Creación de un registro de seguimiento para una organización con la AWS CLI

Puede crear un registro de seguimiento de organización mediante la AWS CLI. La AWS CLI se actualiza periódicamente con funcionalidad y comandos adicionales. Para ayudar a garantizar el éxito, asegúrese de que ha instalado o actualizado una versión reciente de la AWS CLI antes de comenzar.

Creación o actualización de un bucket de Amazon S3 para utilizarlo a fin de almacenar los archivos de registros de un registro de seguimiento de organización

Debe especificar un bucket de Amazon S3 para recibir los archivos de registros de un registro de seguimiento de organización. Este bucket debe tener una política que permita a CloudTrail guardar los archivos de registros de la organización en el bucket.

A continuación, se muestra un ejemplo de política para un bucket de Amazon S3 denominado amzn-s3-demo-bucket, que es propiedad de la cuenta de administración de la organización. Reemplace amzn-s3-demo-bucket, region, managementAccountID, trailName y o-organizationID por los valores de su organización.

Esta política de bucket contiene tres instrucciones.

La política de ejemplo incluye una clave de condición aws:SourceArn para la política de bucket de Amazon S3. La clave de condición global de IAM aws:SourceArn ayuda a garantizar que CloudTrail escribe en el bucket de S3 solo para una traza o trazas específicas. En una traza de organización, el valor de aws:SourceArn debe ser un ARN de seguimiento que pertenece a la cuenta de administración y utilice el ID de cuenta de administración.

JSON

{
    "Version":"2012-10-17",		 	 	 
    "Statement": [
        {
            "Sid": "AWSCloudTrailAclCheck20150319",
            "Effect": "Allow",
            "Principal": {
                "Service": [
                    "cloudtrail.amazonaws.com"
                ]
            },
            "Action": "s3:GetBucketAcl",
            "Resource": "arn:aws:s3:::amzn-s3-demo-bucket",
            "Condition": {
                "StringEquals": {
                    "aws:SourceArn": "arn:aws:cloudtrail:region:managementAccountID:trail/trailName"
                }
            }
        },
        {
            "Sid": "AWSCloudTrailWrite20150319",
            "Effect": "Allow",
            "Principal": {
                "Service": [
                    "cloudtrail.amazonaws.com"
                ]
            },
            "Action": "s3:PutObject",
            "Resource": "arn:aws:s3:::amzn-s3-demo-bucket/AWSLogs/managementAccountID/*",
            "Condition": {
                "StringEquals": {
                    "s3:x-amz-acl": "bucket-owner-full-control",
                    "aws:SourceArn": "arn:aws:cloudtrail:region:managementAccountID:trail/trailName"
                }
            }
        },
        {
            "Sid": "AWSCloudTrailOrganizationWrite20150319",
            "Effect": "Allow",
            "Principal": {
                "Service": [
                    "cloudtrail.amazonaws.com"
                ]
            },
            "Action": "s3:PutObject",
            "Resource": "arn:aws:s3:::amzn-s3-demo-bucket/AWSLogs/o-organizationID/*",
            "Condition": {
                "StringEquals": {
                    "s3:x-amz-acl": "bucket-owner-full-control",
                    "aws:SourceArn": "arn:aws:cloudtrail:region:managementAccountID:trail/trailName"
                }
            }
        }
    ]
}

Esta política de ejemplo no permite que ningún usuario de las cuentas miembro obtenga acceso a los archivos de registro creados para la organización. De forma predeterminada, solo la cuenta de administración tendrá acceso a los archivos de registros de organización. Para obtener información sobre cómo permitir a los usuarios de IAM de las cuentas miembro el acceso de lectura al bucket de Amazon S3, consulte Compartir archivos de registro de CloudTrail entre cuentas de AWS.

Habilitación de CloudTrail como servicio de confianza en AWS Organizations

Para poder crear un registro de seguimiento de organización, primero debe habilitar todas las características en Organizations. Para obtener más información, consulte Habilitar todas las características en la organización o ejecute el siguiente comando mediante un perfil con permisos suficientes en la cuenta de administración:

aws organizations enable-all-features

Después de habilitar todas las características, debe configurar Organizations para que confíe en CloudTrail como un servicio de confianza.

Para crear la relación de servicio de confianza entre AWS Organizations y CloudTrail, abra un terminal o una línea de comandos y utilice un perfil en la cuenta de administración. Ejecute el comando aws organizations enable-aws-service-access, como se muestra en el ejemplo siguiente.

aws organizations enable-aws-service-access --service-principal cloudtrail.amazonaws.com

Uso de create-trail

Creación de un registro de seguimiento de organización que se aplique a todas las regiones

Para crear un registro de seguimiento de organización que se aplique a todas las regiones, agregue las opciones --is-organization-trail y --is-multi-region-trail.

En el ejemplo siguiente, se crea un registro de seguimiento de organización que envía registros de todas las regiones a un bucket existente denominado amzn-s3-demo-bucket:

aws cloudtrail create-trail --name my-trail --s3-bucket-name amzn-s3-demo-bucket --is-organization-trail --is-multi-region-trail

Para confirmar que el registro de seguimiento exista en todas las regiones, los parámetros IsOrganizationTrail e IsMultiRegionTrail en la salida se establecen en true:

{
    "IncludeGlobalServiceEvents": true, 
    "Name": "my-trail", 
    "TrailARN": "arn:aws:cloudtrail:us-east-2:123456789012:trail/my-trail", 
    "LogFileValidationEnabled": false, 
    "IsMultiRegionTrail": true, 
    "IsOrganizationTrail": true,
    "S3BucketName": "amzn-s3-demo-bucket"
}

Creación de un registro de seguimiento de organización como registro de seguimiento de una sola región

El siguiente comando crea un registro de seguimiento de organización que solo registra eventos en una sola Región de AWS, también conocido como registro de seguimiento de una sola región. La región de AWS en la que se registrarán los eventos es la región especificada en el perfil de configuración para la AWS CLI.

aws cloudtrail create-trail --name my-trail --s3-bucket-name amzn-s3-demo-bucket --is-organization-trail

Para obtener más información, consulte Requisitos de nomenclatura de los recursos de CloudTrail, los buckets de S3 y las claves de KMS.

Salida de ejemplo:

{
    "IncludeGlobalServiceEvents": true, 
    "Name": "my-trail", 
    "TrailARN": "arn:aws:cloudtrail:us-east-2:123456789012:trail/my-trail", 
    "LogFileValidationEnabled": false,
    "IsMultiRegionTrail": false,
    "IsOrganizationTrail": true,
    "S3BucketName": "amzn-s3-demo-bucket"
}

De forma predeterminada, el comando create-trail crea un registro de seguimiento para una sola región que no permite la validación de archivos de registros.

Ejecución de update-trail para actualizar un registro de seguimiento de organización

Puede ejecutar el comando update-trail para cambiar las opciones de configuración de un registro de seguimiento de organización o para aplicar un registro de seguimiento existente para una sola cuenta de AWS a toda una organización. Recuerde que puede ejecutar el comando update-trail únicamente desde la región en la que se creó el registro de seguimiento.

Aplicación de un registro de seguimiento existente a una organización

Para cambiar un registro de seguimiento existente de modo que también se aplique a una organización en lugar de a una sola cuenta de AWS, agregue la opción --is-organization-trail, como se muestra en el siguiente ejemplo.

aws cloudtrail update-trail --name my-trail --is-organization-trail

Para confirmar que el registro de seguimiento se aplica ahora a la organización, el parámetro IsOrganizationTrail del resultado tiene el valor true.

{
    "IncludeGlobalServiceEvents": true, 
    "Name": "my-trail", 
    "TrailARN": "arn:aws:cloudtrail:us-east-2:123456789012:trail/my-trail", 
    "LogFileValidationEnabled": false, 
    "IsMultiRegionTrail": true, 
    "IsOrganizationTrail": true, 
    "S3BucketName": "amzn-s3-demo-bucket"
}

En el ejemplo anterior, el registro de seguimiento se configuró como registro de seguimiento de varias regiones ("IsMultiRegionTrail": true). Un registro de seguimiento que solo se aplica a una sola región mostrará "IsMultiRegionTrail": false en el resultado.

Conversión de un registro de seguimiento de una sola región en un registro de seguimiento de varias regiones

Para convertir un registro de seguimiento de organización de una sola región existente en un registro de seguimiento de organización de varias regiones, agregue la opción --is-multi-region-trail tal como se muestra en el siguiente ejemplo.

aws cloudtrail update-trail --name my-trail --is-multi-region-trail

Para confirmar que el registro de seguimiento se aplica ahora a varias regiones, controle que el parámetro IsMultiRegionTrail del resultado tiene el valor true.

{
    "IncludeGlobalServiceEvents": true, 
    "Name": "my-trail", 
    "TrailARN": "arn:aws:cloudtrail:us-east-2:123456789012:trail/my-trail", 
    "LogFileValidationEnabled": false, 
    "IsMultiRegionTrail": true, 
    "IsOrganizationTrail": true,
    "S3BucketName": "amzn-s3-demo-bucket"
}