配置您的默认评估报告目的地

生成评测报告时，Audit Manager 会将报告发布到您选择的 S3 存储桶。此 S3 存储桶被称为assessment report destination。您可以选择 Audit Manager 存储您的评估报告的 S3 存储桶。

先决条件

评测报告目标的配置提示

为确保成功生成评估报告，我们建议您对评估报告目标使用以下配置。

同区域存储桶

建议您使用与评测在相同 AWS 区域 中的 S3 存储桶。当您使用同区域存储桶和评测时，您的评测报告最多可以包含 22,000 个证据项目。相反，当您使用跨区域存储桶和评测时，只能包含 3,500 个证据项目。

AWS 区域

您的客户托管密钥（如果您提供了密钥）必须与您的评估区域和您的评估报告目标 S3 存储桶相匹配。 AWS 区域 有关如何更改KMS密钥的说明，请参阅配置您的数据加密设置。有关受支持的 Audit Manager 区域列表，请参阅 Amazon Web Services 一般参考中的 AWS Audit Manager 端点和限额。

S3 存储桶加密

如果您的评估报告目标的存储桶策略要求使用 SSE- 进行服务器端加密 (SSE)KMS，则该存储桶策略中使用的KMS密钥必须与您在 Audit Manager 数据加密设置中配置的KMS密钥匹配。如果您尚未在 Audit Manager 设置中配置KMS密钥，并且您的评估报告目标存储桶策略需要SSE，请确保存储桶策略允许 SSE-S3。有关如何配置用于数据加密的KMS密钥的说明，请参阅配置您的数据加密设置。

跨账户 S3 存储桶

Audit Manager 控制台不支持使用跨账户 S3 存储桶作为评测报告目标。可以使用 AWS CLI 或中的一个来指定跨账户存储桶作为评估报告目的地 AWS SDKs，但为简单起见，我们建议您不要这样做。如果您确实选择使用跨账户 S3 存储桶作为评测报告目标，请考虑以下几点。

• 默认情况下，S3 对象（例如评估报告）归上传对象的 AWS 账户 所有。您可以使用 S3 对象所有权设置来更改此默认行为，以便使用bucket-owner-full-control固定访问控制列表 (ACL) 的账户写入的任何新对象都自动归存储桶所有者所有。

  尽管这不是必需的，但我们建议您对跨账户存储桶设置进行以下更改。进行这些更改可确保存储桶所有者完全控制您发布到其存储桶的评测报告。

  • 将 S3 存储桶的对象所有权设置为首选存储桶所有者，而不是默认的对象写入者

  • 添加存储桶策略以确保上传到该存储桶的对象具有 bucket-owner-full-control ACL

• 要允许 Audit Manager 在跨账户 S3 存储桶中发布报告，您必须将以下 S3 存储桶策略添加到您的评测报告目标。更换 placeholder text 用你自己的信息。此策略中的 Principal 元素是负责评测并创建评测报告的用户或角色。Resource 指定发布报告的跨账户 S3 存储桶。

  {
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "Allow cross account assessment report publishing",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::AssessmentOwnerAccountId:user/AssessmentOwnerUserName"
            },
            "Action": [
                "s3:ListBucket",
                "s3:PutObject",
                "s3:GetObject",
                "s3:GetBucketLocation",
                "s3:PutObjectAcl",
                "s3:DeleteObject"
            ],
            "Resource": [
                "arn:aws:s3:::CROSS-ACCOUNT-BUCKET",
                "arn:aws:s3:::CROSS-ACCOUNT-BUCKET/*"
            ]
        }
    ]
  }

显示更多显示更少

过程

您可以使用 Audit Manager 控制台、 AWS Command Line Interface (AWS CLI) 或 Audit Manager 更新此设置API。

Audit Manager console

在 Audit Manager 控制台上更新您的默认评估报告目标

1. 在评测设置选项卡中，转到评测报告目标部分。

2. 要使用现有 S3 存储桶，请从下拉菜单中选择存储桶名称。

3. 要创建新的 S3 存储桶，请选择创建新存储桶。

4. 完成操作后，选择保存。

AWS CLI

要在中更新您的默认评估报告目的地 AWS CLI

运行 update-settings 命令并使用 --default-assessment-reports-destination 参数指定 S3 存储桶。

在以下示例中，替换 placeholder text 用你自己的信息：

aws auditmanager update-settings --default-assessment-reports-destination destinationType=S3,destination=s3://DOC-EXAMPLE-DESTINATION-BUCKET

Audit Manager API

要更新您的默认评估报告目的地，请使用 API

调用UpdateSettings操作并使用defaultAssessmentReports目标参数指定 S3 存储桶。

其他 资源

• 创建存储桶

• 评测报告