Salut tout le monde et bon retour.
Maintenant, dans cette vidéo, nous allons discuter des considérations dont vous devrez vous occuper spécifiquement
pendant que vous écrivez la politique à trois compartiments pour la journalisation centralisée basée sur l'architecture
intercompte.
Maintenant, à ce stade, lorsque nous configurions le cloud trail entre comptes, nous avions écrit une simple
stratégie de compartiment S3, et cette stratégie de compartiment permettait au service de cloud trail d'effectuer l'opération de placement
d'objet sur un compartiment S3.
Donc c'est bien.
Maintenant, l'un des défis que vous verrez dans ce type de configuration est que tout compte qu'il peut vous appartenir,
il ne peut vous appartenir à aucun compte de lieu.
Si quelqu'un a créé un nouveau sentier basé sur le cloud et qu'il a spécifié votre compartiment S3, le cloud
trail de ce compte pourra facilement ajouter des données à votre compartiment S3.
C'est donc l'un des principaux défis lorsque vous ajoutez ce type de stratégie, et c'est la raison pour laquelle
j'ai également appelé une stratégie de compartiment S3 basée sur des caractères génériques.
Donc, pour surmonter cela, vous pouvez ajouter une instruction conditionnelle dans votre stratégie de compartiment.
Ainsi, en tant que pratique basée sur la sécurité, vous pouvez ajouter une clé de condition associée à W à votre stratégie de compartiment S3,
ce qui empêchera tout accès non autorisé à votre compartiment S3.
Donc, si vous voyez dans cette capture d'écran, nous avions ajouté une condition et dans cette condition, nous avons une source
et nous ajoutons ici la zone exacte de votre traînée de nuages.
Vous avez donc la région, vous avez le numéro de compte et vous avez même le nom du sentier.
Ainsi, dans ce type d'approche, aucun autre sentier ne pourra ajouter le contenu à votre compartiment S3.
C'est donc la vue d'ensemble de haut niveau.
Allons-y et essayons-le maintenant pour la démo d'aujourd'hui.
Encore une fois, j'ai déjà l'exemple de stratégie de compartiment S3 disponible et cette stratégie de compartiment, si vous la
voyez, a cette condition spécifique.
Et dans cette source ici, c'est la source ici qui se compose de la région, qui est une région
du sud-est, qui est Singapour, le compte ainsi que le nom du train.
D'accord.
Alors faisons une chose.
Allons-y et copions ceci.
Et dans votre compartiment S3, vous pouvez accéder aux autorisations.
Et ici, vous pouvez modifier la stratégie de compartiment.
Très bien, alors supprimons ceci.
J'aime la nouvelle politique ici et nous pouvons enregistrer le changement.
Maintenant, une chose importante que vous devez noter ici, en fait, laissez-moi vous montrer rapidement.
Passons aux objets ici.
Ouvrons nos journaux de commerce cloud.
Maintenant, si vous voyez dans une piste de nuage, vous avez plusieurs régions disponibles ici.
Donc, généralement, chaque fois que vous créez un parcours, vous devez vous assurer qu'il s'agit d'un parcours multi-régions ou non.
Donc, dans ce cas, le suivi que nous avions créé est un suivi multi-régions et c'est l'une des raisons
pour lesquelles tous les journaux de commerce cloud des autres régions sont également ajoutés ici.
Maintenant, généralement, chaque fois que vous allez de l'avant et créez une politique basée sur la source ici au lieu de spécifier la région,
vous pouvez également ajouter une étoile ici afin que toutes les régions soient autorisées.
Maintenant, avant de conclure, afin de tester si notre politique est vraiment efficace ou non, ce que nous pouvons faire
est à partir d'un compte tiers, nous pouvons aller de l'avant et essayer d'ajouter ce compartiment S3 spécifique et voir si les journaux
sont livrés ou ne pas.
Donc, pour la démo d'aujourd'hui, j'ai également un compte tiers.
Donc, depuis le navigateur, j'ai un compte de troisième place dans un troisième onglet à l'intérieur.
Ouvrons rapidement notre service de piste cloud et essayons de créer une nouvelle piste.
Je l'appelle juste comme piste d'essai.
Dans l'emplacement de stockage, je sélectionnerai Utiliser le compartiment S3 existant et dans le nom du compartiment, nous ajouterons
le nom du compartiment.
Nous allons désactiver le CMS.
Descendons un peu.
Nous ferons une prochaine.
Nous ferons une prochaine et nous cliquerons sur Créer un parcours.
Maintenant, immédiatement, vous voyez que le sentier n'est plus créé.
Nous obtenons le bouton de création de piste ici.
D'accord.
Maintenant, si vous montez un peu immédiatement, vous voyez, nous avons une erreur indiquant que la stratégie de compartiment S3 pourrait
ne pas avoir l'autorisation adéquate pour que la piste cloud y accède.
Super.
J'espère donc qu'avec cela, vous avez compris les avantages de l'ajout d'une instruction conditionnelle dans le cadre de
la politique de compartiment S3, spécifiquement liée au service cloud.
Voilà donc l'aperçu de haut niveau.
Et ceci conclura la vidéo d'aujourd'hui.