Question

我正在尝试查看哪个用户负责S3中的更改（在存储桶级别）。我找不到在S3桶级别或EC2创建实例的操作的审计跟踪。 Beanstalk记录了机器执行的操作，但不记录哪个用户。

我们是否可以通过AWS在IAM或任何其他位置查看此信息？

P.S：我不想知道提供访问日志的S3日志桶

Answer 1

更新

AWS刚刚宣布AWS CloudTrail，最终提供截至今天（并且免费）的审核API调用，有关详细信息，请参阅介绍性帖子AWS CloudTrail - Capture AWS API Activity：

您是否需要跟踪一个或多个AWS的API调用   账户？如果是这样，新的AWS CloudTrail服务适合您。

启用后，AWS CloudTrail会记录对AWS API的调用   使用AWS Management Console，AWS Command Line Interface (CLI），您自己的应用程序以及第三方软件和发布   生成的日志文件到您选择的Amazon S3桶。   CloudTrail还可以向Amazon SNS主题发出通知   您每次发布文件时的选择。每个调用都以JSON格式记录   格式，便于解析和处理。

请注意以下（临时）约束：

并非所有服务都已涵盖，但最重要的服务已包含在初始版本中，AWS计划随时添加对其他服务的支持。
- 更新：AWS最近添加了Seven New Services，今天又添加了另一个，请参阅下文。
更重要的是，并非所有地区都得到支持（~~现在美国东部（弗吉尼亚北部）和美国西部（俄勒冈州）仅~~），尽管AWS将尽快添加对其他区域的支持。
- 更新：AWS刚刚添加了More Locations and Services，确实快速接近了整个Global Infrastructure的覆盖范围。

初步答复

这是一项长期存在的功能请求，但遗憾的是AWS从今天开始不提供（公共）审计跟踪 - 添加此功能的最合理方式可能是AWS Identity and Access Management (IAM)的相应扩展，这是越来越普遍存在的身份验证和授权层，用于跨所有现有Products & Services访问AWS资源。

因此，IAM FAQs中的这些答案中提供了一些相应的答案：

Will AWS Identity and Access Management administrative actions be logged to an audit trail?：
  不会。这是计划在将来发布的。

Will user actions in AWS services be logged to an audit trail?
  不会。这是计划在将来发布的。

Answer 2

单个CloudTrail的当前定价是免费的。

<强> 1。启用CloudTrail

使用CloudTrail仪表板并将所有事件发送到S3存储桶，例如my-cloudtrail

<强> 2。完成结果

CloudTrail仪表板允许您进行粗略搜索，但如果您有数千个事件，则使用起来很麻烦。

假设我想为用户foo_user采取行动，我只使用CLI工具：

mkdir -p /tmp/cloudtrail
cd /tmp/cloudtrail
aws s3 sync s3://mc10-cloudtrail .
cd AWSLogs
zcat `find . -type f` | jq '.Records[] | "\(.eventName) \(.userIdentity.userName)"' | grep food_user | sort | uniq

示例输出：

"CreateGrant foo_user"
"DescribeInstances foo_user"
"GetConsoleOutput foo_user"
"ModifyInstanceAttribute foo_user"
"StartInstances foo_user"
"StopInstances foo_user"

注意：在CloutTrail中，S3数据事件的计费方式不同，但这有点多余，因为您只需启用S3存储桶的日志记录并grep这些日志，或将它们指向Logstash / Kibana。

记录对amazon s3 /其他AWS服务的操作

2 个答案:

更新

初步答复