本文為英文版的機器翻譯版本,如內容有任何歧義或不一致之處,概以英文版為準。
AWSSupport-ConfigureDNSQueryLogging
Description
AWSSupport-ConfigureDNSQueryLogging
執行手冊會針對來自虛擬私有雲端 (VPC) 或 Amazon Route 53 託管區域的DNS查詢設定記錄。您可以選擇將查詢日誌發佈到 Amazon CloudWatch 日誌、Amazon 簡單儲存服務 (Amazon S3) 或亞馬遜資料 Firehose。如需有關查詢記錄和解析器查詢記錄檔的詳細資訊,請參閱公用DNS查詢記錄和解析器查詢記錄。
文件類型
自動化
擁有者
Amazon
平台
Linux,macOS, Windows
參數
-
AutomationAssumeRole
類型:字串
描述:(選用) 允許 Systems Manager 自動化代表您執行動作的 AWS Identity and Access Management (IAM) 角色的 Amazon 資源名稱 ()。ARN如果未指定角色,Systems Manager 自動化會使用啟動此 runbook 的使用者的權限。
-
LogDestinationArn
類型:字串
說明:(選用) 您要傳送查詢 CloudWatch 日誌ARN的目標日誌群組、Amazon S3 儲存貯體或 Firehose 串流的資料流。請注意,Route 53 公用DNS查詢記錄僅支援記 CloudWatch 錄檔群組。如果您未指定此參數的值,則自動化操作會建立具有該格式的 CloudWatch 記錄群組
AWSSupport-ConfigureDNSQueryLogging-{automation:
,並建立IAM資源策略以發佈查詢記錄。由自動化操作建立的「 CloudWatch 記錄」群組的保留期為 14 天。EXECUTION_ID
} -
QueryLogType
類型:字串
描述:(選擇性) 您要記錄的查詢類型。
有效值:公開 | 解析器/私有
預設值:公開
-
ResourceId
類型:字串
描述:(必填)您要記錄其查詢的資源 ID。如果
Public
為QueryLogType
參數指定,則資源必須是 Route 53 私用主控區域的 ID。如果您Resolver/Private
為QueryLogType
參數指定,則資源必須是VPC.
必要的IAM權限
此AutomationAssumeRole
參數需要執行下列動作,才能成功使用 Runbook。
-
ec2:DescribeVpcs
-
firehose:ListTagsForDeliveryStream
-
firehose:PutRecord
-
firehose:PutRecordBatch
-
firehose:TagDeliveryStream
-
iam:AttachRolePolicy
-
iam:CreatePolicy
-
iam:CreateRole
-
iam:CreateServiceLinkedRole
-
iam:DeletePolicy
-
iam:DeleteRole
-
iam:DeleteRolePolicy
-
iam:GetPolicy
-
iam:GetRole
-
iam:PassRole
-
iam:PutRolePolicy
-
iam:TagRole
-
iam:UpdateRole
-
logs:CreateLogDelivery
-
logs:CreateLogGroup
-
logs:DeleteLogDelivery
-
logs:DeleteLogGroup
-
logs:DescribeLogGroups
-
logs:DescribeLogStreams
-
logs:DescribeResourcePolicies
-
logs:ListLogDeliveries
-
logs:PutResourcePolicy
-
logs:PutRetentionPolicy
-
logs:UpdateLogDelivery
-
route53:CreateQueryLoggingConfig
-
route53:DeleteQueryLoggingConfig
-
route53:GetHostedZone
-
route53resolver:AssociateResolverQueryLogConfig
-
route53resolver:CreateResolverQueryLogConfig
-
route53resolver:DeleteResolverQueryLogConfig
-
s3:GetBucketAcl
文件步驟
-
aws:executeScript
-驗證您為ResourceId
參數指定的資源存在,並檢查資源類型是否符合所需選QueryLogType
項。 -
aws:executeScript
-驗證您為LogDestinationArn
參數指定的值是否符合所需QueryLogType
的值。 -
aws:executeScript
-驗證 Route 53 將記錄發佈至記錄檔記 CloudWatch 錄群組的必要權限,並建立必要的IAM資源原則 (如果不存在)。 -
aws:executeScript
-啟用所選目的地的DNS查詢記錄。