Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.
# Commencer à utiliser Amazon Security Lake
Les rubriques de cette section expliquent comment activer et commencer à utiliser Security Lake. Vous allez apprendre à configurer les paramètres de votre lac de données et à configurer la collecte de journaux. Vous pouvez activer et utiliser Security Lake par le biais du AWS Management Console ou par programmation. Quelle que soit la méthode que vous utilisez, vous devez d'abord configurer un Compte AWS et un utilisateur administratif. Les étapes suivantes varient en fonction de la méthode d'accès.
La console Security Lake propose un processus de démarrage rationalisé et crée tous les rôles Gestion des identités et des accès AWS (IAM) nécessaires à la création de votre lac de données.
Si vous accédez à Security Lake par programmation, il est nécessaire de créer des rôles Gestion des identités et des accès AWS (IAM) afin de configurer votre lac de données.
**Important**
Security Lake ne prend pas en charge le remblayage des événements de source de log AWS bruts existants qui ont été générés avant l'activation de Security Lake.
**Topics**
+ [Configuration de votre Compte AWS](initial-account-setup.md)
+ [Considérations relatives à l'activation de Security Lake](enable-securitylake-considerations.md)
+ [Activation de Security Lake à l'aide de la console](get-started-console.md)
+ [Activation de Security Lake par programmation](get-started-programmatic.md)
# Configuration de votre Compte AWS
Avant de pouvoir activer Amazon Security Lake, vous devez disposer d'un Compte AWS. Si vous n'en avez pas Compte AWS, procédez comme suit pour en créer un.
## Inscrivez-vous pour un Compte AWS
Si vous n'en avez pas Compte AWS, procédez comme suit pour en créer un.
**Pour vous inscrire à un Compte AWS**
1. Ouvrez l'[https://portal.aws.amazon.com/billing/inscription.](https://portal.aws.amazon.com/billing/signup)
1. Suivez les instructions en ligne.
Dans le cadre de la procédure d’inscription, vous recevrez un appel téléphonique ou un SMS et vous saisirez un code de vérification en utilisant le clavier numérique du téléphone.
Lorsque vous vous inscrivez à un Compte AWS, un *Utilisateur racine d'un compte AWS*est créé. Par défaut, seul l’utilisateur racine a accès à l’ensemble des Services AWS et des ressources de ce compte. La meilleure pratique de sécurité consiste à attribuer un accès administratif à un utilisateur, et à utiliser uniquement l’utilisateur racine pour effectuer les [tâches nécessitant un accès utilisateur racine](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_root-user.html#root-user-tasks).
AWS vous envoie un e-mail de confirmation une fois le processus d'inscription terminé. À tout moment, vous pouvez consulter l'activité actuelle de votre compte et gérer votre compte en accédant à [https://aws.amazon.com/](https://aws.amazon.com/)et en choisissant **Mon compte**.
## Création d’un utilisateur doté d’un accès administratif
Une fois que vous vous êtes inscrit à un utilisateur administratif Compte AWS, que vous Utilisateur racine d'un compte AWS l'avez sécurisé AWS IAM Identity Center, que vous l'avez activé et que vous en avez créé un, afin de ne pas utiliser l'utilisateur root pour les tâches quotidiennes.
**Sécurisez votre Utilisateur racine d'un compte AWS**
1. Connectez-vous en [AWS Management Console](https://console.aws.amazon.com/)tant que propriétaire du compte en choisissant **Utilisateur root** et en saisissant votre adresse Compte AWS e-mail. Sur la page suivante, saisissez votre mot de passe.
Pour obtenir de l’aide pour vous connecter en utilisant l’utilisateur racine, consultez [Connexion en tant qu’utilisateur racine](https://docs.aws.amazon.com/signin/latest/userguide/console-sign-in-tutorials.html#introduction-to-root-user-sign-in-tutorial) dans le *Guide de l’utilisateur Connexion à AWS *.
1. Activez l’authentification multifactorielle (MFA) pour votre utilisateur racine.
Pour obtenir des instructions, voir [Activer un périphérique MFA virtuel pour votre utilisateur Compte AWS root (console)](https://docs.aws.amazon.com/IAM/latest/UserGuide/enable-virt-mfa-for-root.html) dans le guide de l'utilisateur *IAM*.
**Création d’un utilisateur doté d’un accès administratif**
1. Activez IAM Identity Center.
Pour obtenir des instructions, consultez [Activation d’ AWS IAM Identity Center](https://docs.aws.amazon.com//singlesignon/latest/userguide/get-set-up-for-idc.html) dans le *Guide de l’utilisateur AWS IAM Identity Center *.
1. Dans IAM Identity Center, octroyez un accès administratif à un utilisateur.
Pour un didacticiel sur l'utilisation du Répertoire IAM Identity Center comme source d'identité, voir [Configurer l'accès utilisateur par défaut Répertoire IAM Identity Center](https://docs.aws.amazon.com//singlesignon/latest/userguide/quick-start-default-idc.html) dans le *Guide de AWS IAM Identity Center l'utilisateur*.
**Connexion en tant qu’utilisateur doté d’un accès administratif**
+ Pour vous connecter avec votre utilisateur IAM Identity Center, utilisez l’URL de connexion qui a été envoyée à votre adresse e-mail lorsque vous avez créé l’utilisateur IAM Identity Center.
Pour obtenir de l'aide pour vous connecter en utilisant un utilisateur d'IAM Identity Center, consultez la section [Connexion au portail AWS d'accès](https://docs.aws.amazon.com/signin/latest/userguide/iam-id-center-sign-in-tutorial.html) dans le *guide de l'Connexion à AWS utilisateur*.
**Attribution d’un accès à d’autres utilisateurs**
1. Dans IAM Identity Center, créez un ensemble d’autorisations qui respecte la bonne pratique consistant à appliquer les autorisations de moindre privilège.
Pour obtenir des instructions, consultez [Création d’un ensemble d’autorisations](https://docs.aws.amazon.com//singlesignon/latest/userguide/get-started-create-a-permission-set.html) dans le *Guide de l’utilisateur AWS IAM Identity Center *.
1. Attribuez des utilisateurs à un groupe, puis attribuez un accès par authentification unique au groupe.
Pour obtenir des instructions, consultez [Ajout de groupes](https://docs.aws.amazon.com//singlesignon/latest/userguide/addgroups.html) dans le *Guide de l’utilisateur AWS IAM Identity Center *.
## Identifiez le compte que vous utiliserez pour activer Security Lake
Security Lake s'intègre AWS Organizations pour gérer la collecte de journaux sur plusieurs comptes d'une organisation. Si vous souhaitez utiliser Security Lake pour une organisation, vous devez utiliser votre compte de gestion Organizations pour désigner un administrateur délégué de Security Lake. Vous devez ensuite utiliser les informations d'identification de l'administrateur délégué pour activer Security Lake, ajouter des comptes membres et activer Security Lake pour eux. Pour de plus amples informations, veuillez consulter [Gérer plusieurs comptes AWS Organizations dans Security Lake](multi-account-management.md).
Vous pouvez également utiliser Security Lake sans l'intégration Organizations pour un compte autonome ne faisant pas partie d'une organisation.
# Considérations relatives à l'activation de Security Lake
**Avant d'activer Security Lake, tenez compte des points suivants** :
+ Security Lake fournit des fonctionnalités de gestion interrégionales, ce qui signifie que vous pouvez créer votre lac de données et configurer la collecte de journaux dans Régions AWS celui-ci. Pour activer Security Lake dans [toutes les régions prises en charge](supported-regions.md), vous pouvez choisir n'importe quel point de terminaison régional pris en charge. Vous pouvez également ajouter des [régions cumulatives pour](add-rollup-region.md) agréger les données de plusieurs régions dans une seule région.
+ Nous vous recommandons d'activer Security Lake dans tous les modèles pris en charge Régions AWS. Dans ce cas, Security Lake peut collecter des données liées à des activités non autorisées ou inhabituelles, même dans les régions que vous n'utilisez pas activement. Si Security Lake n'est pas activé dans toutes les régions prises en charge, sa capacité à collecter des données auprès d'autres services que vous utilisez dans plusieurs régions est réduite.
+ Lorsque vous activez Security Lake pour la première fois dans une région, les rôles liés aux services suivants sont créés pour votre compte :
+ [AWSServiceRoleForSecurityLake](https://docs.aws.amazon.com/security-lake/latest/userguide/slr-permissions.html): Ce rôle inclut les autorisations d'appeler d'autres personnes Services AWS en votre nom et d'exploiter le lac de données de sécurité. Si vous activez Security Lake en tant qu'[administrateur délégué de Security Lake](multi-account-management.md#delegated-admin-important), Security Lake crée le [rôle lié au service](using-service-linked-roles.md) dans chaque compte membre de l'organisation.
+ [AWSServiceRoleForSecurityLakeResourceManagement](https://docs.aws.amazon.com/security-lake/latest/userguide/slr-permissions.html): Security Lake utilise ce rôle pour effectuer une surveillance continue et améliorer les performances, ce qui peut potentiellement réduire la latence et les coûts. Ce rôle lié au service fait confiance au `resource-management.securitylake.amazonaws.com` service pour assumer le rôle. L'activation de ce rôle de service lui permettra également d'accéder à Lake Formation.
Pour plus d'informations sur l'impact de cette situation sur les comptes existants qui ont activé Security Lake avant le 17 avril 2025, consultez[Update for existing accounts](multi-account-management.md#security-lake-existing-account-resource-management-slr).
*Pour plus d'informations sur le fonctionnement des rôles liés à un service, consultez la section [Utilisation des autorisations des rôles liés à un service](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_create-service-linked-role.html) dans le guide de l'utilisateur IAM.*
+ Security Lake ne prend pas en charge Amazon S3 Object Lock. Lorsque les compartiments du lac de données sont créés, S3 Object Lock est désactivé par défaut. L'activation du verrouillage d'objets sur un bucket interrompt la transmission des données de journal normalisées au lac de données.
+ Si vous réactivez Security Lake dans une région, vous devez supprimer la AWS Glue base de données correspondante de la région lors de votre utilisation précédente de Security Lake.
# Activation de Security Lake à l'aide de la console
Ce didacticiel explique comment activer et configurer Security Lake via le AWS Management Console. Dans le cadre de AWS Management Console, la console Security Lake propose un processus de démarrage rationalisé et crée tous les rôles Gestion des identités et des accès AWS (IAM) nécessaires à la création de votre lac de données.
## Étape 1 : Configuration des sources
Security Lake collecte les données des journaux et des événements à partir de diverses sources et sur l'ensemble de votre Comptes AWS territoire Régions AWS. Suivez ces instructions pour identifier les données que vous souhaitez que Security Lake collecte. Vous ne pouvez utiliser ces instructions que pour ajouter une source prise en charge nativement Service AWS . Pour plus d'informations sur l'ajout d'une source personnalisée, consultez[Collecte de données à partir de sources personnalisées dans Security Lake](custom-sources.md).
**Pour configurer la collecte des sources de log**
1. Ouvrez la console Security Lake à l'adresse [https://console.aws.amazon.com/securitylake/](https://console.aws.amazon.com/securitylake/).
1. À l'aide du Région AWS sélecteur situé dans le coin supérieur droit de la page, sélectionnez une région. Vous pouvez activer Security Lake dans la région actuelle et dans d'autres régions lors de l'intégration.
1. Choisissez **Démarrer**.
1. Pour **Sélectionner les sources de journaux et d'événements**, choisissez l'une des options suivantes pour **sélectionner la source** :
1. **Ingérer les AWS sources par défaut** : lorsque vous choisissez l'option recommandée, CloudTrail les événements de données S3 ne AWS WAF sont pas inclus pour l'ingestion par défaut. En effet, l'ingestion d'un volume élevé des deux types de sources peut avoir un impact significatif sur les coûts d'utilisation. Pour ingérer ces sources, sélectionnez d'abord l'option **Ingérer des AWS sources spécifiques**, puis sélectionnez ces sources dans la liste des sources du **journal et des événements**.
1. **Ingérer des AWS sources spécifiques** : avec cette option, vous pouvez sélectionner une ou plusieurs sources de journaux et d'événements que vous souhaitez ingérer.
**Note**
Lorsque vous activez Security Lake dans un compte pour la première fois, toutes les sources de journaux et d'événements sélectionnées feront l'objet d'une période d'essai gratuite de 15 jours. Pour plus d'informations sur les statistiques d'utilisation, consultez[Révision de l'utilisation et des coûts estimés](reviewing-usage-costs.md).
1. Pour **Versions**, choisissez la version de la source de données à partir de laquelle vous souhaitez ingérer les sources de journaux et d'événements. Pour plus d'informations sur les versions, consultez [Identification de la source OCSF](open-cybersecurity-schema-framework.md#ocsf-source-identification).
**Important**
Si vous ne disposez pas des autorisations de rôle requises pour activer la nouvelle version de la source de AWS journal dans la région spécifiée, contactez votre administrateur Security Lake. Pour plus d'informations, consultez la section [Mettre à jour les autorisations des rôles](https://docs.aws.amazon.com/security-lake/latest/userguide/internal-sources.html#update-role-permissions).
1. Pour **Select Regions**, choisissez d'ingérer les sources de journaux et d'événements provenant de toutes les régions prises en charge ou de régions spécifiques. Si vous choisissez **Régions spécifiques, sélectionnez les régions** à partir desquelles vous souhaitez ingérer les données.
1. Pour les **comptes Select**, effectuez les opérations suivantes :
1. Choisissez si Security Lake doit ingérer les données de **tous les comptes** ou de **comptes spécifiques** de votre organisation. Security Lake sera activé pour ces comptes avec les paramètres que vous aurez choisis lors de cette configuration.
1. La case **Activer automatiquement Security Lake pour les nouveaux comptes d'organisation** est cochée par défaut. Ces paramètres d'activation automatique s'appliqueront au Comptes AWS moment où ils rejoindront votre organisation. Vous pouvez modifier les paramètres d'activation automatique à tout moment.
**Note**
Les paramètres d'activation automatique ne s'appliquent qu'aux comptes lorsqu'ils rejoignent votre organisation, et non aux comptes existants. Pour de plus amples informations, veuillez consulter [Modification de la configuration d'un nouveau compte dans la console](multi-account-management.md#security-lake-new-account-auto-enable).
1. Pour **accéder au service**, créez un nouveau rôle IAM ou utilisez un rôle IAM existant qui autorise Security Lake à collecter des données à partir de vos sources et à les ajouter à votre lac de données. Un rôle est utilisé dans toutes les régions dans lesquelles vous activez Security Lake.
1. Choisissez **Suivant**.
## Étape 2 : définir les paramètres de stockage et les régions cumulatives (facultatif)
Vous pouvez spécifier la classe de stockage Amazon S3 dans laquelle vous souhaitez que Security Lake stocke vos données et pendant combien de temps. Vous pouvez également spécifier une région cumulative pour consolider les données de plusieurs régions. Il s'agit d'étapes facultatives. Pour de plus amples informations, veuillez consulter [Gestion du cycle de vie dans Security Lake](lifecycle-management.md).
**Pour configurer les paramètres de stockage et de cumul**
1. **Si vous souhaitez consolider les données de plusieurs régions contributrices dans une région cumulative, pour **Sélectionner les régions cumulatives, choisissez Ajouter** une région cumulative.** Spécifiez la région cumulative et les régions qui y contribueront. Vous pouvez configurer une ou plusieurs régions cumulatives.
1. Pour **Select storage classes**, choisissez une classe de stockage Amazon S3. La classe de stockage par défaut est **S3 Standard**. Indiquez une période de conservation (en jours) si vous souhaitez que les données soient transférées vers une autre classe de stockage après cette période, puis choisissez **Ajouter une transition**. Une fois la période de rétention terminée, les objets expirent et Amazon S3 les supprime. Pour plus d'informations sur les classes de stockage et la rétention Amazon S3, consultez[Gestion de la rétention](lifecycle-management.md#retention-management).
1. Si vous avez sélectionné une région cumulative lors de la première étape, pour **accéder au service**, créez un nouveau rôle IAM ou utilisez un rôle IAM existant qui autorise Security Lake à répliquer les données dans plusieurs régions.
1. Choisissez **Suivant**.
## Étape 3 : révision et création d'un lac de données
Passez en revue les sources auprès desquelles Security Lake collectera les données, vos régions cumulatives et vos paramètres de conservation. Créez ensuite votre lac de données.
**Pour consulter et créer le lac de données**
1. Lors de l'activation de Security Lake, passez en revue les **sources des journaux et des événements**, **les régions, les** **régions cumulatives** et les classes **de stockage**.
1. Choisissez **Créer**.
Après avoir créé votre lac de données, vous verrez la page de **résumé** sur la console Security Lake. **Cette page fournit un aperçu du nombre de **régions et de régions** **cumulatives, des informations sur les** abonnés et les problèmes.**
Le menu **Problèmes** affiche un résumé des problèmes survenus au cours des 14 derniers jours qui ont un impact sur le service Security Lake ou sur vos compartiments Amazon S3. Pour plus de détails sur chaque problème, vous pouvez accéder à la page **Problèmes** de la console Security Lake.
## Étape 4 : Afficher et interroger vos propres données
Après avoir créé votre lac de données, vous pouvez utiliser Amazon Athena ou des services similaires pour afficher et interroger vos données à partir de AWS Lake Formation bases de données et de tables. Lorsque vous utilisez la console, Security Lake accorde automatiquement des autorisations d'affichage de base de données au rôle que vous utilisez pour activer Security Lake. Le rôle doit au minimum disposer des autorisations d'*analyste de données*. Pour plus d'informations sur les niveaux d'autorisation, consultez les sections [Personnas de Lake Formation et Référence des autorisations IAM](https://docs.aws.amazon.com/lake-formation/latest/dg/permissions-reference.html). Pour obtenir des instructions sur l'octroi d'`SELECT`autorisations, consultez la section [Octroi d'autorisations au catalogue de données à l'aide de la méthode des ressources nommées](https://docs.aws.amazon.com/lake-formation/latest/dg/granting-cat-perms-named-resource.html) dans le *guide du AWS Lake Formation développeur*.
## Étape 5 : créer des abonnés
Après avoir créé votre lac de données, vous pouvez ajouter des abonnés pour consommer vos données. Les abonnés peuvent consommer des données en accédant directement aux objets de vos compartiments Amazon S3 ou en interrogeant le lac de données. Pour plus d'informations sur les abonnés, consultez[Gestion des abonnés dans Security Lake](subscriber-management.md).
# Activation de Security Lake par programmation
Ce didacticiel explique comment activer et commencer à utiliser Security Lake par programmation. L'API Amazon Security Lake vous donne un accès complet et programmatique à votre compte, à vos données et à vos ressources Security Lake. Vous pouvez également utiliser les outils de ligne de AWS commande ([AWS Command Line Interface](https://docs.aws.amazon.com/cli/latest/userguide/cli-chap-welcome.html)ou les [AWS outils pour PowerShell](https://docs.aws.amazon.com/powershell/latest/userguide/pstools-welcome.html)) ou pour accéder [AWS SDKs](https://aws.amazon.com/developertools/)à Security Lake.
## Étape 1 : créer des rôles IAM
Si vous accédez à Security Lake par programmation, il est nécessaire de créer des rôles Gestion des identités et des accès AWS (IAM) afin de configurer votre lac de données.
**Important**
Il n'est pas nécessaire de créer ces rôles IAM si vous utilisez la console Security Lake pour activer et configurer Security Lake.
Vous devez créer des rôles dans IAM si vous comptez effectuer une ou plusieurs des actions suivantes (cliquez sur les liens pour obtenir plus d'informations sur les rôles IAM pour chaque action) :
+ [Création d'une source personnalisée](custom-sources.md#iam-roles-custom-sources) : les sources personnalisées sont des sources autres que celles prises en charge de manière native Services AWS qui envoient des données à Security Lake.
+ [Création d'un abonné avec accès aux données](prereqs-creating-subscriber.md#iam-role-subscriber) — Les abonnés autorisés peuvent accéder directement aux objets S3 depuis votre lac de données.
+ [Création d'un abonné avec accès aux requêtes](prereqs-query-subscriber.md#iam-role-query-subscriber) : les abonnés autorisés peuvent interroger les données de Security Lake à l'aide de services tels qu'Amazon Athena.
+ [Configuration d'une région de cumul : une région](add-rollup-region.md#iam-role-replication) de cumul consolide les données provenant de plusieurs. Régions AWS
Après avoir créé les rôles mentionnés précédemment, associez la politique [https://docs.aws.amazon.com/security-lake/latest/userguide/security-iam-awsmanpol.html#security-iam-awsmanpol-AmazonSecurityLakeAdministrator](https://docs.aws.amazon.com/security-lake/latest/userguide/security-iam-awsmanpol.html#security-iam-awsmanpol-AmazonSecurityLakeAdministrator) AWS gérée au rôle que vous utilisez pour activer Security Lake. Cette politique accorde des autorisations administratives qui permettent à un mandant d'intégrer Security Lake et d'accéder à toutes les actions de Security Lake.
Joignez la politique [https://docs.aws.amazon.com/security-lake/latest/userguide/security-iam-awsmanpol.html#security-iam-awsmanpol-AmazonSecurityLakeAdministrator](https://docs.aws.amazon.com/security-lake/latest/userguide/security-iam-awsmanpol.html#security-iam-awsmanpol-AmazonSecurityLakeAdministrator) AWS gérée pour créer votre lac de données ou demander des données à partir de Security Lake. Cette politique est nécessaire pour que Security Lake puisse prendre en charge les tâches d'extraction, de transformation et de chargement (ETL) sur les données brutes des journaux et des événements qu'il reçoit des sources.
## Étape 2 : activer Amazon Security Lake
Pour activer Security Lake par programmation, utilisez le [https://docs.aws.amazon.com/security-lake/latest/APIReference/API_CreateDataLake.html](https://docs.aws.amazon.com/security-lake/latest/APIReference/API_CreateDataLake.html)fonctionnement de l'API Security Lake. Si vous utilisez le AWS CLI, exécutez la [create-data-lake](https://awscli.amazonaws.com/v2/documentation/api/latest/reference/securitylake/create-data-lake.html)commande. Dans votre demande, utilisez le `region` champ de l'`configurations`objet pour spécifier le code de région dans lequel vous souhaitez activer Security Lake. Pour obtenir la liste des codes de région, consultez la section [Points de terminaison Amazon Security Lake](https://docs.aws.amazon.com/general/latest/gr/securitylake.html) dans le *Références générales AWS*.
**Exemple 1**
L'exemple de commande suivant active Security Lake dans les `us-east-2` régions `us-east-1` et. Dans les deux régions, ce lac de données est chiffré à l'aide de clés gérées par Amazon S3. Les objets expirent au bout de 365 jours et passent à la classe de stockage `ONEZONE_IA` S3 au bout de 60 jours. Cet exemple est formaté pour Linux, macOS ou Unix et utilise le caractère de continuation de ligne barre oblique inverse (\$1) pour améliorer la lisibilité.
```
$ aws securitylake create-data-lake \
--configurations '[{"encryptionConfiguration": {"kmsKeyId":"S3_MANAGED_KEY"},"region":"us-east-1","lifecycleConfiguration": {"expiration":{"days":365},"transitions":[{"days":60,"storageClass":"ONEZONE_IA"}]}}, {"encryptionConfiguration": {"kmsKeyId":"S3_MANAGED_KEY"},"region":"us-east-2","lifecycleConfiguration": {"expiration":{"days":365},"transitions":[{"days":60,"storageClass":"ONEZONE_IA"}]}}]' \
--meta-store-manager-role-arn "arn:aws:iam:us-east-1:123456789012:role/service-role/AmazonSecurityLakeMetaStoreManager"
```
**Exemple 2**
L'exemple de commande suivant active Security Lake dans la `us-east-2` région. Ce lac de données est chiffré à l'aide d'une clé gérée par le client créée dans AWS Key Management Service (AWS KMS). Les objets expirent au bout de 500 jours et passent à la classe de stockage `GLACIER` S3 au bout de 30 jours. Cet exemple est formaté pour Linux, macOS ou Unix et utilise le caractère de continuation de ligne barre oblique inverse (\$1) pour améliorer la lisibilité.
```
$ aws securitylake create-data-lake \
--configurations '[{"encryptionConfiguration": {"kmsKeyId":"1234abcd-12ab-34cd-56ef-1234567890ab"},"region":"us-east-2","lifecycleConfiguration": {"expiration":{"days":500},"transitions":[{"days":30,"storageClass":"GLACIER"}]}}]' \
--meta-store-manager-role-arn "arn:aws:iam:us-east-1:123456789012:role/service-role/AmazonSecurityLakeMetaStoreManager"
```
**Note**
Si vous avez déjà activé Security Lake et que vous souhaitez mettre à jour les paramètres de configuration d'une région ou d'une source, utilisez l'[https://docs.aws.amazon.com/security-lake/latest/APIReference/API_UpdateDataLake.html](https://docs.aws.amazon.com/security-lake/latest/APIReference/API_UpdateDataLake.html)opération ou, si vous utilisez la AWS CLI, la [update-data-lake](https://awscli.amazonaws.com/v2/documentation/api/latest/reference/securitylake/update-data-lake.html)commande. N'utilisez pas l'`CreateDataLake`opération.
## Étape 3 : Configuration des sources
Security Lake collecte les données des journaux et des événements à partir de diverses sources et sur l'ensemble de votre Comptes AWS territoire Régions AWS. Suivez ces instructions pour identifier les données que vous souhaitez que Security Lake collecte. Vous ne pouvez utiliser ces instructions que pour ajouter une source prise en charge nativement Service AWS . Pour plus d'informations sur l'ajout d'une source personnalisée, consultez[Collecte de données à partir de sources personnalisées dans Security Lake](custom-sources.md).
Pour définir une ou plusieurs sources de collecte par programmation, utilisez le [CreateAwsLogSource](https://docs.aws.amazon.com/security-lake/latest/APIReference/API_CreateAwsLogSource.html)fonctionnement de l'API Security Lake. Pour chaque source, spécifiez une valeur unique au niveau régional pour le `sourceName` paramètre. Utilisez éventuellement des paramètres supplémentaires pour limiter la portée de la source à des comptes spécifiques (`accounts`) ou à une version spécifique (`sourceVersion`).
**Note**
Si vous n'incluez aucun paramètre facultatif dans votre demande, Security Lake applique votre demande à tous les comptes ou à toutes les versions de la source spécifiée, en fonction du paramètre que vous excluez. Par exemple, si vous êtes l'administrateur délégué de Security Lake pour une organisation et que vous excluez le `accounts` paramètre, Security Lake applique votre demande à tous les comptes de votre organisation. De même, si vous excluez le `sourceVersion` paramètre, Security Lake applique votre demande à toutes les versions de la source spécifiée.
Si votre demande indique une région dans laquelle vous n'avez pas activé Security Lake, une erreur se produit. Pour corriger cette erreur, assurez-vous que le `regions` tableau indique uniquement les régions dans lesquelles vous avez activé Security Lake. Vous pouvez également activer Security Lake dans la région, puis soumettre à nouveau votre demande.
Lorsque vous activez Security Lake dans un compte pour la première fois, toutes les sources de journaux et d'événements sélectionnées feront l'objet d'une période d'essai gratuite de 15 jours. Pour plus d'informations sur les statistiques d'utilisation, consultez[Révision de l'utilisation et des coûts estimés](reviewing-usage-costs.md).
## Étape 4 : Configuration des paramètres de stockage et des régions cumulatives (facultatif)
Vous pouvez spécifier la classe de stockage Amazon S3 dans laquelle vous souhaitez que Security Lake stocke vos données et pendant combien de temps. Vous pouvez également spécifier une région cumulative pour consolider les données de plusieurs régions. Il s'agit d'étapes facultatives. Pour de plus amples informations, veuillez consulter [Gestion du cycle de vie dans Security Lake](lifecycle-management.md).
Pour définir un objectif cible par programmation lorsque vous activez Security Lake, utilisez le [https://docs.aws.amazon.com/security-lake/latest/APIReference/API_CreateDataLake.html](https://docs.aws.amazon.com/security-lake/latest/APIReference/API_CreateDataLake.html)fonctionnement de l'API Security Lake. Si vous avez déjà activé Security Lake et que vous souhaitez définir un objectif cible, utilisez l'[https://docs.aws.amazon.com/security-lake/latest/APIReference/API_UpdateDataLake.html](https://docs.aws.amazon.com/security-lake/latest/APIReference/API_UpdateDataLake.html)opération, et non l'`CreateDataLake`opération.
Quelle que soit l'opération, utilisez les paramètres pris en charge pour spécifier les paramètres de configuration souhaités :
+ Pour spécifier une région de cumul, utilisez le `region` champ pour spécifier la région dans laquelle vous souhaitez fournir des données aux régions de cumul. Dans le `regions` tableau de l'`replicationConfiguration`objet, spécifiez le code de région pour chaque région cumulative. Pour obtenir la liste des codes de région, consultez la section [Points de terminaison Amazon Security Lake](https://docs.aws.amazon.com/general/latest/gr/securitylake.html) dans le *Références générales AWS*.
+ Pour définir les paramètres de conservation de vos données, utilisez les `lifecycleConfiguration` paramètres suivants :
+ Pour`transitions`, spécifiez le nombre total de jours (`days`) pendant lesquels vous souhaitez stocker des objets S3 dans une classe de stockage Amazon S3 spécifique (`storageClass`).
+ Pour`expiration`, spécifiez le nombre total de jours pendant lesquels vous souhaitez stocker des objets dans Amazon S3, en utilisant n'importe quelle classe de stockage, après la création des objets. À la fin de cette période de rétention, les objets expirent et Amazon S3 les supprime.
Security Lake applique les paramètres de rétention spécifiés à la région que vous spécifiez dans le `region` champ de l'`configurations`objet.
Par exemple, la commande suivante crée un lac de données `ap-northeast-2` sous forme de région cumulative. La `us-east-1` Région fournira des données à la `ap-northeast-2` Région. Cet exemple établit également une période d'expiration de 10 jours pour les objets ajoutés au lac de données.
```
$ aws securitylake create-data-lake \
--configurations '[{"encryptionConfiguration": {"kmsKeyId":"S3_MANAGED_KEY"},"region":"us-east-1","replicationConfiguration": {"regions": ["ap-northeast-2"],"roleArn":"arn:aws:iam::123456789012:role/service-role/AmazonSecurityLakeS3ReplicationRole"},"lifecycleConfiguration": {"expiration":{"days":10}}}]' \
--meta-store-manager-role-arn "arn:aws:iam::123456789012:role/service-role/AmazonSecurityLakeMetaStoreManager"
```
Vous avez maintenant créé votre lac de données. Utilisez le [https://docs.aws.amazon.com/security-lake/latest/APIReference/API_ListDataLakes.html](https://docs.aws.amazon.com/security-lake/latest/APIReference/API_ListDataLakes.html)fonctionnement de l'API Security Lake pour vérifier l'activation de Security Lake et les paramètres de votre lac de données dans chaque région.
Si des problèmes ou des erreurs surviennent lors de la création de votre lac de données, vous pouvez afficher une liste d'exceptions à l'aide de l'[https://docs.aws.amazon.com/security-lake/latest/APIReference/API_ListDataLakeExceptions.html](https://docs.aws.amazon.com/security-lake/latest/APIReference/API_ListDataLakeExceptions.html)opération et informer les utilisateurs des exceptions lors de l'[https://docs.aws.amazon.com/security-lake/latest/APIReference/API_CreateDataLakeExceptionSubscription.html](https://docs.aws.amazon.com/security-lake/latest/APIReference/API_CreateDataLakeExceptionSubscription.html)opération. Pour de plus amples informations, veuillez consulter [Résolution des problèmes liés à l'état des lacs](securitylake-data-lake-troubleshoot.md).
## Étape 5 : Afficher et interroger vos propres données
Après avoir créé votre lac de données, vous pouvez utiliser Amazon Athena ou des services similaires pour afficher et interroger vos données à partir de AWS Lake Formation bases de données et de tables. Lorsque vous activez Security Lake par programmation, les autorisations d'affichage de la base de données ne sont pas accordées automatiquement. Le compte administrateur du lac de données AWS Lake Formation doit accorder `SELECT` des autorisations au rôle IAM que vous souhaitez utiliser pour interroger les bases de données et les tables pertinentes. Le rôle doit au minimum disposer des autorisations d'*analyste de données*. Pour plus d'informations sur les niveaux d'autorisation, consultez les sections [Personnas de Lake Formation et Référence des autorisations IAM](https://docs.aws.amazon.com/lake-formation/latest/dg/permissions-reference.html). Pour obtenir des instructions sur l'octroi d'`SELECT`autorisations, consultez la section [Octroi d'autorisations au catalogue de données à l'aide de la méthode des ressources nommées](https://docs.aws.amazon.com/lake-formation/latest/dg/granting-cat-perms-named-resource.html) dans le *guide du AWS Lake Formation développeur*.
## Étape 6 : créer des abonnés
Après avoir créé votre lac de données, vous pouvez ajouter des abonnés pour consommer vos données. Les abonnés peuvent consommer des données en accédant directement aux objets de vos compartiments Amazon S3 ou en interrogeant le lac de données. Pour plus d'informations sur les abonnés, consultez[Gestion des abonnés dans Security Lake](subscriber-management.md).