Comment consulter mes journaux d'audit CloudHSM ?

Résolution

CloudHSM envoie les journaux d'audit collectés par les instances HSM à Amazon CloudWatch Logs. Pour plus d'informations, consultez la section Utilisation d'Amazon CloudWatch Logs et d'AWS CloudHSM Audit Logs.

Pour consulter les journaux d'audit CloudHSM, procédez comme suit.

Remarque : si des erreurs surviennent lorsque vous exécutez des commandes de l’interface de la ligne de commande AWS (AWS CLI), consultez la page Résoudre les erreurs liées à AWS CLI. Vérifiez également que vous utilisez bien la version la plus récente de l’AWS CLI.

Obtenir l’ID de votre cluster HSM

Remarque : Si vous connaissez l'ID de votre cluster HSM, ignorez cette étape.

Pour obtenir l'adresse IP de cluster HSM, exécutez la commande suivante :

cat /opt/cloudhsm/etc/cloudhsm_mgmt_util.cfg | grep hostname

Puis, exécutez la commande describe-clusters de l’AWS CLI :
Remarque : Remplacez your-region par votre région AWS et your-ip-address par l'adresse IP de votre cluster HSM.

aws cloudhsmv2 describe-clusters --region your-region --query 'Clusters[*].Hsms[?EniIp==`your-ip-address`].{ClusterId:ClusterId}'

Vous obtenez un résultat similaire au suivant :

"ClusterID": "cluster-likphkxygsn"

Console de gestion AWS

Procédez comme suit :

1. Ouvrez la console CloudWatch de votre région.

2. Dans le volet de navigation, sélectionnez Journaux.

3. Dans Filtrer, entrez le préfixe du nom de Groupe de journaux. Par exemple, /aws/cloudhsm/cluster-likphkxygsn.

4. Dans Flux de journaux, sélectionnez le flux de journaux correspondant à l’ID HSM dans votre cluster. Par exemple, hsm-nwbbiqbj4jk.

5. Pour afficher les événements d'audit collectés à partir du périphérique HSM, développez les flux de journaux.

6. Pour répertorier les connexions CRYPTO_USER réussies, exécutez la commande suivante :

   Opcode CN_LOGIN User Type CN_CRYPTO_USER Response SUCCESS

7. Pour répertorier les échecs de connexion CRYPTO_USER, exécutez la commande suivante :

   Opcode CN_LOGIN User Type CN_CRYPTO_USER Response RET_USER_LOGIN_FAILURE

8. Pour répertorier les événements de suppression de clés réussis, exécutez la commande suivante :

   Opcode CN_DESTROY_OBJECT Response SUCCESS

   L'opcode identifie la commande de gestion exécutée sur le HSM. Pour plus d'informations sur les commandes de gestion HSM dans les événements de journaux d'audit, consultez la section Référence du journal d'audit HSM.

AWS CLI

Procédez comme suit :

1. Pour répertorier les noms de groupes de journaux, exécutez la commande describe-log-groups :

   aws logs describe-log-groups --log-group-name-prefix "/aws/cloudhsm/cluster" --query 'logGroups[*].logGroupName'

2. Pour répertorier les connexions CRYPTO_USER réussies, exécutez la commande filter-log-events avec les paramètres suivants :

   aws logs filter-log-events --log-group-name "/aws/cloudhsm/cluster-exampleabcd" --log-stream-name-prefix <hsm-ID> --filter-pattern "Opcode CN_LOGIN User Type CN_CRYPTO_USERResponse SUCCESS" --output text"

3. Pour répertorier les échecs de connexion CRYPTO_USER, exécutez la commande filter-log-events avec les paramètres suivants :

   aws logs filter-log-events --log-group-name "/aws/cloudhsm/cluster-exampleabcd" --log-stream-name-prefix <hsm ID> --filter-pattern "Opcode CN_LOGIN User Type CN_CRYPTO_USER Response RET_USER_LOGIN_FAILURE" --output text

4. Pour répertorier la suppression réussie d'une clé, exécutez la commande filter-log-events avec les paramètres suivants :

   aws logs filter-log-events --log-group-name "/aws/cloudhsm/cluster-exampleabcd" --log-stream-name-prefix <hsm ID> --filter-pattern "Opcode CN_DESTROY_OBJECT Response SUCCESS" --output text

Pour plus d'informations sur les groupes de journaux, les flux de journaux et l'utilisation des événements de filtrage, consultez la section Affichage des journaux d'audit HSM dans CloudWatch Logs.

Informations connexes

Interprétation des journaux d'audit HSM