AWS 云轨构造库
AWS CDK v1在2023-06-01上达到了支持结束. 此软件包不再更新,用户应该迁移到 AWS CDK v2.
关于如何移徙的更多信息,请参见: 移动到 AWS CDK v2 指南。 。 。 .
轨迹
AWS CloudTrail可以对您的AWS账户进行治理、合规以及业务和风险审计。 采取的行动 用户、角色或AWS服务在CloudTrail被记录为事件。 学多一点 云轨 文档。 。 。 .
这个 Trail 构造可以将事件作为日志文件持续发送到亚马逊 S3 桶。 学习更多关于 创建
aWS 账户的轨迹。 。 。 .
以下代码为您的账户创建了简单的 CloudTrail -
const trail = new cloudtrail.Trail(this, 'CloudTrail');
默认情况下, 这将创建一个 CloudTrail 会写入的新 S3 Bucket, 并选择一些其他合理默认
例如开展多区域和全球服务活动.
每个财产的缺省和如何推翻这些缺省都记录在 TrailProps 接口.
日志文件验证
为了验证CloudTrail的日志文件在CloudTrail交付后没有被修改,CloudTrail提供了一个 每个文件的数字签名 。 学习更多 正在验证 CloudTrail 日志文件 诚信。 。 。 .
启用于 Trail 默认构造,但可以通过设置关闭 enableFileValidation 改为 false。 。 。 .
const trail = new cloudtrail.Trail(this, 'CloudTrail', {
enableFileValidation: false,
});
通知
亚马逊 SNS 通知可以配置在包含有有轨电车事件的新日志文件上交付到 S3. 学习更多 配置 Amazon SNS 通知 云轨。 。 。 . 以下代码配置要通知的 SNS 主题 -
const topic = new sns.Topic(this, 'TrailTopic');
const trail = new cloudtrail.Trail(this, 'CloudTrail', {
snsTopic: topic,
});
服务整合
除了向S3发送线索事件之外,它们还可以被配置为通知其他AWS服务-
亚马逊云表日志
CloudTrail 事件可以交付给 Cloud Watch Logs Log Group 。 默认情况下,将创建一个新的日志组,其中包含 默认保留设置。 以下代码允许发送 Cloud Watch 日志, 但指定特定保留 时长.
import * as logs from '@aws-cdk/aws-logs';
const trail = new cloudtrail.Trail(this, 'CloudTrail', {
sendToCloudWatchLogs: true,
cloudWatchLogsRetention: logs.RetentionDays.FOUR_MONTHS,
});
如果您想要使用一个特定的日志组来代替,此选项可以通过 cloudwatchLogGroup。 。 。 .
亚马逊事件Bridge
Amazon EventBridge 规则可以配置,以便在 CloudTrail 事件发生时使用 Trail.onEvent() API (英语).
使用可用的 API aws-events,可以过滤这些事件,使之与感兴趣的事件相匹配
特定服务、账户或时间范围。 见 通过下列方式交付的活动
云轨
从 CloudTrail 了解更多事件结构.
以下代码从特定 AWS 账户中过滤 S 3 的事件并触发 lambda 函数 .
const myFunctionHandler = new lambda.Function(this, 'MyFunction', {
code: lambda.Code.fromAsset('resource/myfunction'),
runtime: lambda.Runtime.NODEJS_14_X,
handler: 'index.handler',
});
const eventRule = cloudtrail.Trail.onEvent(this, 'MyCloudWatchEvent', {
target: new targets.LambdaFunction(myFunctionHandler),
});
eventRule.addEventPattern({
account: ['123456789012'],
source: ['aws.s3'],
});
多区域和全球服务活动
默认a Trail 配置以将日志文件从多个区域发送到给定的单个 S3 桶
账户。 这在所有其他区域都造成了阴影痕迹(复制痕迹)。 学习更多关于 怎么样
云轨区域行为
和关于 IsMultiRegion
属性。 。 。 .
就大多数服务而言,事件记录在行动所在区域。 对于全球服务,如AWS IAM, AWS STS,亚马逊CloudFront, 第53路等,活动都会被送到包括全球服务的任何线索. 学多点 关于全球服务活动。 。 。 .
全球服务事件默认开启 Trail 在 CDK 中构造.
以下代码将无法为特定用户提供全球服务提供多区域线索和线索 Trail - 说吧
const trail = new cloudtrail.Trail(this, 'CloudTrail', {
// ...
isMultiRegionTrail: false,
includeGlobalServiceEvents: false,
});
事件类型
管理活动 提供在您的 AWS 资源上执行的管理操作信息 账户。 这些也被称为控制飞机操作. 学习更多关于 管理层 活动。 。 。 .
默认a Trail 记录所有管理事件。 然而,它们可以被配置为要么关闭,要么只关闭
日志“ 读取” 或“ 写入” 事件 .
以下代码配置 Trail 只跟踪属于“读取”类型的管理事件.
const trail = new cloudtrail.Trail(this, 'CloudTrail', {
// ...
managementEvents: cloudtrail.ReadWriteType.READ_ONLY,
});
数据事件 提供关于在某一资源上或在一个资源中执行的资源业务的信息。 这些也是已知的
作为数据飞机操作。 学习更多关于 数据
活动。 。 。 .
默认情况下,没有记录数据事件 Trail。 。 。 .
AWS CloudTrail支持亚马逊S3对象和AWS Lambda函数的数据事件记录.
这个 logAllS3DataEvents() API 配置线索以记录所有 S3 数据事件,同时 addS3EventSelector() API 可以
用于配置特定桶和特定对象前缀的 S3 数据事件的日志。 以下代码
配置 S3 数据事件的日志 fooBucket 对象前缀 bar/。 。 。 .
import * as s3 from '@aws-cdk/aws-s3';
const trail = new cloudtrail.Trail(this, 'MyAmazingCloudTrail');
declare const bucket: s3.Bucket;
// Adds an event selector to the bucket foo
trail.addS3EventSelector([{
bucket,
objectPrefix: 'bar/',
}]);
同样 logAllLambdaDataEvents() 配置记录所有 Lambda 数据事件的线索,同时
addLambdaEventSelector() API可用于配置特定Lambda函数的日志. 以下代码
为特定函数配置 Lambda 数据事件的日志.
const trail = new cloudtrail.Trail(this, 'MyAmazingCloudTrail');
const amazingFunction = new lambda.Function(this, 'AnAmazingFunction', {
runtime: lambda.Runtime.NODEJS_14_X,
handler: "hello.handler",
code: lambda.Code.fromAsset("lambda"),
});
// Add an event selector to log data events for the provided Lambda functions.
trail.addLambdaEventSelector([ amazingFunction ]);