管理文件访问审计 - Amazon FSx for Windows File Server
Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异，请参阅 中国的 Amazon Web Services 服务入门 (PDF)。

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

管理文件访问审计

您可以在创建新的 Amazon FSx for Windows File Server 文件系统时启用文件访问审计。当通过 Amazon FSx 控制台创建文件系统时，文件访问审计默认处于关闭状态。

在启用了文件访问审计的现有文件系统上，您可以更改文件访问审计设置，包括更改文件和文件共享访问的访问尝试类型以及审计事件日志目标。您可以使用 Amazon FSx 控制台或 API 执行这些任务。 Amazon CLI

注意

只有吞吐能力为 32 Mb/s 或以上的 Amazon FSx for Windows File Server 文件系统支持文件访问审计。如果启用了文件访问审计，则无法创建或更新吞吐能力低于 32 MB/s 的文件系统。创建文件系统后，您可以随时修改吞吐能力。有关更多信息，请参阅 管理吞吐能力。

  1. 通过以下网址打开 Amazon FSx 控制台：https://console.aws.amazon.com/fsx/。

  2. 按照“入门”部分的创建您的文件系统中所述的步骤创建新文件系统。

  3. 打开审核 – 可选部分。默认情况下，文件访问审计处于禁用状态。

    创建文件系统向导的审计 – 可选部分，显示默认情况下文件访问审计处于关闭状态。

  4. 要启用和配置文件访问审计，请执行以下操作。

    • 对于文件和文件夹的日志访问权限，请选择成功和/或失败尝试日志记录。如果未做出选择，则会禁用文件和文件夹的日志记录。

    • 对于文件共享的日志访问权限，请选择成功和/或失败尝试日志记录。如果未做出选择，则会禁用文件共享的日志记录。

    • 在 “选择审核事件日志目标” 中，选择 “CloudWatch 日志” 或 “Fire hose”。然后选择现有日志或传输流，或者创建新的日志或传输流。对于 CloudWatch 日志，Amazon FSx 可以在日志组中创建和使用默认 CloudWatch /aws/fsx/windows日志流。

    以下是文件访问审计配置的示例，该配置将审核最终用户成功和失败的文件、文件夹和文件共享访问尝试。审核事件日志将发送到默认的 CloudWatch 日志/aws/fsx/windows日志组目标。

    文件系统的文件访问审计配置示例。

  5. 继续执行文件系统创建向导的下一部分。

当文件系统处于可用状态时，将启用文件访问审计功能。

  1. 创建新文件系统时，请将AuditLogConfiguration属性与 CreateFileSystemAPI 操作配合使用，为新文件系统启用文件访问审计。

    aws fsx create-file-system \
  --file-system-type WINDOWS \
  --storage-capacity 300 \
  --subnet-ids subnet-123456 \
  --windows-configuration AuditLogConfiguration='{FileAccessAuditLogLevel="SUCCESS_AND_FAILURE", \
    FileShareAccessAuditLogLevel="SUCCESS_AND_FAILURE", \
    AuditLogDestination="arn:aws:logs:us-east-1:123456789012:log-group:/aws/fsx/my-customer-log-group"}'

  2. 当文件系统处于可用状态时，将启用文件访问审计功能。

  1. 通过以下网址打开 Amazon FSx 控制台：https://console.aws.amazon.com/fsx/。

  2. 导航到文件系统，然后选择要管理文件访问审计的 Windows 文件系统。

  3. 选择管理选项卡。

  4. 在文件访问审计面板上，选择管理。

    FSx 控制台文件访问审计面板，显示文件访问审计配置。

  5. 在管理文件访问审计设置对话框中，更改所需的设置。

    FSx 控制台文件访问审计面板，使用此面板修改文件访问审计配置。

    • 对于文件和文件夹的日志访问权限，请选择成功和/或失败尝试日志记录。如果未做出选择，则会禁用文件和文件夹的日志记录。

    • 对于文件共享的日志访问权限，请选择成功和/或失败尝试日志记录。如果未做出选择，则会禁用文件共享的日志记录。

    • 在 “选择审核事件日志目标” 中，选择 “CloudWatch 日志” 或 “Fire hose”。然后选择现有日志或传输流，或者创建新的日志或传输流。

  6. 选择保存。

  • 使用 update-file-system CLI 命令或等效 UpdateFileSystem API 操作。

    aws fsx update-file-system \
  --file-system-id fs-0123456789abcdef0 \
  --windows-configuration AuditLogConfiguration='{FileAccessAuditLogLevel="SUCCESS_ONLY", \
    FileShareAccessAuditLogLevel="FAILURE_ONLY", \
    AuditLogDestination="arn:aws:logs:us-east-1:123456789012:log-group:/aws/fsx/my-customer-log-group"}'