本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

# 使用控制台启用安全湖
<a name="get-started-console"></a>

本教程介绍如何通过启用和配置 Security Lake AWS 管理控制台。作为其中的一部分 AWS 管理控制台，Security Lake 控制台提供了简化的入门流程，并创建了创建数据湖所需的所有必需的 AWS Identity and Access Management (IAM) 角色。

## 步骤 1：配置源
<a name="define-collection-objective"></a>

Security Lake 会从您的 AWS 账户 和 AWS 区域中的各种来源收集日志和事件数据。按照以下说明指定您希望 Security Lake 收集哪些数据。您只能使用这些说明将原生支持的 AWS 服务 添加为来源。有关添加自定义来源的更多信息，请参阅[从 Security Lake 中的自定义来源收集数据](custom-sources.md)。

**配置日志源收集**

1. 在上打开 Security Lake 控制台[https://console.aws.amazon.com/securitylake/](https://console.aws.amazon.com/securitylake/)。

1. 使用页面右上角的 AWS 区域 选择器选择一个区域。您可以在服务启用过程中在当前区域和其他区域启用 Security Lake。

1. 选择**开始**。

1. **在 “选择日志和事件源**” 中，选择以下选项之一进行**来源选择**：

   1. 载@@ **入默认 AWS 来源**-选择推荐选项时， CloudTrail -S3 数据事件，默认情况下 AWS WAF 不包含在摄取中。这是因为大量摄取两种来源类型可能会显著影响使用成本。要摄取这些源，请先选择 “**收录特定 AWS 来源**” 选项，然后从 “**日志和事件源” 列表中选择这些源**。

   1. **摄取特定 AWS 来源**-使用此选项，您可以选择一个或多个要采集的日志和事件源。
**注意**  
首次在账户中启用 Security Lake 时，所有选定的日志和事件来源都将包含在 15 天免费试用期内。有关使用情况统计数据的信息，请参阅[查看使用量和估算费用](reviewing-usage-costs.md)。

1. 对于**版本**，选择要从中提取日志和事件源的数据源的版本。有关版本的更多信息，请参阅[OCSF 来源识别](open-cybersecurity-schema-framework.md#ocsf-source-identification)。
**重要**  
如果您没有在指定区域启用新版本 AWS 日志源所需的角色权限，请联系您的 Security Lake 管理员。有关更多信息，请参阅[更新角色权限](https://docs.aws.amazon.com/security-lake/latest/userguide/internal-sources.html#update-role-permissions)。

1. 对于**选择区域**，选择是从所有受支持的区域还是从特定的区域摄取日志和事件来源。如果选择**特定区域**，请选择要从哪些区域摄取数据。

1. 对于**选择账户**，请执行以下步骤：

   1. 选择 Security Lake 是从组织中的**所有账户**还是**特定账户**中提取数据。将使用您在配置期间选择的设置为这些账户启用 Security Lake。

   1. 默认情况下，“**为新的组织帐户自动启用 Security Lak** e” 复选框处于选中状态。 AWS 账户 当他们加入您的组织时，这些自动启用设置将适用。您可以随时编辑自动启用设置。
**注意**  
自动启用设置仅适用于加入组织后的账户，不适用于现有账户。有关更多信息，请参阅 [在控制台中编辑新账户配置](multi-account-management.md#security-lake-new-account-auto-enable)。

   

1. 要**服务访问权限**，请创建一个新的 IAM 角色或使用现有的 IAM 角色来授予 Security Lake 从您的来源收集数据并将其添加到数据湖的权限。启用了 Security Lake 的所有区域中都使用一个角色。

1. 选择**下一步**。

## 步骤 2：定义存储设置和汇总区域（可选）
<a name="define-target-objective"></a>

您可以指定 Security Lake 用来存储数据的 Amazon S3 存储类以及存储多长时间。您也可以指定一个汇总区域，以整合来自多个区域的数据。这些是可选步骤。有关更多信息，请参阅 [Security Lake 中的生命周期管理](lifecycle-management.md)。

**配置存储和汇总设置**

1. 如果要将来自多个区域的数据整合到汇总区域，请在选择汇总区域中选择**添加汇总区域**。指定汇总区域以及向汇总区域提供数据的区域。您可以设置一个或多个汇总区域。

1. 在**选择存储类**中，选择 Amazon S3 存储类。默认的存储类是 **S3 Standard**。如果希望数据在留存期结束后转换到另一个存储类，请提供留存期（以天为单位），然后选择**添加转换**。留存期结束后，对象将过期，Amazon S3 会将其删除。有关 Amazon S3 存储类和留存的更多信息，请参阅[留存管理](lifecycle-management.md#retention-management)。

1. 如果在第一步中选择了汇总区域，则对于**服务访问权限**，请创建一个新的 IAM 角色或使用现有 IAM 角色来向 Security Lake 授予跨多个区域复制数据的权限。

1. 选择**下一步**。

## 步骤 3：查看并创建数据湖
<a name="review-create"></a>

查看 Security Lake 将从中收集数据的来源、您的汇总区域和留存期设置。然后，创建您的数据湖。

**查看和创建数据湖**

1. 在启用 Security Lake 时，请查看**日志和事件来源**、**区域**、**汇总区域**和**存储类**。

1. 选择**创建**。

创建数据湖后，您将在 Security Lake 控制台上看到**摘要**页面。此页面概述了区域和**汇总****区域**的数量、有关订阅者的信息以及**问题**。

“**问题**” 菜单显示了过去 14 天内影响安全湖服务或您的 Amazon S3 存储桶的问题摘要。有关每个问题的更多详细信息，您可以访问 Security Lake 控制台的 “**问题**” 页面。

## 第 4 步：查看和查询您自己的数据
<a name="explore-data-lake"></a>

创建数据湖后，您可以使用 Amazon Athena 或类似服务查看和查询数据库和表 AWS Lake Formation 中的数据。当您使用控制台时，Security Lake 会自动向您用于启用 Security Lake 的角色授予数据库查看权限。该角色必须至少拥有*数据分析师*权限。有关权限级别的更多信息，请参阅 [Lake Formation 角色和 IAM 权限参考](https://docs.aws.amazon.com/lake-formation/latest/dg/permissions-reference.html)。有关授予 `SELECT` 权限的说明，请参阅《*AWS Lake Formation 开发人员指南》*中的[使用命名的资源方法授予数据目录权限](https://docs.aws.amazon.com/lake-formation/latest/dg/granting-cat-perms-named-resource.html)。

## 第 5 步：创建订阅者
<a name="subscribe-data"></a>

创建数据湖后，您可以添加订阅用户来使用您的数据。订阅用户可以通过直接访问您的 Amazon S3 存储桶中的对象或查询数据湖来使用数据。有关订阅用户的更多信息，请参阅 [安全湖中的订阅者管理](subscriber-management.md)。