AWSConfigRemediation-CreateCloudTrailMultiRegionTrail

Descrição

O runbook AWSConfigRemediation-CreateCloudTrailMultiRegionTrail cria uma trilha do AWS CloudTrail (CloudTrail) que fornece arquivos de log de vários Regiões da AWS para o bucket do Amazon Simple Storage Service (Amazon S3) de sua escolha.

Execute esta automação (console)

Tipo de documento

Automation

Proprietário

Amazon

Plataformas

Linux, macOS, Windows

Parâmetros

• AutomationAssumeRole

  Tipo: sequência

  Descrição: (obrigatório) O nome do recurso da Amazon (ARN) do perfil do AWS Identity and Access Management (IAM) que permite que o Systems Manager Automation realize ações em seu nome.

• BucketName

  Tipo: sequência

  Descrição: (obrigatório) o nome do bucket do Amazon S3 no qual você deseja fazer o upload de logs.

• KeyPrefix

  Tipo: sequência

  Descrição: (opcional) o prefixo da chave do Amazon S3 que é fornecida após o nome do bucket que você designou para a entrega de arquivos de log.

• TrailName

  Tipo: sequência

  Descrição: (obrigatório) o nome da trilha do CloudTrail a ser criada.

Permissões obrigatórias do IAM

O parâmetro AutomationAssumeRole requer as seguintes ações para usar o runbook com êxito.

• ssm:StartAutomationExecution

• ssm:GetAutomationExecution

• cloudtrail:CreateTrail

• cloudtrail:StartLogging

• cloudtrail:GetTrail

• s3:PutObject

• s3:GetBucketAcl

• s3:PutBucketLogging

• s3:ListBucket

Etapas do documento

• aws:executeAwsApi: aceita o nome da trilha e o nome do bucket do Amazon S3 como entrada e cria uma trilha do CloudTrail.

• aws:executeAwsApi: ativa o registro na trilha criada e inicia a entrega do log para o bucket do Amazon S3 que você especificou.

• aws:assertAwsResourceProperty: verifica se a trilha do CloudTrail foi criada.