CloudHSM 감사 로그를 보려면 어떻게 해야 합니까?

해결 방법

CloudHSM은 HSM 인스턴스에서 수집한 감사 로그를 Amazon CloudWatch Logs로 보냅니다. 자세한 내용은 Amazon CloudWatch Logs 및 AWS CloudHSM 감사 로그 사용을 참조하십시오.

CloudHSM 감사 로그를 보려면 다음 단계를 완료합니다.

참고: AWS Command Line Interface(AWS CLI) 명령 실행 시 오류가 발생하는 경우, AWS CLI 오류 문제 해결을 참고하세요. 또한 최신 AWS CLI 버전을 사용하고 있는지 확인하십시오.

HSM 클러스터 ID 가져오기

참고: HSM 클러스터 ID를 알고 있다면 이 단계를 건너뛰십시오.

HSM 클러스터 IP 주소를 가져오려면 다음 명령을 실행합니다.

cat /opt/cloudhsm/etc/cloudhsm_mgmt_util.cfg | grep hostname

그런 다음, describe-clusters AWS CLI 명령을 실행합니다.
참고: your-region을 AWS 리전으로 바꾸고 your-ip-address를 HSM 클러스터 IP 주소로 바꾸십시오.

aws cloudhsmv2 describe-clusters --region your-region --query 'Clusters[*].Hsms[?EniIp==`your-ip-address`].{ClusterId:ClusterId}'

다음과 같은 출력이 표시됩니다.

"ClusterID": "cluster-likphkxygsn"

AWS Management Console

다음 단계를 완료하십시오.

1. 해당 리전의 CloudWatch 콘솔을 엽니다.

2. 탐색 창에서 로그를 선택합니다.

3. 필터에 로그 그룹 이름 접두사를 입력합니다. 예를 들어, /aws/cloudhsm/cluster-likphkxygsn입니다.

4. 로그 스트림에서 클러스터의 HSM ID에 대한 로그 스트림을 선택합니다. 예를 들어, hsm-nwbbiqbj4jk입니다.

5. HSM 디바이스에서 수집한 감사 이벤트를 표시하려면 로그 스트림을 확장합니다.

6. 성공적인 CRYPTO_USER 로그인을 나열하려면 다음 명령을 실행합니다.

   Opcode CN_LOGIN User Type CN_CRYPTO_USER Response SUCCESS

7. 실패한 CRYPTO_USER 로그인을 나열하려면 다음 명령을 실행합니다.

   Opcode CN_LOGIN User Type CN_CRYPTO_USER Response RET_USER_LOGIN_FAILURE

8. 성공적인 키 삭제 이벤트를 나열하려면 다음 명령을 실행합니다.

   Opcode CN_DESTROY_OBJECT Response SUCCESS

   opcode는 HSM에서 실행된 관리 명령을 식별합니다. 감사 로그 이벤트의 HSM 관리 명령에 대한 자세한 내용은 HSM 감사 로그 참조를 참조하십시오.

AWS CLI

다음 단계를 완료하십시오.

1. 로그 그룹 이름을 나열하려면 describe-log-groups 명령을 실행합니다.

   aws logs describe-log-groups --log-group-name-prefix "/aws/cloudhsm/cluster" --query 'logGroups[*].logGroupName'

2. 성공적인 CRYPTO_USER 로그인을 나열하려면 다음 파라미터와 함께 filter-log-events 명령을 실행합니다.

   aws logs filter-log-events --log-group-name "/aws/cloudhsm/cluster-exampleabcd" --log-stream-name-prefix <hsm-ID> --filter-pattern "Opcode CN_LOGIN User Type CN_CRYPTO_USERResponse SUCCESS" --output text"

3. 실패한 CRYPTO_USER 로그인을 나열하려면 다음 파라미터와 함께 filter-log-events 명령을 실행합니다.

   aws logs filter-log-events --log-group-name "/aws/cloudhsm/cluster-exampleabcd" --log-stream-name-prefix <hsm ID> --filter-pattern "Opcode CN_LOGIN User Type CN_CRYPTO_USER Response RET_USER_LOGIN_FAILURE" --output text

4. 성공적인 키 삭제를 나열하려면 다음 파라미터와 함께 filter-log-events 명령을 실행합니다.

   aws logs filter-log-events --log-group-name "/aws/cloudhsm/cluster-exampleabcd" --log-stream-name-prefix <hsm ID> --filter-pattern "Opcode CN_DESTROY_OBJECT Response SUCCESS" --output text

로그 그룹, 로그 스트림, 필터 이벤트 사용 방법에 대한 자세한 내용은 CloudWatch Logs에서 HSM 감사 로그 보기를 참조하십시오.

관련 정보

HSM 감사 로그 해석