Ciao a tutti e bentornati.
Ora in questo video discuteremo delle considerazioni di cui dovrai occuparti in modo specifico
mentre scrivi la politica dei tre bucket per la registrazione centralizzata basata sull'architettura
di più account.
Ora, in questa fase, durante la configurazione del cloud trail su più account, avevamo scritto una semplice
policy del bucket S3 e questa policy del bucket ha consentito al servizio di cloud trail di eseguire l'operazione di inserimento dell'oggetto
su un bucket S3.
Quindi questo va bene.
Ora, una delle sfide che vedrai in questo tipo di configurazione è che qualsiasi account può appartenere
a te, non può appartenere a te qualsiasi account di luogo.
Se qualcuno ha creato un nuovo trail basato su cloud trail e ha specificato il tuo bucket S3, il cloud trail
di tale account sarà in grado di aggiungere facilmente alcuni dati al tuo bucket S3.
Quindi questa è una delle sfide principali durante l'aggiunta di questo tipo di politica, e questo è il
motivo per cui ho anche definito una politica del bucket S3 basata su caratteri jolly.
Quindi, per ovviare a questo problema, puoi aggiungere un'istruzione condizionale all'interno della tua politica del bucket.
Pertanto, come pratica basata sulla sicurezza, puoi aggiungere una chiave di condizione associata a W alla policy del bucket S3 e questo
impedirà l'accesso non autorizzato al tuo bucket S3.
Quindi, se vedrai in questo screenshot, abbiamo aggiunto una condizione e in questa condizione abbiamo una fonte e qui
stiamo aggiungendo l'area esatta del tuo percorso cloud.
Quindi hai la regione, hai il numero di conto e hai persino il nome del sentiero.
Quindi, in questo tipo di approccio, nessun altro percorso sarà in grado di aggiungere il contenuto al tuo bucket S3.
Quindi questa è la panoramica di alto livello.
Andiamo avanti e proviamolo ora per la demo di oggi.
Ancora una volta, ho già la policy del bucket S3 di esempio disponibile e questa policy del bucket, se la vedrai,
ha questa condizione specifica.
E in questa fonte qui, questa è la fonte qui che consiste nella regione, che è a sud-est,
che è Singapore, il conto così come il nome del treno.
Tutto bene.
Quindi facciamo una cosa.
Andiamo avanti e copiamo questo.
E all'interno del tuo bucket S3, puoi accedere alle autorizzazioni.
E da qui puoi modificare la politica del bucket.
Va bene, quindi rimuoviamo questo.
Mi piace la nuova politica qui e possiamo salvare la modifica.
Ora, una cosa importante che devi notare qui, infatti, lascia che te la mostri rapidamente.
Passiamo agli oggetti qui.
Apriamo i nostri registri commerciali cloud.
Ora, se vedrai in un percorso cloud, hai più regioni disponibili qui.
Quindi generalmente, ogni volta che crei un sentiero, devi assicurarti se si tratta di un sentiero multiregione o meno.
Quindi, in questo caso, il percorso che abbiamo creato è un percorso multiregione e questo è uno
dei motivi per cui tutti i registri commerciali cloud delle altre regioni vengono aggiunti qui.
Ora, in genere, ogni volta che crei un criterio basato sulla fonte qui invece di specificare la regione, puoi
anche aggiungere una stella qui in modo che tutte le regioni siano consentite.
Ora, prima di concludere, per verificare se la nostra politica è davvero efficace o meno, ciò che possiamo fare
è da un account di terzo posto, possiamo andare avanti e provare ad aggiungere questo specifico bucket S3 e vedere se i log
vengono consegnati o non.
Quindi, per la demo di oggi, ho anche un account per il terzo posto.
Quindi dal browser ho un account terzo posto in una terza scheda all'interno.
Apriamo rapidamente il nostro servizio cloud trail e proviamo a creare un nuovo trail.
Lo chiamo solo come percorso di prova.
All'interno del percorso di archiviazione, selezionerò usa il bucket S3 esistente e all'interno del nome del bucket, aggiungeremo
il nome del bucket.
Disattiveremo il CMS.
Scendiamo un po'.
Faremo un prossimo.
Faremo un prossimo e faremo clic su Crea traccia.
Ora, immediatamente, vedi che il sentiero non viene creato di nuovo.
Stiamo ottenendo il pulsante di creazione del percorso qui.
Tutto bene.
Ora, se sali un po' immediatamente, vedi, abbiamo ricevuto un errore che indica che la policy del bucket S3 potrebbe non avere un'autorizzazione
adeguata per consentire al trail del cloud di accedervi.
Grande.
Quindi spero che con questo tu abbia compreso i vantaggi dell'aggiunta di un'istruzione condizionale come parte della
policy del bucket S3, specificamente correlata al servizio cloud.
Quindi questa è la panoramica di alto livello.
E questo concluderà il video di oggi.