View a markdown version of this page

AWSSupport-ConfigureDNSQueryLogging - AWS Systems Manager Riferimento al runbook dell’automazione

Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

AWSSupport-ConfigureDNSQueryLogging

Descrizione

Il AWSSupport-ConfigureDNSQueryLogging runbook configura la registrazione per le query DNS che hanno origine nel tuo cloud privato virtuale (VPC) o per le zone ospitate su Amazon Route 53. Puoi scegliere di pubblicare i log delle query su Amazon Logs, Amazon CloudWatch Simple Storage Service (Amazon S3) o Amazon Data Firehose. Per ulteriori informazioni sulla registrazione delle query e sui log delle query del resolver, consulta Public DNS query logging e Resolver query logging. https://docs.aws.amazon.com/Route53/latest/DeveloperGuide/resolver-query-logs.html

Esegui questa automazione (console)

Tipo di documento

Automazione

Proprietario

Amazon

Piattaforme

LinuxmacOS, Windows

Parametri

  • AutomationAssumeRole

    Tipo: String

    Descrizione: (Facoltativo) L'Amazon Resource Name (ARN) del ruolo AWS Identity and Access Management (IAM) che consente a Systems Manager Automation di eseguire le azioni per tuo conto. Se non viene specificato alcun ruolo, Systems Manager Automation utilizza le autorizzazioni dell'utente che avvia questo runbook.

  • LogDestinationArn

    Tipo: String

    Descrizione: (Facoltativo) L'ARN del gruppo CloudWatch Logs, del bucket Amazon S3 o dello stream Firehose a cui desideri inviare i log delle query. Nota che la registrazione delle query DNS pubbliche di Route 53 supporta solo i gruppi Logs. CloudWatch Se non specifichi un valore per questo parametro, l'automazione crea un gruppo di CloudWatch log con il formato AWSSupport-ConfigureDNSQueryLogging-{automation: EXECUTION_ID } e una policy sulle risorse IAM per pubblicare i log delle query. Il gruppo CloudWatch Logs creato dall'automazione ha un periodo di conservazione di 14 giorni.

  • QueryLogType

    Tipo: String

    Descrizione: (Facoltativo) I tipi di query che desideri registrare.

    Valori validi: Public | Resolver/Private

    Predefinito: pubblico

  • ResourceId

    Tipo: String

    Descrizione: (obbligatorio) L'ID della risorsa di cui si desidera registrare le query. Se si specifica Public il QueryLogType parametro, la risorsa deve essere l'ID di una zona ospitata privata di Route 53. Se si specifica Resolver/Private il QueryLogType parametro, la risorsa deve essere l'ID di un VPC.

Autorizzazioni IAM richieste

Il AutomationAssumeRole parametro richiede le seguenti azioni per utilizzare correttamente il runbook.

  • ec2:DescribeVpcs

  • firehose:ListTagsForDeliveryStream

  • firehose:PutRecord

  • firehose:PutRecordBatch

  • firehose:TagDeliveryStream

  • iam:AttachRolePolicy

  • iam:CreatePolicy

  • iam:CreateRole

  • iam:CreateServiceLinkedRole

  • iam:DeletePolicy

  • iam:DeleteRole

  • iam:DeleteRolePolicy

  • iam:GetPolicy

  • iam:GetRole

  • iam:PassRole

  • iam:PutRolePolicy

  • iam:TagRole

  • iam:UpdateRole

  • logs:CreateLogDelivery

  • logs:CreateLogGroup

  • logs:DeleteLogDelivery

  • logs:DeleteLogGroup

  • logs:DescribeLogGroups

  • logs:DescribeLogStreams

  • logs:DescribeResourcePolicies

  • logs:ListLogDeliveries

  • logs:PutResourcePolicy

  • logs:PutRetentionPolicy

  • logs:UpdateLogDelivery

  • route53:CreateQueryLoggingConfig

  • route53:DeleteQueryLoggingConfig

  • route53:GetHostedZone

  • route53resolver:AssociateResolverQueryLogConfig

  • route53resolver:CreateResolverQueryLogConfig

  • route53resolver:DeleteResolverQueryLogConfig

  • s3:GetBucketAcl

Fasi del documento

  • aws:executeScript- Verifica l'esistenza della risorsa specificata per il ResourceId parametro e controlla se il tipo di risorsa corrisponde all'opzione richiestaQueryLogType.

  • aws:executeScript- Verifica che il valore specificato per il LogDestinationArn parametro corrisponda a quello richiesto. QueryLogType

  • aws:executeScript- Verifica le autorizzazioni richieste per Route 53 per pubblicare i log nel gruppo di CloudWatch log Logs e crea la policy sulle risorse IAM richiesta se non esiste.

  • aws:executeScript- Abilita la registrazione delle query DNS sulla destinazione selezionata.