di registro. Assicurati che a tutti gli utenti che leggeranno i file di log vengano concesse le autorizzazioni di decrittografia. Non modificare le sezioni esistenti della policy. Per informazioni sulle sezioni della policy da includere, consulta Configurare le politiche AWS KMS chiave per CloudTrail.

4. Allega il file JSON di policy modificato alla chiave utilizzando il comando. AWS KMS put-key-policy

5. Eseguite il update-trail comando CloudTrail create-trail or con il --kms-key-id parametro. Questo comando abilita la crittografia dei log.

   aws cloudtrail update-trail --name Default --kms-key-id alias/MyKmsKey

   Il --kms-key-id parametro specifica la chiave per cui è stata modificata la CloudTrail politica. Può avere uno qualsiasi dei seguenti formati:

   • Nome alias. Esempio: alias/MyAliasName

   • Alias ARN. Esempio: arn:aws:kms:us-east-2:123456789012:alias/MyAliasName

   • Chiave ARN. Esempio: arn:aws:kms:us-east-2:123456789012:key/12345678-1234-1234-1234-123456789012

   • ID chiave univoco a livello globale. Esempio: 12345678-1234-1234-1234-123456789012

   Di seguito è riportata una risposta di esempio:

   {
       "IncludeGlobalServiceEvents": true, 
       "Name": "Default", 
       "TrailARN": "arn:aws:cloudtrail:us-east-2:123456789012:trail/Default", 
       "LogFileValidationEnabled": false,
       "KmsKeyId": "arn:aws:kms:us-east-2:123456789012:key/12345678-1234-1234-1234-123456789012", 
       "S3BucketName": "amzn-s3-demo-bucket"
   }

   La presenza dell'elemento KmsKeyId indica che è stata abilitata la crittografia dei file di log. I file di log crittografati dovrebbero apparire nel bucket dopo circa 5 minuti.

Abilitazione della crittografia dei file di log per un datastore di eventi

1. Creare una chiave con la AWS CLI. La chiave che hai creato deve trovarsi nella stessa Regione del datastore di eventi. Per questo passaggio, esegui il AWS KMS create-keycomando.

2. Ottieni la politica chiave esistente da modificare e con cui utilizzarla CloudTrail. È possibile ottenere la politica chiave eseguendo il AWS KMS get-key-policycomando.

3. Aggiungi le sezioni obbligatorie alla politica chiave in modo che CloudTrail possano crittografare e gli utenti possano decrittografare i file di registro. Assicurati che a tutti gli utenti che leggeranno i file di log vengano concesse le autorizzazioni di decrittografia. Non modificare le sezioni esistenti della policy. Per informazioni sulle sezioni della policy da includere, consulta Configurare le politiche AWS KMS chiave per CloudTrail.

4. Allega il file di JSON policy modificato alla chiave eseguendo il comando. AWS KMS put-key-policy

5. Eseguite il update-event-data-store comando CloudTrail create-event-data-store or e aggiungete il --kms-key-id parametro. Questo comando abilita la crittografia dei log.

   aws cloudtrail update-event-data-store --name my-event-data-store --kms-key-id alias/MyKmsKey

   Il --kms-key-id parametro specifica la chiave per cui è stata modificata la CloudTrail politica. Può avere uno qualsiasi dei seguenti quattro formati:

   • Nome alias. Esempio: alias/MyAliasName

   • Alias ARN. Esempio: arn:aws:kms:us-east-2:123456789012:alias/MyAliasName

   • Chiave ARN. Esempio: arn:aws:kms:us-east-1:123456789012:key/12345678-1234-1234-1234-123456789012

   • ID chiave univoco a livello globale. Esempio: 12345678-1234-1234-1234-123456789012

   Di seguito è riportata una risposta di esempio:

   {
       "Name": "my-event-data-store",
       "ARN": "arn:aws:cloudtrail:us-east-1:12345678910:eventdatastore/EXAMPLEf852-4e8f-8bd1-bcf6cEXAMPLE",
       "RetentionPeriod": "90",
       "KmsKeyId": "arn:aws:kms:us-east-1:123456789012:key/12345678-1234-1234-1234-123456789012"
       "MultiRegionEnabled": false,
       "OrganizationEnabled": false,
       "TerminationProtectionEnabled": true,
       "AdvancedEventSelectors": [{
           "Name": "Select all external events",
           "FieldSelectors": [{
               "Field": "eventCategory",
               "Equals": [
                   "ActivityAuditLog"
               ]
           }]
       }]
   }

   La presenza dell'elemento KmsKeyId indica che è stata abilitata la crittografia dei file di log. I file di log crittografati dovrebbero apparire nel datastore di eventi dopo circa 5 minuti.

Disattivazione della crittografia dei file di CloudTrail registro utilizzando il AWS CLI

Per arrestare la crittografia dei log su un trail, esegui update-trail e invia una stringa vuota per il parametro kms-key-id:

aws cloudtrail update-trail --name my-test-trail --kms-key-id ""

Di seguito è riportata una risposta di esempio:

{
    "IncludeGlobalServiceEvents": true, 
    "Name": "Default", 
    "TrailARN": "arn:aws:cloudtrail:us-east-2:123456789012:trail/Default", 
    "LogFileValidationEnabled": false, 
    "S3BucketName": "amzn-s3-demo-bucket"
}

L'assenza del valore KmsKeyId indica che la crittografia dei file di log non è più abilitata.

Importante

Non è possibile interrompere la crittografia dei file di log in un datastore di eventi.