的审核日志Amazon Elasticsearch Service

为 Amazon ES 域启用审核日志（控制台）

1. 选择域，然后选择 Logs （日志） 选项卡。

2. 在 Set up audit logs （设置审核日志） 下，选择 Setup （设置）。

3. 创建 CloudWatch 日志组，或选择现有日志组。

4. 选择一个包含适当权限的访问策略，或使用控制台提供的 JSON 创建策略：

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Principal": {
           "Service": "es.amazonaws.com"
         },
         "Action": [
           "logs:PutLogEvents",
           "logs:CreateLogStream"
         ],
         "Resource": "cw_log_group_arn"
       }
     ]
   }

5. 选择启用。

1. 打开 Kibana，然后选择 Security。

2. 选择 Audit logs （审核日志）。

3. 选择 Enable audit logging （启用审核日志记录）。

1. 在 General Settings （常规设置） 中，选择 Configure （配置） 并确保 REST layer （REST 层） 已启用。

2. 在 Compliance Settings （合规性设置） 中，选择 Configure （配置）。

3. 在 Write （写入） 下的 Watched Fields （监视字段） 中，为所有写入事件将 accounts 添加到此索引。

4. 在 Read （读取） 下的 Watched Fields （监控的字段） 中，添加 ssn 索引的 id- 和 accounts 字段：

   {
     "accounts-": [
       "ssn",
       "id-"
     ]
   }

1. 导航到 Kibana，选择 Dev Tools 并为示例文档编制索引：

   PUT accounts/_doc/0
   {
     "ssn": "123",
     "id-": "456"
   }

2. 要测试读取事件，请发送以下请求：

   GET accounts/_search
   {
     "query": {
       "match_all": {}
     }
   }

1. 打开 CloudWatch 控制台 (https://console.aws.amazon.com/cloudwatch/)。

2. 在导航窗格中，选择 Log groups (日志组)。

3. 选择在启用审核日志时指定的日志组。在日志组内，Amazon ES 为您的域中的每个节点创建一个日志流。

4. 在 Log streams （日志流） 中，选择 Search all （全部搜索）。

5. 有关读取和写入事件，请参阅相应的日志。日志显示之前，预计会有 5 秒的延迟。

   示例写入审核日志

   {
     "audit_compliance_operation": "CREATE",
     "audit_cluster_name": "824471164578:audit-test",
     "audit_node_name": "be217225a0b77c2bd76147d3ed3ff83c",
     "audit_category": "COMPLIANCE_DOC_WRITE",
     "audit_request_origin": "REST",
     "audit_compliance_doc_version": 1,
     "audit_node_id": "3xNJhm4XS_yTzEgDWcGRjA",
     "@timestamp": "2020-08-23T05:28:02.285+00:00",
     "audit_format_version": 4,
     "audit_request_remote_address": "3.236.145.227",
     "audit_trace_doc_id": "lxnJGXQBqZSlDB91r_uZ",
     "audit_request_effective_user": "admin",
     "audit_trace_shard_id": 8,
     "audit_trace_indices": [
       "accounts"
     ],
     "audit_trace_resolved_indices": [
       "accounts"
     ]
   }

   示例读取审核日志

   {
     "audit_cluster_name": "824471164578:audit-docs",
     "audit_node_name": "806f6050cb45437e2401b07534a1452f",
     "audit_category": "COMPLIANCE_DOC_READ",
     "audit_request_origin": "REST",
     "audit_node_id": "saSevm9ASte0-pjAtYi2UA",
     "@timestamp": "2020-08-31T17:57:05.015+00:00",
     "audit_format_version": 4,
     "audit_request_remote_address": "54.240.197.228",
     "audit_trace_doc_id": "config:7.7.0",
     "audit_request_effective_user": "admin",
     "audit_trace_shard_id": 0,
     "audit_trace_indices": [
       "accounts"
     ],
     "audit_trace_resolved_indices": [
       "accounts"
     ]
   }