View a markdown version of this page

AWSSupport-TroubleshootS3EventNotifications - AWS Systems Manager Referencia del manual de procedimientos de Automatización

Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

AWSSupport-TroubleshootS3EventNotifications

Descripción

El manual de AWSSupport-TroubleshootS3EventNotifications AWS Systems Manager automatización ayuda a solucionar problemas relacionados con las notificaciones de eventos de bucket de Amazon Simple Storage Service (Amazon S3) configuradas con AWS Lambda funciones, temas de Amazon Simple Notification Service (Amazon SNS) o colas de Amazon Simple Queue Service (Amazon SQS). Proporciona un informe de ajustes de configuración de los distintos recursos configurados con el depósito de Amazon S3 como notificación de eventos de destino.

¿Cómo funciona?

El manual lleva a cabo los siguientes pasos:

  • Comprueba si el cubo de Amazon S3 existe en la misma cuenta en la que AWSSupport-TroubleshootS3EventNotifications se ejecuta.

  • Obtiene los recursos de destino (AWS Lambda función, tema de Amazon SNS o cola de Amazon SQS) configurados como notificaciones de eventos para el bucket de Amazon S3 mediante la API. GetBucketNotificationConfiguration

  • Valida la existencia del recurso de destino y, a continuación, revisa la política basada en los recursos de los recursos de destino para determinar si Amazon S3 puede publicar en el destino.

  • Si cifró el destino con una clave AWS Key Management Service (AWS KMS), se comprueba la política de claves para determinar si se permite el acceso a Amazon S3.

  • Genera un informe de todas las comprobaciones de los recursos de destino.

importante

  • Este libro de ejecución solo puede evaluar las configuraciones de notificación de eventos si el propietario del bucket de Amazon S3 es el mismo propietario del lugar en el Cuenta de AWS que se está ejecutando el libro de ejecución de la automatización.

  • Además, este manual no puede evaluar las políticas sobre los recursos de destino que están alojados en otro. Cuenta de AWS

Ejecuta esta automatización (consola)

Tipo de documento

Automatización

Propietario

Amazon

Plataformas

Linux, macOS, Windows

Parámetros

  • AutomationAssumeRole

    Tipo: cadena

    Descripción: (opcional) el Nombre de recurso de Amazon (ARN) del rol de AWS Identity and Access Management (IAM) que permite a Systems Manager Automation realizar las acciones en su nombre. Si no se especifica ningún rol, Systems Manager Automation utiliza los permisos del usuario que comienza este manual de procedimientos.

  • S3BucketName

    Tipo: AWS::S3::Bucket::Name

    Descripción: (Obligatorio) El nombre del bucket de Amazon S3 configurado con las notificaciones de eventos.

Permisos de IAM necesarios

El parámetro AutomationAssumeRole requiere las siguientes acciones para utilizar el manual de procedimientos correctamente.

  • s3:GetBucketLocation

  • s3:ListAllMyBuckets

  • s3:GetBucketNotification

  • sqs:GetQueueAttributes

  • sqs:GetQueueUrl

  • sns:GetTopicAttributes

  • kms:GetKeyPolicy

  • kms:DescribeKey

  • kms:ListAliases

  • lambda:GetPolicy

  • lambda:GetFunction

  • iam:GetContextKeysForCustomPolicy

  • iam:SimulateCustomPolicy

  • iam:ListRoles

  • ssm:DescribeAutomationStepExecutions

Ejemplo de política de IAM para el rol Automation Assume

JSON

                    {
                        "Version":"2012-10-17",
                        "Statement": [
                            {   
                                "Sid": "S3Permission",
                                "Effect": "Allow",
                                "Action": [
                                    "s3:GetBucketLocation",
                                    "s3:ListAllMyBuckets"
                                ],
                                "Resource": "*"
                            },
                            {   
                                "Sid": "S3PermissionGetBucketNotification",
                                "Effect": "Allow",
                                "Action": [
                                    "s3:GetBucketNotification"
                                ],
                                "Resource": "arn:aws:s3:::amzn-s3-demo-bucket"
                            },
                            {
                                "Sid": "SQSPermission",
                                "Effect": "Allow",
                                "Action": [
                                    "sqs:GetQueueAttributes",
                                    "sqs:GetQueueUrl"
                                ],
                                "Resource": "arn:aws:sqs:us-east-1:111122223333:*"
                            },
                            {
                                "Sid": "SNSPermission",
                                "Effect": "Allow",
                                "Action": [
                                    "sns:GetTopicAttributes"
                                ],
                                "Resource": "arn:aws:sns:us-east-1:111122223333:*"
                            },
                            {   
                            "Sid": "KMSPermission",
                                "Effect": "Allow",
                                "Action": [
                                    "kms:GetKeyPolicy",
                                    "kms:DescribeKey",
                                    "kms:ListAliases"
                                ],
                                "Resource": "arn:aws:kms:us-east-1:111122223333:key/key-id"
                            },
                            {
                                "Sid": "LambdaPermission",
                                "Effect": "Allow",
                                "Action": [
                                    "lambda:GetPolicy",
                                    "lambda:GetFunction"
                                ],
                                "Resource": "arn:aws:lambda:us-east-1:111122223333:function:*"
                            },
                            {
                                "Sid": "IAMPermission",
                                "Effect": "Allow",
                                "Action": [
                                    "iam:GetContextKeysForCustomPolicy",
                                    "iam:SimulateCustomPolicy",
                                    "iam:ListRoles"
                                ],
                                "Resource": "*"
                            },
                            {
                                "Sid": "SSMPermission",
                                "Effect": "Allow",
                                "Action": [
                                    "ssm:DescribeAutomationStepExecutions"
                                ],
                                "Resource": "*"
                            }
                        ]
                    }

Instrucciones

Siga estos pasos para configurar la automatización:

  1. Diríjase AWSSupport-TroubleshootS3EventNotifications a la sección Documentos del administrador de sistemas.

  2. Elija Execute automation (Ejecutar automatización).

  3. Para los parámetros de entrada, introduzca lo siguiente:

    • AutomationAssumeRole (Opcional):

      El nombre de recurso de Amazon (ARN) del rol AWS AWS Identity and Access Management (IAM) que permite a Systems Manager Automation realizar las acciones en su nombre. Si no se especifica ningún rol, Systems Manager Automation utiliza los permisos del usuario que inicia este libro de ejecución.

    • S3BucketName (Obligatorio):

      El nombre del bucket de Amazon S3 configurado con las notificaciones de eventos.

    AWSSupport-TroubleshootS3EventNotification parámetros de entrada de ejecución del libro de ejecución.

  4. Seleccione Ejecutar.

  5. Se inicia la automatización.

  6. Este documento realiza los siguientes pasos:

    • ValidateInputs

      Valida que el bucket de Amazon S3 proporcionado pertenezca a la misma cuenta en la que se ejecuta la automatización y busca la región en la que está alojado el bucket.

    • GetBucketNotificationConfiguration

      Llama a la GetBucketNotificationConfiguration API para revisar las notificaciones de eventos configuradas con el bucket de Amazon S3 y formatea la salida.

    • BranchOnSQSResourcePolicy

      Depende de si hay recursos de Amazon SQS en las notificaciones de eventos.

    • ValidateSQSResourcePolicy

      Valida la política de recursos sobre los atributos de Amazon SQS Queue y tiene sqs:SendMessage permiso para Amazon S3. Si el recurso Amazon SQS está cifrado, comprueba que el cifrado no utilice la AWS KMS clave predeterminada, es deciraws/sqs, comprueba que la política de AWS KMS claves tenga permisos para Amazon S3.

    • BranchOnSNSResourcePolicy

      Depende de si hay recursos de Amazon SNS en las notificaciones de eventos.

    • ValidateSNSResourcePolicy

      Valida la política de recursos sobre Amazon SNS. Los atributos del tema tienen sns:Publish permiso para Amazon S3. Si el recurso de Amazon SNS está cifrado, comprueba que el cifrado no utilice la AWS KMS clave predeterminada, es decir, aws/sns comprueba que la política de AWS KMS claves tenga permisos para Amazon S3.

    • BranchOnLambdaFunctionResourcePolicy

      Depende de si hay AWS Lambda funciones en las notificaciones de eventos.

    • ValidateLambdaFunctionResourcePolicy

      Valida la política de recursos si AWS Lambda la función tiene lambda:InvokeFunction permiso para Amazon S3.

    • GenerateReport

      Muestra los detalles del libro de ejecución, los pasos, los resultados y las recomendaciones para resolver cualquier problema relacionado con las notificaciones de eventos configuradas con el bucket de Amazon S3.

  7. Una vez finalizada, consulte la sección Resultados para ver los resultados detallados de la ejecución:

    • Notificaciones de eventos de Amazon SQS

      Si hay notificaciones de destino de Amazon SQS configuradas con el bucket de Amazon S3, se muestra una lista de las colas de Amazon SQS junto con los resultados de las comprobaciones. El informe incluye la comprobación de los recursos de Amazon SQS, la comprobación de la política de acceso a Amazon SQS, la comprobación de las AWS KMS claves, la comprobación del estado de las AWS KMS claves y la comprobación de la política de claves. AWS KMS

    • Notificaciones de eventos de Amazon SNS

      Si hay notificaciones de destino de Amazon SNS configuradas con el bucket de Amazon S3, se muestra una lista de los temas de Amazon SNS junto con los resultados de las comprobaciones. El informe incluye la comprobación de los recursos de Amazon SNS, la comprobación de la política de acceso a Amazon SNS, la comprobación de las AWS KMS claves, la comprobación del estado de las AWS KMS claves y AWS KMS la comprobación de la política de claves.

    • AWS Lambda Notificaciones de eventos

      Si hay notificaciones de AWS Lambda destino configuradas con el bucket de Amazon S3, se muestra una lista de las funciones de Lambda junto con los resultados de las comprobaciones. El informe incluye la verificación de los recursos de Lambda y la verificación de la política de acceso de Lambda.

    AWSSupport-TroubleshootS3EventNotification Ejemplo de salida de ejecución de Runbook.

Referencias

Automatización de Systems Manager