本文為英文版的機器翻譯版本,如內容有任何歧義或不一致之處,概以英文版為準。
AWSConfigRemediation-EnableVPCFlowLogsToCloudWatch
Description
AWSConfigRemediation-EnableVPCFlowLogsToCloudWatch
Runbook 會使用將流量日誌資料發佈至您指定的 Amazon CloudWatch Logs VPC (CloudWatch Logs) 日誌群組的流量日誌,取代將流量日誌資料發佈至 Amazon Simple Storage Service (Amazon S3) 的現有 Amazon 流量日誌。
文件類型
自動化
擁有者
Amazon
平台
Linux、macOS, Windows
參數
-
AutomationAssumeRole
類型:字串
描述:(必要) 允許 Systems Manager Automation 代表您執行動作ARN的 () 角色的 AWS Identity and Access Management Amazon Resource Name (IAM)。
-
DestinationLogGroup
類型:字串
描述:(必要) 您要發佈流程日誌資料的目標 CloudWatch 日誌群組名稱。
-
DeliverLogsPermissionArn
類型:字串
描述:(必要) 您要使用的 AWS Identity and Access Management (IAM) 角色ARN的 ,其提供 Amazon Elastic Compute Cloud (AmazonEC2) 將流程日誌資料發佈至 CloudWatch Logs 的必要許可。
-
FlowLogId
類型:字串
描述:(必要) 發佈至您要取代之 Amazon S3 的流量日誌 ID。
-
MaxAggregationInterval
類型:整數
有效值:60 | 600
描述:(選用) 擷取封包流程並將其彙總至流程日誌記錄的時間間隔上限,以秒為單位。
-
TrafficType
類型:字串
有效值:ACCEPT | REJECT | ALL
描述:(必要) 您要記錄和發佈的流程日誌資料類型。
所需的 IAM 許可
AutomationAssumeRole
參數需要下列動作才能成功使用 Runbook。
-
ssm:StartAutomationExecution
-
ssm:GetAutomationExecution
-
ec2:CreateFlowLogs
-
ec2:DeleteFlowLogs
-
ec2:DescribeFlowLogs
文件步驟
-
aws:executeAwsApi
- VPC 從您在FlowLogId
參數中指定的值收集 的詳細資訊。 -
aws:executeAwsApi
- 根據您為 Runbook 參數指定的值建立流程日誌。 -
aws:assertAwsResourceProperty
- 驗證新建立的流程日誌發佈至 CloudWatch 日誌。 -
aws:executeAwsApi
- 刪除發佈至 Amazon S3 的流程日誌。 -
aws:executeScript
- 確認發佈至 Amazon S3 的流程日誌已刪除。