Hallo zusammen und willkommen zurück.
In diesem Video werden wir nun die Überlegungen besprechen, die Sie beim Schreiben der Drei-Bucket-Richtlinie
für die zentralisierte Protokollierung auf der Grundlage der kontoübergreifenden Architektur speziell berücksichtigen
müssen.
Nun, in dieser Phase, als wir den kontenübergreifenden Cloud-Trail konfigurierten, hatten wir eine einfache
S3-Bucket-Richtlinie geschrieben, und diese Bucket-Richtlinie ermöglichte es dem Cloud-Trail-Dienst, den Put-Objekt-Vorgang für
einen S3-Bucket auszuführen.
Das ist also in Ordnung.
Nun, eine der Herausforderungen, die Sie bei dieser Art von Konfiguration sehen werden, besteht darin, dass jedes Konto,
das Ihnen gehören kann, Ihnen kein Ortskonto gehören kann.
Wenn jemand einen neuen Cloud-Trail-basierten Trail erstellt und Ihren S3-Bucket angegeben hat, kann der
Cloud-Trail dieses Kontos ganz einfach einige Daten zu Ihrem S3-Bucket hinzufügen.
Dies ist also eine der größten Herausforderungen beim Hinzufügen einer solchen Richtlinie, und aus diesem
Grund habe ich mich auch auf eine Wildcard-basierte S3-Bucket-Richtlinie bezogen.
Um dies zu umgehen, können Sie Ihrer Bucket-Richtlinie eine bedingte Anweisung hinzufügen.
Als sicherheitsbasiertes Verfahren können Sie Ihrer S3-Bucket-Richtlinie einen mit W verknüpften Bedingungsschlüssel hinzufügen, wodurch
unbefugter Zugriff auf Ihren S3-Bucket verhindert wird.
Wenn Sie also in diesem Screenshot sehen, haben wir eine Bedingung hinzugefügt und in dieser Bedingung haben wir eine Quelle und
hier fügen wir den genauen Bereich Ihrer Wolkenspur hinzu.
Sie haben also die Region, Sie haben die Kontonummer und Sie haben sogar den Trailnamen.
Bei einem solchen Ansatz kann also kein anderer Trail den Inhalt zu Ihrem S3-Bucket hinzufügen.
Dies ist also die Übersicht auf hoher Ebene.
Machen wir weiter und probieren Sie es jetzt für die heutige Demo aus.
Auch hier habe ich bereits die Beispiel-S3-Bucket-Richtlinie zur Verfügung, und diese Bucket-Richtlinie, wenn Sie sie sehen,
hat diese spezifische Bedingung.
Und in dieser Quelle hierin ist dies die Quelle hierin, die aus der Region besteht, die eine
südöstliche ist, die Singapur ist, das Konto sowie der Zugname.
Gut.
Also lasst uns eine Sache tun.
Lass uns weitermachen und das kopieren.
Und in Ihrem S3-Bucket können Sie zu Berechtigungen gehen.
Und hier können Sie die Bucket-Richtlinie bearbeiten.
In Ordnung, also entfernen wir das.
Ich mag die neue Richtlinie hier drüben und wir können die Änderung speichern.
Nun, eine wichtige Sache, die Sie hier drüben beachten müssen, lassen Sie mich Ihnen schnell zeigen.
Gehen wir zu den Objekten hier drüben.
Lassen Sie uns unsere Cloud-Handelsprotokolle öffnen.
Wenn Sie jetzt in einer Wolkenspur sehen, dass hier mehrere Regionen verfügbar sind.
Wenn Sie also einen Trail erstellen, müssen Sie im Allgemeinen sicherstellen, ob es sich um einen Trail mit mehreren Regionen handelt oder nicht.
In diesem Fall handelt es sich bei dem von uns erstellten Pfad also um einen multiregionalen Pfad, und dies ist
einer der Gründe, warum alle Cloud-Handelsprotokolle der anderen Regionen ebenfalls hier hinzugefügt werden.
Im Allgemeinen können Sie jetzt, wenn Sie hier eine Richtlinie basierend auf der Quelle erstellen, anstatt die Region
anzugeben, hier auch einen Stern hinzufügen, damit alle Regionen zulässig sind.
Bevor wir jetzt abschließen, können wir, um zu testen, ob unsere Richtlinie wirklich effektiv ist oder nicht,
von einem Drittplatzkonto aus versuchen, diesen spezifischen S3-Bucket hinzuzufügen und zu sehen, ob die Protokolle geliefert
werden oder nicht.
Für die heutige Demo habe ich also auch ein Konto für den dritten Platz.
Vom Browser aus habe ich also ein drittes Platzkonto in einem dritten Tab darin.
Lassen Sie uns schnell unseren Cloud-Trail-Service öffnen und versuchen, einen neuen Trail zu erstellen.
Ich nenne es einfach Teststrecke.
Innerhalb des Speicherorts wähle ich Vorhandenen S3-Bucket verwenden aus und innerhalb des Bucket-Namens fügen wir
den Bucket-Namen hinzu.
Wir deaktivieren das CMS.
Gehen wir ein bisschen runter.
Wir machen einen nächsten.
Wir machen einen nächsten und wir klicken auf Create Trail.
Jetzt sehen Sie sofort, dass die Spur nicht erneut erstellt wird.
Wir bekommen die Schaltfläche zum Erstellen eines Trails hier drüben.
Gut.
Wenn Sie jetzt sofort etwas nach oben gehen, sehen Sie, dass wir eine Fehlermeldung erhalten haben, die besagt, dass die S3-Bucket-Richtlinie möglicherweise
keine ausreichende Berechtigung für den Cloud-Trail hat, darauf zuzugreifen.
Groß.
Ich hoffe, Sie haben damit die Vorteile des Hinzufügens einer bedingten Anweisung als Teil der S3-Bucket-Richtlinie
verstanden, die sich speziell auf den Cloud-Service bezieht.
Das ist also die grobe Übersicht.
Und damit endet das heutige Video.