Limites Prérequis Créer un magasin de données d'événement pour les éléments de configuration Schéma des éléments de configuration

Créer un magasin de données d'événement pour les éléments de configuration

Vous pouvez créer un entrepôt de données d'événement pour inclure des éléments de configuration AWS Config et utiliser l'entrepôt de données d'événement pour examiner les modifications non conformes apportées à vos environnements de production. Avec un magasin de données d'événement, vous pouvez associer les règles non conformes aux utilisateurs et aux ressources associés aux modifications. Un élément de configuration représente une point-in-time vue des attributs d'une AWS ressource prise en charge qui existe dans votre compte. AWS Config crée un élément de configuration chaque fois qu'il détecte une modification d'un type de ressource qu'il enregistre. AWS Config crée également des éléments de configuration lorsqu'un instantané de configuration est capturé.

Vous pouvez utiliser à la fois AWS Config et CloudTrail Lake pour exécuter des requêtes sur vos éléments de configuration. Vous pouvez utiliser AWS Config pour interroger l'état de configuration actuel des AWS ressources en fonction des propriétés de configuration d'un seul Compte AWS et Région AWS d'une seule ou de plusieurs comptes et régions. En revanche, vous pouvez utiliser CloudTrail Lake pour interroger diverses sources de données telles que les CloudTrail événements, les éléments de configuration et les évaluations de règles. CloudTrail Les requêtes Lake couvrent tous les éléments AWS Config de configuration, y compris la configuration des ressources et l'historique de conformité.

La création d'un magasin de données d'événement pour les éléments de configuration n'a aucune incidence sur les requêtes AWS Config avancées existantes, ni sur AWS Config les agrégateurs configurés. Vous pouvez continuer à exécuter des requêtes avancées à l'aide de AWS Config, et AWS Config continue à envoyer des fichiers d'historique à vos compartiments S3.

CloudTrail Les magasins de données d'événement Lake Lorsque vous créez un magasin de données d’événement, vous choisissez l’option de tarification que vous voulez utiliser pour le magasin de données d’événement. L’option de tarification détermine le coût d’ingestion et de stockage des événements, ainsi que les périodes de conservation par défaut et maximale pour le magasin de données d’événement. Pour plus d'informations sur la CloudTrail tarification et la gestion des coûts de Lake, veuillez consulter AWS CloudTrail Tarification etGestion des coûts CloudTrail du lac.

Limites

Les limites suivantes s'appliquent aux magasins de données d'événement pour les éléments de configuration.

Aucune prise en charge des éléments de configuration personnalisés
Aucune prise en charge du filtrage d'événement à l'aide de sélecteurs d'événements avancés

Prérequis

Avant de créer votre entrepôt de données d'événement, configurez AWS Config l'enregistrement pour l'ensemble de vos comptes et régions. Avec Quick Setup, une fonctionnalité de AWS Systems Manager, vous pouvez créer rapidement un enregistreur de configuration alimenté par AWS Config.

Note

Des frais d'utilisation des services vous sont facturés quand AWS Config commence à enregistrer les configurations. Pour plus d’informations sur la tarification, consultez Tarification d’AWS Config. Pour en savoir plus sur la gestion de l'enregistreur de configuration, consultez Managing the Configuration Recorder (Gestion de l'enregistreur de configuration) dans le Guide du développeur AWS Config .

En outre, les actions suivantes sont recommandées, mais ne sont pas obligatoires pour créer un magasin de données d'événement.

Configurez un compartiment Amazon S3 pour recevoir un instantané de configuration sur demande et un historique de configuration. Pour plus d'informations sur les instantanés, consultez Managing the Delivery Channel (Gestion du canal d'envoi) et Delivering Configuration Snapshot to an Amazon S3 Bucket (Envoi d'un instantané de configuration à un compartiment Amazon S3) dans le Guide du développeur AWS Config .
Spécifiez les règles que vous AWS Config voulez que utilise pour évaluer les informations de conformité des types de ressources enregistrés. Plusieurs des requêtes types de CloudTrail Lake pour AWS Config demandent AWS Config Rules à d'évaluer l'état de conformité de vos AWS ressources. Pour plus d'informations AWS Config Rules, consultez la section Évaluation des ressources AWS Config Rules dans le Guide du AWS Config développeur.

Créer un magasin de données d'événement pour les éléments de configuration

Connectez-vous à la CloudTrail console AWS Management Console et ouvrez-la à l'adresse https://console.aws.amazon.com/cloudtrail/.
Dans le panneau de navigation, sous Lake, choisissez Entrepôts de données d'événement.
Choisissez Créer un magasin de données d’événement.
Sur la page Configure event data store (Configurer un magasin de données d'événement), dans General details (Détails généraux), saisissez un nom pour le magasin de données d'événement. Un nom est obligatoire.
Choisissez l’option de tarification que vous souhaitez utiliser pour votre magasin de données d’événement. L’option de tarification détermine le coût d’ingestion et de stockage des événements, ainsi que la période de conservation par défaut et maximale pour votre magasin de données d’événement. Pour plus d’informations, veuillez consulter Tarification d’AWS CloudTrail et Gestion des coûts CloudTrail du lac.

Les options suivantes sont disponibles :
- Tarif de rétention extensible d’un an : généralement recommandé si vous prévoyez d’ingérer moins de 25 To de données d’événement par mois et souhaitez une période de conservation flexible allant jusqu’à 10 ans. Pendant les 366 premiers jours (période de conservation par défaut), le stockage est inclus sans frais supplémentaires dans le prix d’ingestion. Après 366 jours, la conservation prolongée est disponible selon un pay-as-you-go paiement. Il s’agit de l’option par défaut.
  - Période de conservation par défaut : 366 jours.
  - Période de conservation maximale : 3 653 jours
- Tarif de rétention sur sept ans : recommandé si vous prévoyez d’ingérer plus de 25 To de données d’événement par mois et que vous avez besoin d’une période de conservation allant jusqu’à 7 ans. La conservation est incluse dans le prix d’ingestion sans frais supplémentaires.
  - Période de conservation par défaut : 2 557 jours.
  - Période de conservation maximale : 2 557 jours
Spécifiez une période de conservation pour le magasin de données d’événement. Les périodes de conservation peuvent être comprises entre 7 jours et 3 653 jours (environ 10 ans) pour l’option de tarification de rétention extensible d’un an, ou entre 7 jours et 2 557 jours (environ sept ans) pour l’option de tarification de rétention sur sept ans.

CloudTrail Lake détermine s'il convient de conserver un événement en vérifiant si eventTime l'événement est compris dans la période de conservation spécifiée. Par exemple, si vous spécifiez une période de conservation de 90 jours, CloudTrail supprimera les événements ayant eventTime une durée plus de 90 jours.
(Facultatif) Afin d'activer le chiffrement à l'aide d' AWS Key Management Service, sélectionnez Utiliser ma propre AWS KMS key. Choisissez New (Nouveau) pour qu'une soit AWS KMS key créée pour vous, ou choisissez Existing (Existant) pour utiliser une clé KMS existante. Dans Enter KMS alias (Saisir l'alias KMS), spécifiez un alias, au format alias/MyAliasName. L'utilisation de votre propre clé KMS nécessite que vous modifiiez votre politique de clé KMS pour permettre à votre magasin de données d'événement d'être chiffré et déchiffré. Pour plus d'informations, consultezConfigurer les politiques AWS KMS clés pour CloudTrail. CloudTrail prend également en charge les Clés AWS KMS multi-régions. Pour plus d’informations, consultez la section Utilisation de clés multi-régions dans le Guide du développeur AWS Key Management Service .

L'utilisation de votre propre clé KMS entraîne des AWS KMS coûts de chiffrement et de déchiffrement dans. Une fois que vous avez associé un magasin de données d’événement à une clé KMS, celle-ci ne peut être ni supprimée ni modifiée.

Note
Pour activer AWS Key Management Service le chiffrement du magasin de données d'événement d'une organisation, vous devez utiliser une clé KMS existante pour le compte de gestion.
(Facultatif) Si vous souhaitez interroger les données de votre événement à l’aide d’Amazon Athena, choisissez Activer dans Fédération de requêtes Lake. La fédération vous permet de visualiser les métadonnées associées au magasin de données d’événement dans le catalogue de données d’ AWS Glue et d’exécuter des requêtes SQL sur les données d’événement dans Athena. Les métadonnées de la table stockées dans le catalogue de AWS Glue données d'd'd'permettent au moteur de requête d'Athena de savoir comment trouver, lire et traiter les données que vous souhaitez interroger. Pour de plus amples informations, veuillez consulter Fédérer un magasin de données d’événement.

Pour activer la fédération de requêtes Lake, choisissez Activer, puis procédez comme suit :
1. Choisissez si vous souhaitez créer un rôle ou utiliser un rôle IAM existant. AWS Lake Formation utilise ce rôle pour gérer les autorisations pour le magasin de données d’événement fédéré. Lorsque vous créez un nouveau rôle à l'aide de la CloudTrail console, crée CloudTrail automatiquement un rôle avec les autorisations requises. Si vous choisissez un rôle existant, assurez-vous que la politique du rôle fournit les autorisations minimales requises.
2. Si vous créez un rôle, saisissez un nom pour identifier le rôle.
3. Si vous utilisez un rôle existant, choisissez le rôle que vous souhaitez utiliser. Le rôle doit exister dans votre compte.
(Facultatif) Choisissez Activer la politique de ressources pour ajouter une politique basée sur les ressources à votre banque de données d'événements. Les politiques basées sur les ressources vous permettent de contrôler les principaux autorisés à effectuer des actions sur votre banque de données d'événements. Par exemple, vous pouvez ajouter une politique basée sur les ressources qui permet aux utilisateurs root d'autres comptes d'interroger cette banque de données d'événements et d'afficher les résultats de la requête. Pour obtenir des exemples de politiques, consultez Exemples de politiques basées sur les ressources pour les magasins de données d'événement.

Une politique basée sur les ressources inclut une ou plusieurs instructions. Chaque déclaration de la politique définit les principaux auxquels l'accès est autorisé ou refusé au magasin de données d'événements et les actions que les principaux peuvent effectuer sur la ressource du magasin de données d'événements.

Les actions suivantes sont prises en charge dans les politiques basées sur les ressources pour les magasins de données d'événements :
- cloudtrail:StartQuery
- cloudtrail:CancelQuery
- cloudtrail:ListQueries
- cloudtrail:DescribeQuery
- cloudtrail:GetQueryResults
- cloudtrail:GenerateQuery
- cloudtrail:GenerateQueryResultsSummary
- cloudtrail:GetEventDataStore
Pour les magasins de données d'événements d'organisation, CloudTrail crée une politique par défaut basée sur les ressources qui répertorie les actions que les comptes d'administrateur délégué sont autorisés à effectuer sur les magasins de données d'événements de l'organisation. Les autorisations de cette politique sont dérivées des autorisations d'administrateur déléguées dans AWS Organizations. Cette politique est mise à jour automatiquement à la suite de modifications apportées au magasin de données d'événements de l'organisation ou à l'organisation (par exemple, un compte d'administrateur CloudTrail délégué est enregistré ou supprimé).
(Facultatif) Dans la zone Balises, vous pouvez ajouter jusqu’à 50 paires clé-valeur de balise pour vous aider à identifier, trier et contrôler l’accès à votre magasin de données d’événement. Pour plus d'informations sur l'utilisation des politiques IAM pour autoriser l'accès à un magasin de données d'événement basé sur des identifications, consultez Exemples : rejeter l'accès à la création ou à la suppression de magasins de données d'événement en fonction des identifications. Pour plus d'informations sur la manière dont vous pouvez utiliser les balises AWS, consultez la section AWS Ressources de balisage dans le Guide de l'utilisateur AWS des ressources de balisage.
Choisissez Suivant.
Sur la page Choisir les événements, sélectionnez Événements AWS , puis Éléments de configuration.
CloudTrail stocke la ressource de magasin de données d'événement dans la région dans laquelle vous la créez, mais par défaut, les éléments de configuration collectés dans le magasin de données proviennent de toutes les régions de votre compte dont l'enregistrement est activé. En option, vous pouvez sélectionner Include only the current region in my event data store (Inclure uniquement la région actuelle dans mon magasin de données d'événement) pour inclure uniquement les éléments de configuration qui sont capturés dans la région actuelle. Si vous ne choisissez pas cette option, votre magasin de données d'événement inclut les éléments de configuration de toutes les régions dont l'enregistrement est activé.
Pour que votre magasin de données d'événement collecte les éléments de configuration de tous les comptes d'une AWS Organizations organisation, sélectionnez Enable for all accounts in my organisation (Activer pour tous les comptes de mon organisation). Vous devez être connecté au compte de gestion ou au compte d'administrateur délégué de l'organisation pour créer un magasin de données d'événement qui collecte les éléments de configuration pour une organisation.
Choisissez Next (Suivant) pour examiner vos préférences.
Sur la page Review and create (Vérifier et créer), examinez vos choix. Choisissez Modifier (Edit) pour apporter des modifications à la section. Lorsque vous êtes prêt à créer le magasin de données d’événement, choisissez Créer un magasin de données d’événement.
Le nouvel entrepôt de données d'événement est visible dans la table Entrepôts de données d'événement sur la page Entrepôts de données d'événement.

À partir de ce moment, le magasin de données d’événement capture les éléments de configuration. Les éléments de configuration qui ont eu lieu avant que vous ne créiez le magasin de données d'événement ne sont pas dans le magasin de données d'événement.

Schéma des éléments de configuration

Le tableau suivant décrit les éléments de schéma obligatoires et facultatifs qui correspondent à ceux des enregistrements d'éléments de configuration. Le contenu de eventData est fourni par vos éléments de configuration, les autres champs sont fournis par CloudTrail après ingestion.

CloudTrail le contenu des enregistrements d'événements est décrit plus en détail dansCloudTrail enregistrer le contenu des événements relatifs à la gestion, aux données et à l'activité du réseau.

Champs CloudTrail fournis par
Champs fournis par vos événements

Champs CloudTrail fournis par
Nom de champ	Type d’entrée	Exigence	Description
eventVersion	chaîne	Obligatoire	Version du format de l' AWS événement.
eventCategory	chaîne	Obligatoire	Catégorie de l'événement. Pour les éléments de configuration, la valeur valide est `ConfigurationItem`.
eventType	chaîne	Obligatoire	Type d’événement. Pour les éléments de configuration, la valeur valide est `AwsConfigurationItem`.
eventID	chaîne	Obligatoire	ID unique pour un événement.
eventTime	chaîne	Obligatoire	L'horodatage de l'événement, au format `yyyy-MM-DDTHH:mm:ss`, en temps universel coordonné (UTC).
awsRegion	chaîne	Obligatoire	L' Région AWS à laquelle attribuer un événement.
recipientAccountId	chaîne	Obligatoire	Représente l' Compte AWS ID de l'qui a reçu cet événement.
addendum	addendum	Facultatif	Affiche des informations sur la raison pour laquelle un événement a été retardé. Si des informations manquaient dans un événement existant, le bloc d'addendum inclut les informations manquantes et la raison de leur absence.

Les champs dans `eventData` sont fournis par vos éléments de configuration
Nom de champ	Type d’entrée	Exigence	Description
eventData	-	Obligatoire	Les champs de eventData sont fournis par vos éléments de configuration.
configurationItemVersion	chaîne	Facultatif	Version de l'élément de configuration provenant de sa source.
configurationItemCaptureHeure	chaîne	Facultatif	Heure à laquelle l'enregistrement de configuration a été lancé.
configurationItemStatus	chaîne	Facultatif	Statut de l'élément de configuration. Les valeurs valides sont `OK`, `ResourceDiscovered`, `ResourceNotRecorded`, `ResourceDeleted` et `ResourceDeletedNotRecorded`.
accountId	chaîne	Facultatif	Compte AWS ID d'à 12 chiffres associé à la ressource.
resourceType	chaîne	Facultatif	Type de AWS ressource. Pour plus d'informations sur les types de ressources valides, consultez ConfigurationItemla référence AWS Config d'API.
resourceId	chaîne	Facultatif	ID de la ressource (par exemple, sg-`xxxxxx`).
resourceName	chaîne	Facultatif	Nom personnalisé de la ressource, si disponible.
arn	chaîne	Facultatif	Amazon Resource Name (ARN) associé à la ressource.
awsRegion	chaîne	Facultatif	L' Région AWS où réside la ressource.
availabilityZone	chaîne	Facultatif	Zone de disponibilité associée à la ressource.
resourceCreationTime	chaîne	Facultatif	Horodatage de la création de la ressource.
configuration	JSON	Facultatif	Description de la configuration de la ressource.
supplementaryConfiguration	JSON	Facultatif	Attributs de configuration AWS Config renvoyés par pour certains types de ressources afin de compléter les informations renvoyées pour le paramètre de configuration.
relatedEvents	chaîne	Facultatif	Liste des CloudTrail événements IDs.
relationships	-	Facultatif	Liste des AWS ressources associées.
name	chaîne	Facultatif	Type de relation avec la ressource associée.
resourceType	chaîne	Facultatif	Type de ressource de la ressource associée.
resourceId	chaîne	Facultatif	ID de la ressource associée (par exemple, sg-`xxxxxx`).
resourceName	chaîne	Facultatif	Nom personnalisé de la ressource associée, si disponible.
tags	JSON	Facultatif	Mappage des balises clé-valeur associées à la ressource.

L’exemple suivant montre la hiérarchie des éléments du schéma qui correspondent à ceux des enregistrements d’éléments de configuration.


{
  "eventVersion": String,
  "eventCategory: String,
  "eventType": String,
  "eventID": String,
  "eventTime": String,
  "awsRegion": String,
  "recipientAccountId": String,
  "addendum": Addendum,
  "eventData": {
      "configurationItemVersion": String,
      "configurationItemCaptureTime": String,
      "configurationItemStatus": String,
      "configurationStateId": String,
      "accountId": String,
      "resourceType": String,
      "resourceId": String,
      "resourceName": String,
      "arn": String,
      "awsRegion": String, 
      "availabilityZone": String,
      "resourceCreationTime": String,
      "configuration": {
        JSON,
      },
      "supplementaryConfiguration": {
        JSON,
      },
      "relatedEvents": [
        String
      ],
      "relationships": [
        struct{
          "name" : String,
          "resourceType": String,
          "resourceId": String,
          "resourceName": String
        }
      ],
     "tags": {
       JSON
     }
    }
  }
}

Avertissement JavaScript est désactivé ou n'est pas disponible dans votre navigateur.

Pour que vous puissiez utiliser la documentation AWS, Javascript doit être activé. Vous trouverez des instructions sur les pages d'aide de votre navigateur.

Conventions de rédaction

Créer un magasin de données d'événement pour des événements Insights

Créer un magasin de données d'événement pour des événements externes à AWS