问题标签 [amazon-cloudtrail]

Cloud Trail 将其所有日志文件保存在 S3 存储桶中。存储桶的权限：所有人的对象访问权限设置为“读取” 当您单击存储桶并到达您看到日志文件的位置时。

然后我们看到文件的权限：对象访问权限未设置为所有人读取或写入。

提前致谢！

我整个周末都被困在这个问题上。我正在尝试在 cloudformation 中创建一个 cloudtrail 服务，但运行时收到此错误 - 检测到存储桶的 S3 存储桶策略不正确：s3bucket-xxxxxx

这是我的代码；

我的客户需要 AWS 大扫除！

在我们可以终止 EC2 实例之前，我们需要找出谁提供了这些实例，并在我们删除它们之前询问他们是否仍在使用该实例。AWS 似乎没有提供开箱即用的功能来报告 EC2 实例的“所有者”/“供应商”是谁，据我了解，我需要解析驻留在 S3 中的归档压缩日志文件.

问题是，他们的自动化是利用 STS AssumeRole 来提供实例。这意味着日志中的 RunInstances 事件不会追溯到实际用户（如果我错了，请纠正我，希望我错了）。

AWS 博客提供了一个虚构人物 Alice 的故事，以及她将 TerminateInstance 事件追溯到用户的步骤，该事件涉及 2 个日志事件：TerminateInstance 事件和包含实际用户详细信息的 AssumeRole 事件的“某时某时”事件. 是否有一种实用的方法可以将这两个事件关联起来？

这是我的 POC，它通过来自 s3 的 cloudtrail 日志进行解析：

然而，细节是通用的，因为这些角色由许多组共享。如何在脚本中担任角色之前找到用户的详细信息？

更新： 做了一些研究，看起来我可以通过共享的“accessKeyId”将 Runinstances 事件与 AssumeRole 事件相关联，并且应该在它承担角色之前向我显示帐户名称。虽然很棘手。并非所有 RunInstances 事件都包含此 accessKeyId，例如，如果“invokedby”是一个自动缩放事件。

我正在尝试下载存储在 S3 存储桶中的 CloudTrail 日志文件，但是当我收到该文件时，它是不可读的，直到我意识到它可以按照此处所说的进行加密并且我不知道如何解密该文件。

这是我的代码：

当我收到它看起来像乱码的文件时，这是输出文件：

如何下载和解密 CloudTrail 的日志文件？

更新

我添加了这些代码行如下：

这给了我如下错误：

我检查了 S3Object 的元数据以查看它是否已加密，它为 getSSEAlgorithm 返回 AES256，但 getSSEAwsKmsKeyID 返回 null。

我有几个用于 cloudtrails 日志的 cloudwatch 过滤器，例如：

每个过滤器都会触发警报，我会在邮箱上收到一条 SNS 通知，告诉我类似A user has logged in withtout MFA

但我想收到来自 cloudwatch 的触发此警报的日志行，因此我可以通过解析日志立即知道哪个用户有故障，并触发一个机器人，要求用户修复此问题，而无需去cloudwatch ，手动检查并自己联系用户。

我可以制作一个以某种方式自动执行此操作的程序，但我想首先确保没有合适的 AWS 方法来执行此操作。

有没有办法自动接收邮件中的日志，或者通过任何其他自动方式？

非常感谢

有没有办法获取事件信息，特别是导致事件的服务的 ARN，到 lambda 函数？

在我之前的问题中，我寻求一些有关使用 Cloudwatch 和 Cloudtrail 获取信息的帮助。我认为这主要是对规则的误解，但现在我担心是否有办法制定一个通用的解决方案。

我知道我可以成功地为特定服务执行此操作，但我希望有一个通用规则来触发该功能。Cloudwatch 日志或事件似乎是解决这个问题的正确答案，但我对 Cloudwatch Cloudtrail 规则的问题不再有信心。

只是为了充分阐述我的目标，我希望在创建任何服务时都有一个 lambda 函数触发器，并可以访问该新服务的 ARN，以便我可以对流程进行验证。

我有一个AWS Lambda函数，它从 Cloud-trail 过滤 AWS 日志事件并只提供我的 AWS ROLE 事件。我可以只将此记录发送给 Data-dog 吗？是否有一个 API 可以直接传递这些过滤后的事件？

我从我的 S3 存储桶下载了一个 Cloud Trail GZ 文件，但是当我尝试使用新下载的 7zip 解压缩它时，错误消息显示“无法打开文件 xxx 作为存档”。我试图将日志保存在不同的 S3 存储桶中。我删除了踪迹并重新创建了它。我试着停止追踪然后下载它。它总是一样的。这是怎么回事？

每当在 aws 帐户中创建实例时，我想发送警报并创建日志。帐户中的实例大多是静态的，很少更改，因此在进行未经授权的更改时应该发出警报。

如何创建可以执行此操作的 cloudwatch 警报？

我想创建一个 cloudwatch 规则，用于监控和提醒新安全组的创建。我认为该CreateSecurityGroup事件是我正在寻找的，但是当我创建一个新的安全组时没有创建任何指标。以下是此 cloudwatch 规则的 json：

为了让它工作，我需要改变什么？