AWSConfigRemediation-EnableCloudFrontAccessLogs

Descrição

O AWSConfigRemediation-EnableCloudFrontAccessLogs runbook permite o registro de acesso para a distribuição Amazon CloudFront (CloudFront) que você especificar.

Execute esta automação (console)

Tipo de documento

Automação

Proprietário

Amazon

Plataformas

Linux, macOS, Windows

Parâmetros

• AutomationAssumeRole

  Tipo: string

  Descrição: (obrigatório) O nome do recurso da Amazon (ARN) do perfil do AWS Identity and Access Management (IAM) que permite que o Systems Manager Automation realize ações em seu nome.

• BucketName

  Tipo: string

  Descrição: (Obrigatório) O nome do bucket do Amazon Simple Storage Service (Amazon S3) em que você deseja armazenar logs de acesso. Não há suporte para buckets da Região da AWS af-south-1, ap-east-1, eu-south-1 e me-south-1.

• CloudFrontId

  Tipo: string

  Descrição: (Obrigatório) O ID da CloudFront distribuição na qual você deseja ativar o login de acesso.

• IncludeCookies

  Tipo: booliano

  Valores válidos: True | False

  Descrição: (Obrigatório) Defina esse parâmetro comotrue, se quiser que os cookies sejam incluídos nos registros de acesso.

• Prefixo

  Tipo: string

  Descrição: (Opcional) Uma string opcional que você CloudFront deseja prefixar no log filenames de acesso da sua distribuição, por exemplo,myprefix/.

Permissões obrigatórias do IAM

O parâmetro AutomationAssumeRole requer as seguintes ações para usar o runbook com êxito.

• ssm:StartAutomationExecution

• ssm:GetAutomationExecution

• cloudfront:GetDistribution

• cloudfront:GetDistributionConfig

• cloudfront:UpdateDistribution

• s3:GetBucketLocation

• s3:GetBucketAcl

• s3:PutBucketAcl

nota

A s3:GetBucketLocation API só pode ser usada para buckets do S3 na mesma conta. Você não pode usá-lo para buckets S3 entre contas.

Etapas do documento

• aws:executeScript- Ativa o registro de acesso para a CloudFront distribuição especificada no CloudFrontDistributionId parâmetro.