Monitora AWS Private CA con eventi CloudWatch

Puoi utilizzare Amazon CloudWatch Events per automatizzare AWS i tuoi servizi e rispondere automaticamente a eventi di sistema come problemi di disponibilità delle applicazioni o modifiche delle risorse. Gli eventi derivanti dai AWS servizi vengono trasmessi a CloudWatch Events quasi in tempo reale. Puoi scrivere regole semplici per indicare quali eventi ti interessano e le azioni automatiche da intraprendere quando un evento corrisponde a una regola. CloudWatch Gli eventi vengono pubblicati almeno una volta. Per ulteriori informazioni, vedere Creazione di una regola per CloudWatch gli eventi che si attiva su un evento.

CloudWatch Gli eventi vengono trasformati in azioni utilizzando Amazon EventBridge. Con EventBridge, puoi utilizzare gli eventi per attivare obiettivi tra cui AWS Lambda funzioni, AWS Batch lavori, SNS argomenti Amazon e molti altri. Per ulteriori informazioni, consulta What Is Amazon EventBridge?

Successo o fallimento durante la creazione di una CA privata

Questi eventi vengono attivati dall'CreateCertificateAuthorityoperazione.

Riuscito

In caso di successo, l'operazione restituisce ARN la nuova CA.

{
   "version":"0",
   "id":"event_ID",
   "detail-type":"ACM Private CA Creation",
   "source":"aws.acm-pca",
   "account":"account",
   "time":"2019-11-04T19:14:56Z",
   "region":"region",
   "resources":[
      "arn:aws:acm-pca:us-east-1:111122223333:certificate-authority/11223344-1234-1122-2233-112233445566"
   ],
   "detail":{
      "result":"success"
   }
}

Errore

In caso di errore, l'operazione restituisce un valore ARN per la CA. UtilizzandoARN, è possibile chiamare DescribeCertificateAuthorityper determinare lo stato della CA.

{
   "version":"0",
   "id":"event_ID",
   "detail-type":"ACM Private CA Creation",
   "source":"aws.acm-pca",
   "account":"account",
   "time":"2019-11-04T19:14:56Z",
   "region":"region",
   "resources":[
      "arn:aws:acm-pca:us-east-1:111122223333:certificate-authority/11223344-1234-1122-2233-112233445566"
   ],
   "detail":{
      "result":"failure"
   }
}

Successo o fallimento nell'emissione di un certificato

Questi eventi vengono attivati dall'IssueCertificateoperazione.

Riuscito

In caso di successo, l'ARNsoperazione restituisce la CA e il nuovo certificato.

{
   "version":"0",
   "id":"event_ID",
   "detail-type":"ACM Private CA Certificate Issuance",
   "source":"aws.acm-pca",
   "account":"account",
   "time":"2019-11-04T19:57:46Z",
   "region":"region",
   "resources":[
      "arn:aws:acm-pca:us-east-1:111122223333:certificate-authority/11223344-1234-1122-2233-112233445566",
      "arn:aws:acm-pca:region:account:certificate-authority/CA_ID/certificate/certificate_ID"
   ],
   "detail":{
      "result":"success"
   }
}

Errore

In caso di errore, l'operazione restituisce un certificato ARN e il certificato ARN della CA. Con il certificatoARN, è possibile GetCertificatechiamare per visualizzare il motivo dell'errore.

{
   "version":"0",
   "id":"event_ID",
   "detail-type":"ACM Private CA Certificate Issuance",
   "source":"aws.acm-pca",
   "account":"account",
   "time":"2019-11-04T19:57:46Z",
   "region":"region",
   "resources":[
      "arn:aws:acm-pca:us-east-1:111122223333:certificate-authority/11223344-1234-1122-2233-112233445566",
      "arn:aws:acm-pca:region:account:certificate-authority/CA_ID/certificate/certificate_ID"
   ],
   "detail":{
      "result":"failure"
   }
}

Riuscita della revoca di un certificato

Questo evento viene attivato dall'operazione. RevokeCertificate

Nessun evento viene inviato se la revoca ha esito negativo o se il certificato è già stato revocato.

Riuscito

In caso di successo, l'operazione restituisce ARNs la CA e il certificato revocato.

{
   "version":"0",
   "id":"event_ID",
   "detail-type":"ACM Private CA Certificate Revocation",
   "source":"aws.acm-pca",
   "account":"account",
   "time":"2019-11-05T20:25:19Z",
   "region":"region",
   "resources":[
      "arn:aws:acm-pca:us-east-1:111122223333:certificate-authority/11223344-1234-1122-2233-112233445566",
      "arn:aws:acm-pca:region:account:certificate-authority/CA_ID/certificate/certificate_ID"
   ],
   "detail":{
      "result":"success"
   }
}

Successo o fallimento nella generazione di un CRL

Questi eventi vengono attivati dall'RevokeCertificateoperazione, che dovrebbe comportare la creazione di un elenco di revoca dei certificati ()CRL.

Riuscito

In caso di successo, l'operazione restituisce ARN la CA associata a. CRL

{
   "version":"0",
   "id":"event_ID",
   "detail-type":"ACM Private CA CRL Generation",
   "source":"aws.acm-pca",
   "account":"account",
   "time":"2019-11-04T21:07:08Z",
   "region":"region",
   "resources":[
      "arn:aws:acm-pca:us-east-1:111122223333:certificate-authority/11223344-1234-1122-2233-112233445566"
   ],
   "detail":{
      "result":"success"
   }
}

Errore 1: CRL impossibile salvare su Amazon S3 a causa di un errore di autorizzazione

Verifica le autorizzazioni del tuo bucket Amazon S3 se si verifica questo errore.

{
   "version":"0",
   "id":"event_ID",
   "detail-type":"ACM Private CA CRL Generation",
   "source":"aws.acm-pca",
   "account":"account",
   "time":"2019-11-07T23:01:25Z",
   "region":"region",
   "resources":[
      "arn:aws:acm-pca:us-east-1:111122223333:certificate-authority/11223344-1234-1122-2233-112233445566"
   ],
   "detail":{
      "result":"failure",
      "reason":"Failed to write CRL to S3. Check your S3 bucket permissions."
   }
}

Errore 2: CRL impossibile salvare su Amazon S3 a causa di un errore interno

Riprovare l'operazione se si verifica questo errore.

{
   "version":"0",
   "id":"event_ID",
   "detail-type":"ACM Private CA CRL Generation",
   "source":"aws.acm-pca",
   "account":"account",
   "time":"2019-11-07T23:01:25Z",
   "region":"region",
   "resources":[
      "arn:aws:acm-pca:us-east-1:111122223333:certificate-authority/11223344-1234-1122-2233-112233445566"
   ],
   "detail":{
      "result":"failure",
      "reason":"Failed to write CRL to S3. Internal failure."
   }
}

Errore 3: CA privata AWS impossibile creare un CRL

Per risolvere questo errore, controlla le tue CloudWatch metriche.

{
   "version":"0",
   "id":"event_ID",
   "detail-type":"ACM Private CA CRL Generation",
   "source":"aws.acm-pca",
   "account":"account",
   "time":"2019-11-07T23:01:25Z",
   "region":"region",
   "resources":[
      "arn:aws:acm-pca:us-east-1:111122223333:certificate-authority/11223344-1234-1122-2233-112233445566"
   ],
   "detail":{
      "result":"failure",
      "reason":"Failed to generate CRL. Internal failure."
   }
}

Successo o fallimento durante la creazione di un rapporto di audit CA

Questi eventi vengono attivati dall'CreateCertificateAuthorityAuditReportoperazione.

Riuscito

In caso ARN di successo, l'operazione restituisce la CA e l'ID del rapporto di controllo.

{
   "version":"0",
   "id":"event_ID",
   "detail-type":"ACM Private CA Audit Report Generation",
   "source":"aws.acm-pca",
   "account":"account",
   "time":"2019-11-04T21:54:20Z",
   "region":"region",
   "resources":[
      "arn:aws:acm-pca:us-east-1:111122223333:certificate-authority/11223344-1234-1122-2233-112233445566",
      "audit_report_ID"
   ],
   "detail":{
      "result":"success"
   }
}

Errore

Un rapporto di controllo può avere esito negativo CA privata AWS quando non sono PUT disponibili le autorizzazioni sul bucket Amazon S3, quando la crittografia è abilitata nel bucket o per altri motivi.

{
   "version":"0",
   "id":"event_ID",
   "detail-type":"ACM Private CA Audit Report Generation",
   "source":"aws.acm-pca",
   "account":"account",
   "time":"2019-11-04T21:54:20Z",
   "region":"region",
   "resources":[
      "arn:aws:acm-pca:us-east-1:111122223333:certificate-authority/11223344-1234-1122-2233-112233445566",
      "audit_report_ID"
   ],
   "detail":{
      "result":"failure"
   }
}