Activation et désactivation du chiffrement pour les fichiers CloudTrail journaux, les fichiers condensés et les banques de données d'événements à l'aide du AWS CLI

Créez une clé avec la AWS CLI. La clé que vous créez doit se trouver dans la même région que le compartiment S3 qui reçoit vos fichiers CloudTrail journaux. Pour cette étape, vous devez utiliser la AWS KMS create-keycommande.

Obtenez la politique clé existante afin de pouvoir la modifier pour l'utiliser avec CloudTrail. Vous pouvez récupérer la politique clé à l'aide de la AWS KMS get-key-policycommande.

Ajoutez les sections requises à la politique clé afin que les utilisateurs CloudTrail puissent chiffrer et déchiffrer vos fichiers journaux et vos fichiers de synthèse. Veillez à ce que tous les utilisateurs qui lisent les fichiers journaux se voient accorder des autorisations de déchiffrage. Ne modifiez pas les sections existantes de la politique. Pour en savoir plus sur les sections de la politique à inclure, consultez Configurer les politiques AWS KMS clés pour CloudTrail.

Joignez le fichier de politique JSON modifié à la clé à l'aide de la AWS KMS put-key-policycommande.

Exécutez la update-trail commande CloudTrail create-trail ou avec le --kms-key-id paramètre. Cette commande active le chiffrement des fichiers journaux et des fichiers de synthèse.

aws cloudtrail update-trail --name Default --kms-key-id alias/MyKmsKey

Le paramètre --kms-key-id spécifie la clé dont vous avez modifié la stratégie pour CloudTrail. Il peut avoir l'un des formats suivants :

Voici un exemple de réponse :

{
    "IncludeGlobalServiceEvents": true, 
    "Name": "Default", 
    "TrailARN": "arn:aws:cloudtrail:us-east-2:123456789012:trail/Default", 
    "LogFileValidationEnabled": false,
    "KmsKeyId": "arn:aws:kms:us-east-2:123456789012:key/12345678-1234-1234-1234-123456789012", 
    "S3BucketName": "amzn-s3-demo-bucket"
}

La présence de l'KmsKeyIdélément indique que le chiffrement de vos fichiers journaux a été activé. Si la validation du fichier journal a été activée (cela est indiqué par le fait que l'LogFileValidationEnabledélément est défini sur true), cela indique également que le chiffrement a été activé pour vos fichiers de résumé. Les fichiers journaux et les fichiers de synthèse chiffrés devraient apparaître dans le compartiment S3 configuré pour le suivi dans un délai d'environ 5 minutes.

Créez une clé avec la AWS CLI. La clé que vous créez doit se trouver dans la même région que l'entrepôt de données d'événement. Pour cette étape, exécutez la AWS KMS create-keycommande.

Obtenez la politique clé existante à modifier pour l'utiliser avec CloudTrail. Vous pouvez obtenir la politique clé en exécutant la AWS KMS get-key-policycommande.

Ajoutez les sections requises à la politique clé afin que les utilisateurs CloudTrail puissent chiffrer et déchiffrer votre banque de données d'événements. Assurez-vous que tous les utilisateurs qui lisent le magasin de données d'événements disposent des autorisations de déchiffrement. Ne modifiez pas les sections existantes de la politique. Pour en savoir plus sur les sections de la politique à inclure, consultez Configurer les politiques AWS KMS clés pour CloudTrail.

Joignez le fichier de politique JSON modifié à la clé en exécutant la AWS KMS put-key-policycommande.

Exécutez la update-event-data-store commande CloudTrail create-event-data-store ou, puis ajoutez le --kms-key-id paramètre. Cette commande active le chiffrement du magasin de données d'événements.

aws cloudtrail update-event-data-store --name my-event-data-store --kms-key-id alias/MyKmsKey

Le paramètre --kms-key-id spécifie la clé dont vous avez modifié la stratégie pour CloudTrail. Il peut avoir l'un des quatre formats suivants :

Voici un exemple de réponse :

{
    "Name": "my-event-data-store",
    "ARN": "arn:aws:cloudtrail:us-east-1:12345678910:eventdatastore/EXAMPLEf852-4e8f-8bd1-bcf6cEXAMPLE",
    "RetentionPeriod": "90",
    "KmsKeyId": "arn:aws:kms:us-east-1:123456789012:key/12345678-1234-1234-1234-123456789012"
    "MultiRegionEnabled": false,
    "OrganizationEnabled": false,
    "TerminationProtectionEnabled": true,
    "AdvancedEventSelectors": [{
        "Name": "Select all external events",
        "FieldSelectors": [{
            "Field": "eventCategory",
            "Equals": [
                "ActivityAuditLog"
            ]
        }]
    }]
}

La présence de l'KmsKeyIdélément indique que le chiffrement du stockage des données d'événements a été activé.