Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.
Chiavi condizionali per l'accesso ai gruppi di log di Contributor Insights
Per creare una regola in Contributor Insights e visualizzarne i risultati, un utente deve disporre dell'autorizzazione cloudwatch:PutInsightRule. Per impostazione predefinita, un utente con questa autorizzazione può creare una regola che valuta qualsiasi gruppo di log in CloudWatch Logs e quindi visualizzare i risultati. I risultati possono includere dati dei collaboratori provenienti da quei gruppi di log, che potrebbero contenere informazioni riservate.
Puoi creare policy IAM con chiavi di condizione per concedere agli utenti l'autorizzazione a scrivere regole di Contributor Insights per gruppi di log specifici, impedendo al contempo l'accesso ai dati di altri gruppi di log.
Per ulteriori informazioni sull'elemento Condition nelle policy IAM, consulta Elementi JSON della policy IAM: Condizione.
Comprensione del modello di autorizzazioni di Contributor Insights
Le operazioni di Contributor Insights utilizzano lo spazio dei cloudwatch: nomi IAM. Le operazioni dei gruppi di log utilizzano lo spazio dei nomi. logs: Contributor Insights non richiede né valuta le logs: autorizzazioni quando elabora i dati dei gruppi di log.
Un responsabile con cloudwatch:PutInsightRule e cloudwatch:GetInsightRuleReport autorizzazioni può creare regole che valutano qualsiasi gruppo di log e recuperano i risultati, anche senza alcuna logs: autorizzazione per tali gruppi di log.
Importante
I risultati aggregati possono contenere informazioni riservate, come i campi di registro utilizzati come chiavi di collaborazione. Concedi cloudwatch:PutInsightRule e cloudwatch:GetInsightRuleReport autorizzazioni solo ai responsabili che devono accedere ai dati in tutti i gruppi di log a cui si fa riferimento.
Per l'accesso tra account diversi, se un account di origine ha configurato un AWS Organizationslink che condivide l'accesso ai gruppi di log, un responsabile dell'account di monitoraggio deve solo creare regole destinate cloudwatch:PutInsightRule ai gruppi di log degli account di origine.
Limitazione dell'accesso di Contributor Insights a gruppi di log specifici
Utilizzate le seguenti chiavi di condizione per limitare i gruppi di log che un responsabile può specificare durante la creazione delle regole di Contributor Insights:
-
cloudwatch:requestInsightRuleLogGroups— Corrisponde ai nomi dei gruppi di log specificati in una regola -
cloudwatch:requestInsightRuleLogGroupARNs— Corrisponde agli ARN dei gruppi di log specificati in una regola
Importante
Dopo la creazione di una regola, qualsiasi principale con cloudwatch:GetInsightRuleReport autorizzazione può recuperarne i risultati, indipendentemente dalle restrizioni dei gruppi di log.
La seguente politica concede l'autorizzazione a creare regole di Contributor Insights per il gruppo di log denominato AllowedLogGroup e per i gruppi di log con nomi che iniziano con. AllowedWildCard Non concede l'autorizzazione a creare regole per altri gruppi di log.
La seguente politica consente di creare regole per qualsiasi gruppo di log per impostazione predefinita, ma nega esplicitamente la creazione di regole per il gruppo di log denominato. ExplicitlyDeniedLogGroup
La seguente politica nega la creazione di regole destinate ai gruppi di log /production/ presenti nel percorso ARN.
{ "Version": "", "Statement": [ { "Sid": "DenyProductionLogGroupsByARN", "Effect": "Deny", "Action": "cloudwatch:PutInsightRule", "Resource": "*", "Condition": { "ForAnyValue:StringLike": { "cloudwatch:requestInsightRuleLogGroupARNs": [ "arn:aws:logs:*:*:log-group:*/production/*" ] } } } ] }
Nota
-
Le chiavi delle condizioni corrispondono alle stringhe del pattern scritte nella definizione della regola, non ai gruppi di log risolti.
-
Se le regole specificano i gruppi di log come ARN completi, un valore di condizione come
/production/*non corrisponde perché la stringa ARN completa non inizia con quel prefisso. Utilizza*/production/*come prefisso wildcard per abbinare i riferimenti ai gruppi di log. ARN-based
Le migliori pratiche di sicurezza per Contributor Insights
Segui queste best practice per proteggere la tua configurazione di Contributor Insights.
-
Applica il privilegio minimo: concedi
cloudwatch:PutInsightRuleecloudwatch:GetInsightRuleReportsolo ai responsabili che devono analizzare i dati dei gruppi di log -
Usa le chiavi condizionali per limitare i gruppi di log: limita i gruppi di log a cui un principale può fare riferimento nelle regole di Contributor Insights
-
Proteggi i campi sensibili: utilizza la protezione dei dati di CloudWatch Logs per mascherare i dati di registro sensibili prima che Contributor Insights li elabori. Per ulteriori informazioni, consulta Proteggere dati sensibili del log con la mascheratura.
-
Considerate la sensibilità alle chiavi dei contributori: le chiavi dei contributori potrebbero esporre valori come indirizzi IP o identificatori utente nei risultati delle regole
-
Esamina l'accesso tra account diversi: verifica le configurazioni dei AWS Organizations link per confermare che solo gli account di monitoraggio previsti possano creare regole relative ai gruppi di log degli account di origine
