View a markdown version of this page

Mengkonfigurasi Wilayah rollup di Security Lake - Amazon Security Lake
Peran IAM untuk replikasi dataPeran IAM untuk mendaftar AWS Glue partisiMenambahkan Wilayah RollupMemperbarui atau menghapus Wilayah rollup

Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Mengkonfigurasi Wilayah rollup di Security Lake

Wilayah rollup mengkonsolidasikan data dari satu atau lebih Wilayah yang berkontribusi. Menentukan Wilayah rollup dapat membantu Anda mematuhi persyaratan kepatuhan Regional.

Karena keterbatasan di Amazon S3, replikasi dari danau data regional terenkripsi Customer Managed Key (CMK) ke danau data regional terenkripsi terkelola S3 (enkripsi default) tidak didukung.

penting

Jika Anda membuat sumber kustom, untuk memastikan bahwa data sumber kustom direplikasi dengan benar ke tujuan, Security Lake merekomendasikan mengikuti praktik terbaik yang dijelaskan dalam Praktik terbaik untuk menelan sumber kustom. Replikasi tidak dapat dilakukan pada data yang tidak mengikuti format jalur data partisi S3 seperti yang dijelaskan pada halaman.

Sebelum menambahkan Region rollup, Anda harus terlebih dahulu membuat dua peran berbeda di AWS Identity and Access Management (IAM):

catatan

Security Lake membuat peran IAM ini atau menggunakan peran yang ada atas nama Anda saat Anda menggunakan konsol Security Lake. Namun, Anda harus membuat peran ini saat menggunakan Security Lake API atau AWS CLI.

Peran IAM untuk replikasi data

Peran IAM ini memberikan izin kepada Amazon S3 untuk mereplikasi log sumber dan peristiwa di beberapa Wilayah.

Untuk memberikan izin ini, buat peran IAM yang dimulai dengan awalanSecurityLake, dan lampirkan kebijakan sampel berikut ke peran tersebut. Anda memerlukan Amazon Resource Name (ARN) dari peran saat membuat Wilayah rollup di Security Lake. Dalam kebijakan ini, sourceRegions adalah Wilayah yang berkontribusi, dan destinationRegions merupakan Wilayah rollup.

JSON
{
  "Version":"2012-10-17",
  "Statement": [
    {
      "Sid": "AllowReadS3ReplicationSetting",
      "Action": [
        "s3:ListBucket",
        "s3:GetReplicationConfiguration",
        "s3:GetObjectVersionForReplication",
        "s3:GetObjectVersion",
        "s3:GetObjectVersionAcl",
        "s3:GetObjectVersionTagging",
        "s3:GetObjectRetention",
        "s3:GetObjectLegalHold"
      ],
      "Effect": "Allow",
      "Resource": [
        "arn:aws:s3:::aws-security-data-lake-[[sourceRegions]]*",
        "arn:aws:s3:::aws-security-data-lake-[[sourceRegions]]*/*"
      ],
      "Condition": {
        "StringEquals": {
          "s3:ResourceAccount": [
            "{{bucketOwnerAccountId}}"
          ]
        }
      }
    },
    {
      "Sid": "AllowS3Replication",
      "Action": [
        "s3:ReplicateObject",
        "s3:ReplicateDelete",
        "s3:ReplicateTags",
        "s3:GetObjectVersionTagging"
      ],
      "Effect": "Allow",
      "Resource": [
        "arn:aws:s3:::aws-security-data-lake-[[destinationRegions]]*/*"
      ],
      "Condition": {
        "StringEquals": {
          "s3:ResourceAccount": [
            "{{bucketOwnerAccountId}}"
          ]
        }
      }
    }
  ]
}

Lampirkan kebijakan kepercayaan berikut ke peran Anda untuk mengizinkan Amazon S3 mengambil peran tersebut:

JSON
{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Sid": "AllowS3ToAssume",
            "Effect": "Allow",
            "Principal": {
                "Service": "s3.amazonaws.com"
            },
            "Action": "sts:AssumeRole"
        }
    ]
}

Jika Anda menggunakan kunci yang dikelola pelanggan dari AWS Key Management Service (AWS KMS) untuk mengenkripsi danau data Security Lake, Anda harus memberikan izin berikut selain izin dalam kebijakan replikasi data.

{
    "Action": [
        "kms:Decrypt"
    ],
    "Effect": "Allow",
    "Condition": {
        "StringLike": {
            "kms:ViaService": [
                "s3.{sourceRegion1}.amazonaws.com",
                "s3.{sourceRegion2}.amazonaws.com"
                ],
            "kms:EncryptionContext:aws:s3:arn": [
                "arn:aws:s3:::aws-security-data-lake-{sourceRegion1}*",
                "arn:aws:s3:::aws-security-data-lake-{sourceRegion2}*"
            ]
        }
    },
    "Resource": [
        "{sourceRegion1KmsKeyArn}",
        "{sourceRegion2KmsKeyArn}"
    ]
},
{
    "Action": [
        "kms:Encrypt"
    ],
    "Effect": "Allow",
    "Condition": {
        "StringLike": {
            "kms:ViaService": [
            "s3.{destinationRegion1}.amazonaws.com",
            ],
            "kms:EncryptionContext:aws:s3:arn": [
                "arn:aws:s3:::aws-security-data-lake-{destinationRegion1}*",
            ]
        }
    },
    "Resource": [
            "{destinationRegionKmsKeyArn}"
    ]
}

Untuk informasi selengkapnya tentang peran replikasi, lihat Menyiapkan izin di Panduan Pengguna Layanan Penyimpanan Sederhana Amazon.

Peran IAM untuk mendaftar AWS Glue partisi

Peran IAM ini memberikan izin untuk AWS Lambda fungsi pembaharu partisi yang digunakan oleh Security Lake untuk mendaftarkan AWS Glue partisi untuk objek S3 yang direplikasi dari wilayah lain. Tanpa membuat peran ini, pelanggan tidak dapat menanyakan peristiwa dari objek tersebut.

Untuk memberikan izin ini, buat peran bernama AmazonSecurityLakeMetaStoreManager (Anda mungkin telah membuat peran ini saat onboarding ke Security Lake). Untuk informasi selengkapnya tentang peran ini, termasuk kebijakan sampel, lihatLangkah 1: Buat peran IAM.

Di konsol Lake Formation, Anda juga harus memberikan AmazonSecurityLakeMetaStoreManager izin sebagai administrator danau data dengan mengikuti langkah-langkah berikut:

  1. Buka konsol Formasi Danau di https://console.aws.amazon.com/lakeformation/.

  2. Masuk sebagai pengguna administratif.

  3. Jika jendela Welcome to Lake Formation muncul, pilih pengguna yang Anda buat atau pilih di Langkah 1, lalu pilih Mulai.

  4. Jika Anda tidak melihat jendela Welcome to Lake Formation, maka lakukan langkah-langkah berikut untuk mengonfigurasi Administrator Formasi Danau.

    1. Di panel navigasi, di bawah Izin, pilih Per an dan tugas administratif. Di bagian Administrator danau data pada halaman konsol, pilih Pilih administrator.

    2. Di kotak dialog Kel ola administrator danau data, untuk pengguna dan peran IAM, pilih peran AmazonSecurityLakeMetaStoreManager IAM yang Anda buat, lalu pilih Simpan.

Untuk informasi selengkapnya tentang mengubah izin untuk administrator danau data, lihat Membuat administrator danau data di Panduan AWS Lake Formation Pengembang.

Menambahkan Wilayah Rollup

Pilih metode akses pilihan Anda, dan ikuti langkah-langkah berikut untuk menambahkan Wilayah rollup.

catatan

Wilayah dapat menyumbangkan data ke beberapa Wilayah rollup. Namun, Wilayah rollup tidak dapat menjadi Wilayah yang berkontribusi untuk Wilayah rollup lain.

Console

  1. Buka konsol Security Lake di https://console.aws.amazon.com/securitylake/.

  2. Di panel navigasi, di bawah Peng aturan, pilih Wilayah Rollup.

  3. Pilih Ubah, lalu pilih Tambahkan Wilayah rollup.

  4. Tentukan Wilayah rollup dan Wilayah yang berkontribusi. Ulangi langkah ini jika Anda ingin menambahkan beberapa Wilayah rollup.

  5. Jika ini adalah pertama kalinya Anda menambahkan Region rollup, untuk akses Layanan, buat peran IAM baru atau gunakan peran IAM yang ada yang memberikan izin Security Lake untuk mereplikasi data di beberapa Wilayah.

  6. Setelah selesai, pilih Simpan.

Anda juga dapat menambahkan Wilayah rollup saat Anda naik ke Danau Keamanan. Untuk informasi selengkapnya, lihat Memulai dengan Amazon Security Lake.

API

Untuk menambahkan Region rollup secara terprogram, gunakan UpdateDataLake operasi Security Lake API. Jika Anda menggunakan AWS CLI, jalankan update-data-lake perintah. Dalam permintaan Anda, gunakan region bidang untuk menentukan Wilayah yang ingin Anda sumbangkan data ke Wilayah rollup. Dalam regions array replicationConfiguration parameter, tentukan kode Wilayah untuk setiap Wilayah rollup. Untuk daftar kode Wilayah, lihat titik akhir Amazon Security Lake di Referensi Umum AWS.

Misalnya, perintah berikut ditetapkan ap-northeast-2 sebagai Wilayah rollup. Wil us-east-1 ayah akan menyumbangkan data ke D ap-northeast-2 aerah. Contoh ini juga menetapkan periode kedaluwarsa 365 hari untuk objek yang ditambahkan ke danau data. Contoh ini diformat untuk Linux, macOS, atau Unix, dan menggunakan karakter garis miring terbalik (\) untuk meningkatkan keterbacaan.

$ aws securitylake update-data-lake \
--configurations '[{"encryptionConfiguration": {"kmsKeyId":"S3_MANAGED_KEY"},"region":"us-east-1","replicationConfiguration": {"regions": ["ap-northeast-2"],"roleArn":"arn:aws:iam::123456789012:role/service-role/AmazonSecurityLakeS3ReplicationRole"},"lifecycleConfiguration": {"expiration":{"days":365}}}]'

Anda juga dapat menambahkan Wilayah rollup saat naik ke Danau Keamanan. Untuk melakukan ini, gunakan CreateDataLake operasi (atau, jika menggunakan AWS CLI, perintah create-data-lake). Untuk informasi selengkapnya tentang mengonfigurasi Wilayah rollup selama orientasi, lihat. Memulai dengan Amazon Security Lake

Memperbarui atau menghapus Wilayah rollup

Pilih metode akses pilihan Anda, dan ikuti langkah-langkah berikut untuk memperbarui atau menghapus Wilayah rollup di Security Lake.

Console

  1. Buka konsol Security Lake di https://console.aws.amazon.com/securitylake/.

  2. Di panel navigasi, di bawah Peng aturan, pilih Wilayah Rollup.

  3. Pilih Ubah.

  4. Untuk mengubah Wilayah yang berkontribusi untuk Wilayah rollup, tentukan Wilayah kontributor yang diperbarui di baris untuk Wilayah rollup.

  5. Untuk menghapus Wilayah rollup, pilih H apus di baris untuk Wilayah rollup.

  6. Setelah selesai, pilih Simpan.

API

Untuk mengkonfigurasi Regions rollup secara terprogram, gunakan UpdateDataLake operasi Security Lake API. Jika Anda menggunakan AWS CLI, jalankan update-data-lake perintah. Dalam permintaan Anda, gunakan parameter yang didukung untuk menentukan pengaturan rollup:

  • Untuk menambahkan Wilayah yang berkontribusi, gunakan region bidang untuk menentukan kode Wilayah untuk Wilayah yang akan ditambahkan. Dalam regions array replicationConfiguration objek, tentukan kode Wilayah untuk setiap Wilayah rollup untuk menyumbangkan data. Untuk daftar kode Wilayah, lihat titik akhir Amazon Security Lake di Referensi Umum AWS.

  • Untuk menghapus Wilayah yang berkontribusi, gunakan region bidang untuk menentukan kode Wilayah untuk Daerah yang akan dihapus. Untuk replicationConfiguration parameter, jangan tentukan nilai apa pun.

Misalnya, perintah berikut mengonfigurasi keduanya us-east-1 dan us-east-2 sebagai Wilayah yang berkontribusi. Kedua Wilayah akan menyumbangkan data ke Wilayah ap-northeast-3 rollup. Contoh ini diformat untuk Linux, macOS, atau Unix, dan menggunakan karakter garis miring terbalik (\) untuk meningkatkan keterbacaan.

$ aws securitylake update-data-lake \
--configurations '[{"encryptionConfiguration": {"kmsKeyId":"S3_MANAGED_KEY"},"region":"us-east-1","replicationConfiguration": {"regions": ["ap-northeast-3"],"roleArn":"arn:aws:iam::123456789012:role/service-role/AmazonSecurityLakeS3ReplicationRole"},"lifecycleConfiguration": {"expiration":{"days":365}}},
{"encryptionConfiguration": {"kmsKeyId":"S3_MANAGED_KEY"},"region":"us-east-2","replicationConfiguration": {"regions": ["ap-northeast-3"],"roleArn":"arn:aws:iam::123456789012:role/service-role/AmazonSecurityLakeS3ReplicationRole"}, "lifecycleConfiguration": {"expiration":{"days":500},"transitions":[{"days":60,"storageClass":"ONEZONE_IA"}]}}]'