Amazon과 AWS Secrets Manager 이벤트 맞추기 EventBridge

EventBridgeAmazon에서는 CloudTrail 로그 항목의 Secrets Manager 이벤트를 매칭할 수 있습니다. 이러한 이벤트를 찾은 다음 새로 생성된 이벤트를 대상으로 전송하여 조치를 취하도록 EventBridge 규칙을 구성할 수 있습니다. Secrets Manager가 기록하는 CloudTrail 항목 목록은 을 참조하십시오CloudTrail 출품작. 설정 EventBridge 지침은 사용 설명서의 EventBridgeEventBridge 시작하기를 참조하십시오.

모든 변경 사항을 지정된 암호와 매칭

참고

일부 Secrets Manager 이벤트는 대소문자가 다른 암호의 ARN을 반환하므로 둘 이상의 작업과 매칭되는 이벤트 패턴에서 ARN으로 암호를 지정하려면 arn 와(과) aRN 키를 모두 포함해야 할 수 있습니다. 자세한 내용은 AWS  re:Post를 참조하세요.

다음 예제는 암호 변경에 대한 로그 항목과 일치하는 EventBridge 이벤트 패턴을 보여줍니다.

{
    "source": ["aws.secretsmanager"],
    "detail-type": ["AWS API Call via CloudTrail"],
    "detail": {
        "eventSource": ["secretsmanager.amazonaws.com"],
        "eventName": ["DeleteResourcePolicy", "PutResourcePolicy", "RotateSecret", "TagResource", "UntagResource", "UpdateSecret"],
        "responseElements": {
            "arn": ["arn:aws:secretsmanager:us-west-2:012345678901:secret:mySecret-a1b2c3"]
        }
    }
}

암호 값이 교체될 때의 이벤트 매칭

다음 예제는 수동 업데이트 또는 자동 교체로 인해 발생하는 암호 값 변경에 대한 CloudTrail 로그 항목을 일치시키는 EventBridge 이벤트 패턴을 보여줍니다. 이러한 이벤트 중 일부는 Secrets Manager 작업에서 생성되고 일부는 Secrets Manager 서비스에서 생성되므로 두 이벤트 모두에 대해 detail-type을(를) 포함해야 합니다.

{
    "source": ["aws.secretsmanager"],
    "$or": [
        { "detail-type": ["AWS API Call via CloudTrail"] }, 
        { "detail-type": ["AWS Service Event via CloudTrail"] }
    ],
    "detail": {
        "eventSource": ["secretsmanager.amazonaws.com"],
        "eventName": ["PutSecretValue", "UpdateSecret", "RotationSucceeded"]
    }
}