启用日志转发 - Amazon Directory Service
启用 CLI 启用日志转发
Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异，请参阅中国的 Amazon Web Services 服务入门。

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

启用日志转发

您可以使用Amazon Directory Service将域控制器安全事件日志转发到 Amazon CloudWatch Logs。这为目录中的安全事件提供了透明度，从而帮助您满足安全监控、审计和日志保留策略要求。

CloudWatch Logs 还可将这些事件转发到其他事件Amazon账户，Amazon服务或第三方应用程序。这样一来，您可以更加轻松地集中监控和配置提醒，从而能近乎实时地检测并主动响应异常活动。

启用后，您可以使用 CloudWatch Logs 控制台从启用此服务时指定的日志组中检索数据。此日志组将包含您的域控制器中的安全日志。

有关日志组以及如何读取日志组数据的更多信息，请参阅使用日志组和日志流中的Amazon CloudWatch Logs 用户指南.

注意

日志转发是一项区域性功能Amazon托管的 Microsoft AD。如果您将多区域复制，必须在每个地区单独应用以下程序。有关更多信息，请参阅 全球与区域功能。

启用日志转发

  1. 在 Amazon Directory Service 控制台导航窗格中，选择 Directories (目录)。

  2. 选择的目录 ID。Amazon要共享的托管微软 AD 目录。

  3. 在存储库的目录详细信息页面上，执行以下操作之一：

    • 如果你在下面显示了多个地区多区域复制选择要在其中启用日志转发的区域，然后选择联网和安全选项卡。有关更多信息，请参阅 主要与其他地区。

    • 如果您在下没有显示任何区域多区域复制，选择联网和安全选项卡。

  4. 在 Log forwarding (日志转发) 部分中，选择 Enable (启用)。

  5. 在 Enable log forwarding to CloudWatch (启用到 CloudWatch 的日志转发) 对话框中，选择以下任一选项：

    1. Select创建新的 CloudWatch 日志组，在CloudWatch 日志组名中，指定您可在 CloudWatch Logs 中引用的名称。

    2. 选择 Choose an existing CloudWatch log group (选择现有 CloudWatch 日志组)，然后在 Existing CloudWatch log groups (现有 CloudWatch 日志组) 下，从菜单中选择日志组。

  6. 查看定价信息和链接，然后选择 Enable (启用)。

禁用日志转发

  1. 在 Amazon Directory Service 控制台导航窗格中，选择 Directories (目录)。

  2. 选择的目录 ID。Amazon要共享的托管微软 AD 目录。

  3. 在存储库的目录详细信息页面上，执行以下操作之一：

    • 如果你在下面显示了多个地区多区域复制选择要在其中禁用日志转发的区域，然后选择联网和安全选项卡。有关更多信息，请参阅 主要与其他地区。

    • 如果您在下没有显示任何区域多区域复制，选择联网和安全选项卡。

  4. 在 Log forwarding (日志转发) 部分中，选择 Disable (禁用)。

  5. 阅读 Disable log forwarding (禁用日志转发) 对话框中的信息之后，选择 Disable (禁用)。

启用 CLI 启用日志转发

在您可以使用之前ds create-log-subscription命令中，您必须先创建 Amazon CloudWatch 日志组，然后创建 IAM 资源策略来向此组授予必需权限。要使用 CLI 启用日志转发，请完成以下所有步骤。

第 1 步：在 CloudWatch Logs 中创建日志组

创建一个将用于接收来自域控制器的安全日志的日志组。我们建议在名称前添加 /aws/directoryservice/，但这不是必需的。例如：

示例 CLI 命令

aws logs create-log-group --log-group-name '/aws/directoryservice/d-9876543210'

示例 POWERSHELL 命令

New-CWLLogGroup -LogGroupName '/aws/directoryservice/d-9876543210'

有关如何创建 CloudWatch Logs 组的说明，请参阅在 CloudWatch Logs 中创建日志组中的Amazon CloudWatch Logs 用户指南.

第 2 步：在 IAM 中创建 CloudWatch Logs 资源策略

授予 CloudWatch Logs 资源策略Amazon Directory Service在步骤 1 中创建的新日志组添加日志。您可以指定要限制的日志组的确切 ARNAmazon Directory Service对其他日志组的访问权限或使用通配符以包含所有日志组。以下示例策略使用通配符方法来标识以开头的所有日志组。/aws/directoryservice/(对于 )Amazon您的目录所在的帐户将包括在内。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "ds.amazonaws.com"
            },
            "Action": [
                "logs:CreateLogStream",
                "logs:PutLogEvents"
            ],
            "Resource": "arn:aws:logs:YOUR_REGION:YOUR_ACCOUNT_NUMBER:log-group:/aws/directoryservice/*"
        }
    ]
}

您需要将此策略保存到您的本地工作站上的文本文件（例如，DSPolicy.json）中，因为您将需要通过 CLI 运行它。例如：

示例 CLI 命令

aws logs put-resource-policy --policy-name DSLogSubscription --policy-document file://DSPolicy.json

示例 POWERSHELL 命令

$PolicyDocument = Get-Content .\DSPolicy.json –Raw

Write-CWLResourcePolicy -PolicyName DSLogSubscription -PolicyDocument $PolicyDocument

第 3 步：创建Amazon Directory Service日志订阅

在此最终步骤中，您现在可以通过创建日志订阅来继续启用日志转发。例如：

示例 CLI 命令

aws ds create-log-subscription --directory-id 'd-9876543210' --log-group-name '/aws/directoryservice/d-9876543210'

示例 POWERSHELL 命令

New-DSLogSubscription -DirectoryId 'd-9876543210' -LogGroupName '/aws/directoryservice/d-9876543210'