EC2 執行個體堆疊 | 收集 Log4j 資訊

若要檢查變更類型版本，請使用下列命令：

aws amscm list-change-type-version-summaries --filter Attribute=ChangeTypeId,Value=CT_ID

內嵌建立：

使用內嵌提供的執行參數發出建立 RFC 命令 （在內嵌提供執行參數時逸出引號），然後提交傳回的 RFC ID。例如，您可以將內容取代為如下內容：

2.0 版：

掃描所有執行個體：

aws amscm create-rfc --change-type-id "ct-19f40lfm5umy8" --change-type-version "2.0" --title "Log4j Investigation" --execution-parameters "{\"DocumentName\":\"AWSManagedServices-GatherLog4jInformation\",\"Region\":\"us-east-1\",\"Parameters\":{\"S3Bucket\":[\"s3://BUCKET_NAME\"]},\"TargetParameterName\": \"InstanceId\",\"Targets\": [{\"Key\": \"AWS::EC2::Instance\",\"Values\": [\"*\"]}],\"MaxConcurrency\": \"10\",\"MaxErrors\": \"100%\"}"

掃描執行個體清單：

aws amscm create-rfc --change-type-id "ct-19f40lfm5umy8" --change-type-version "2.0" --title "Log4j Investigation" --execution-parameters "{\"DocumentName\":\"AWSManagedServices-GatherLog4jInformation\",\"Region\":\"us-east-1\",\"Parameters\":{\"S3Bucket\":[\"s3://BUCKET_NAME\"]},\"TargetParameterName\": \"InstanceId\",\"Targets\": [{\"Key\": \"ParameterValues\",\"Values\": [\"INSTANCE_ID_1\",\"INSTANCE_ID_2\",\"INSTANCE_ID_3\",\"INSTANCE_ID_4\",\"INSTANCE_ID_5\"]}],\"MaxConcurrency\": \"10\",\"MaxErrors\": \"100%\"}"

範本建立：

1. 將此變更類型的執行參數輸出至 JSON 檔案；此範例會將其命名為 GatherLog4jInfoParams.json:

   aws amscm get-change-type-version --change-type-id "ct-19f40lfm5umy8" --query "ChangeTypeVersion.ExecutionInputSchema" --output text > GatherLog4jInfoParams.json

2. 修改並儲存 GatherLog4jInfoParams 檔案，只保留您要變更的參數。例如，您可以將內容取代為如下內容：

   2.0 版：

   掃描所有執行個體：

   {
     "DocumentName": "AWSManagedServices-GatherLog4jInformation",
     "Region": "us-east-1",
     "Parameters": {
       "S3Bucket": [
         "s3://BUCKET_NAME"
       ]
     },
     "TargetParameterName": "InstanceId",
     "Targets": [
       {
         "Key": "AWS::EC2::Instance",
         "Values": [
           "*"
         ]
       }
     ],
     "MaxConcurrency": "10",
     "MaxErrors": "100%"
   }

   掃描執行個體清單：

   {
     "DocumentName": "AWSManagedServices-GatherLog4jInformation",
     "Region": "us-east-1",
     "Parameters": {
       "S3Bucket": [
         "s3://BUCKET_NAME"
       ]
     },
     "TargetParameterName": "InstanceId",
     "Targets": [
       {
         "Key": "ParameterValues",
         "Values": [
           "INSTANCE_ID_1",
           "INSTANCE_ID_2",
           "INSTANCE_ID_3",
           "INSTANCE_ID_4",
           "INSTANCE_ID_5"
         ]
       }
     ],
     "MaxConcurrency": "10",
     "MaxErrors": "100%"
   }

3. 將 RFC 範本輸出至目前資料夾中的檔案；此範例會將其命名為 GatherLog4jInfoRfc.json:

   aws amscm create-rfc --generate-cli-skeleton > GatherLog4jInfoRfc.json

4. 修改並儲存 GatherLog4jInfoRfc.json 檔案。例如，您可以將內容取代為如下內容：

   {
   "ChangeTypeVersion":    "2.0",
   "ChangeTypeId":         "ct-19f40lfm5umy8",
   "Title":                "Log4j Investigation"
   }

5. 建立 RFC，指定 GatherLog4jInfoRfc 檔案和 GatherLog4jInfoParams 檔案：

   aws amscm create-rfc --cli-input-json file://GatherLog4jInfoRfc.json  --execution-parameters file://GatherLog4jInfoParams.json

1. 從 AWS 管理主控台中的任何頁面或 AWS 區域，開啟 AWS CloudShell 以執行接下來顯示的指令碼。確保您已使用 AWSManagedServicesReadOnlyRole 角色登入 AWS 管理主控台。

   # Specify the S3 bucket and AWS region that contains the individual CSV files:
   BUCKET_NAME="YOUR BUCKET HERE"
   BUCKET_REGION="THE BUCKET REGION HERE"
   
   # Aggregate the CSV files:
   mkdir -p log4j-report
   aws s3 cp s3://$BUCKET_NAME/ams/log4j-scan/ ./log4j-report --recursive --include "*.csv"
   echo "aws_account_id,region,scan_time,instance_id,scan_type,location" > log4j-report/report.csv
   for i in `find log4j-report -type f \( -iname "*.csv" ! -iname "report.csv" \)`; do awk 'FNR > 1' $i >> log4j-report/report.csv; done
   
   # Upload the report to the same S3 bucket:
   file_name="report_$(date -d "today" +"%Y%m%d%H%M").csv"
   aws s3 cp log4j-report/report.csv s3://$BUCKET_NAME/ams/log4j-reports/$file_name
   
   # Open the following URL and select \"Download\" to download the report:
   echo "Report uploaded to: https://s3.console.aws.amazon.com/s3/object/$BUCKET_NAME?region=$BUCKET_REGION&prefix=ams/log4j-reports/$file_name"

   指令碼輸出 S3 URL 以從中下載報告。

2. 複製並開啟 URL，然後選擇下載