Hola a todos, y bienvenidos de nuevo.
Ahora, en este video, analizaremos las consideraciones que deberá tener en cuenta específicamente
mientras escribe la política de tres cubos para el registro centralizado basado en la arquitectura de
cuentas cruzadas.
Ahora, en esta etapa, cuando estábamos configurando el seguimiento en la nube de cuentas cruzadas, habíamos escrito
una política de depósito S3 simple, y esta política de depósito permitía que el servicio de seguimiento en la nube realizara la operación de colocación
de objetos en un depósito S3.
Así que esto está bien.
Ahora bien, uno de los retos que verás en este tipo de configuración es que cualquier cuenta te puede pertenecer,
no te puede pertenecer ninguna cuenta de lugar.
Si alguien ha creado un nuevo seguimiento basado en el seguimiento en la nube y ha especificado su depósito S3, entonces
el seguimiento en la nube de esa cuenta podrá agregar fácilmente algunos datos a su depósito S3.
Entonces, este es uno de los principales desafíos al agregar este tipo de política, y esta es la razón
por la que también me he referido como una política de depósito S3 basada en comodines.
Entonces, para superar esto, puede agregar una declaración condicional dentro de su política de depósito.
Entonces, como práctica basada en la seguridad, puede agregar una clave de condición asociada W a su política de depósito S3,
y esto evitará el acceso no autorizado a su depósito S3.
Entonces, si verá en esta captura de pantalla, agregamos una condición y en esta condición tenemos una fuente y aquí
estamos agregando el área exacta de su rastro de nube.
Entonces tiene la región, tiene el número de cuenta e incluso tiene el nombre de la ruta.
Entonces, en este tipo de enfoque, ningún otro rastro podrá agregar los contenidos a su depósito S3.
Así que esta es la descripción general de alto nivel.
Sigamos adelante y pruébelo ahora para la demostración de hoy.
Nuevamente, ya tengo disponible la política de depósito de S3 de muestra y esta política de depósito, si la ve,
tiene esta condición específica.
Y en esta fuente aquí, esta es la fuente aquí que consiste en la región, que es del
sureste, que es Singapur, la cuenta y el nombre del tren.
Está bien.
Así que hagamos una cosa.
Sigamos adelante y copiemos esto.
Y dentro de su depósito S3, puede ir a permisos.
Y dentro de aquí puede editar la política del depósito.
Muy bien, vamos a eliminar esto.
Me gusta la nueva política aquí y podemos guardar el cambio.
Ahora, una cosa importante que debes tener en cuenta aquí, de hecho, déjame mostrarte rápidamente.
Vayamos a los objetos de aquí.
Abramos nuestros registros comerciales en la nube.
Ahora, si ve un rastro en la nube, tiene varias regiones disponibles aquí.
Por lo general, cada vez que crea una ruta, debe asegurarse de que sea una ruta de múltiples regiones o no.
Entonces, en este caso, el rastro que habíamos creado es un rastro de múltiples regiones y esta es una de
las razones por las que todos los registros de comercio en la nube de otras regiones también se agregan aquí.
Ahora, en general, siempre que siga adelante y cree una política basada en la fuente aquí en lugar de especificar la región,
también puede agregar una estrella aquí para que se permitan todas las regiones.
Ahora, antes de concluir, para probar si nuestra política es realmente efectiva o no, lo que podemos hacer es desde
una cuenta de un tercer lugar, podemos continuar e intentar agregar este depósito S3 específico y ver si los registros se
están entregando o no.
Entonces, para la demostración de hoy, también tengo una cuenta de tercer lugar.
Entonces, desde el navegador, tengo una cuenta de tercer lugar en una tercera pestaña dentro.
Abramos rápidamente nuestro servicio de seguimiento en la nube e intentemos crear un nuevo seguimiento.
Simplemente lo llamo como pista de prueba.
Dentro de la ubicación de almacenamiento, seleccionaré usar el depósito S3 existente y dentro del nombre del depósito, agregaré
el nombre del depósito.
Deshabilitaremos el CMS.
Bajemos un poco.
Haremos un siguiente.
Haremos un next y le daremos click en Create Trail.
Ahora, inmediatamente, verá que el rastro no se vuelve a crear.
Estamos obteniendo el botón de crear rastro aquí.
Está bien.
Ahora, si sube un poco de inmediato, verá que recibimos un error que indica que la política del depósito S3 podría no tener
el permiso adecuado para que Cloud Trail acceda a ella.
Excelente.
Así que espero que con esto hayas entendido las ventajas de agregar una declaración condicional como parte de la política de
depósito de S3, específicamente relacionada con el servicio en la nube.
Esa es la descripción general de alto nivel.
Y esto concluirá el video de hoy.