Como faço para criar uma regra do EventBridge para automatizar as respostas às chamadas de API do CloudTrail?

Breve descrição

Para configurar uma ação ou notificação personalizada para uma chamada de API do CloudTrail, crie uma regra do EventBridge com um padrão de evento que corresponda ao evento.

Resolução

Crie uma trilha do CloudTrail

Observação: você deve configurar uma trilha do CloudTrail para capturar eventos e depois encaminhá-los para o EventBridge. A regra do EventBridge começa somente com uma trilha, mesmo quando você tem uma correspondência de padrão de evento válida.

Para criar uma trilha do CloudTrail, conclua as seguintes etapas:

1. Abra o console do CloudTrail.
2. Navegue até Trilhas.
3. Se já existir uma trilha na região em que você deseja criar sua regra, certifique-se de que o status esteja definido como Registro.
4. Se você não tiver uma trilha existente, escolha Criar trilha.
5. Em Nome da trilha, insira um nome.
6. Em Local de armazenamento, escolha Criar um novo bucket do S3.
7. Para o alias do AWS KMS, insira um alias para a chave do AWS Key Management Service (AWS KMS).
8. Escolha Avançar. Em seguida, escolha Avançar novamente.
9. Escolha Criar trilha.

Para obter mais informações, consulte Criação de uma trilha com o console do CloudTrail.

Crie uma regra e um padrão de evento do EventBridge

Observação: o exemplo nesta seção usa a operação de API do Amazon Simple Queue Service (Amazon SQS), CreateQueue, para gerar um evento. Quando você usa uma operação de API do Amazon SQS, o CloudTrail registra o evento gerado e, em seguida, encaminha o evento para o barramento padrão do EventBridge.

Para criar uma regra e um padrão de evento do EventBridge, conclua as seguintes etapas:

1. Abra o console do EventBridge.
2. No painel de navegação, escolha Regras.
3. Selecione Criar regra.
4. Insira um nome e uma descrição para a regra, por exemplo, TestRule.
5. Para Barramento de eventos, escolha o barramento de eventos que você deseja associar à sua regra. Se você quiser que sua regra corresponda aos eventos que vêm da sua conta, selecione padrão.
   Observação: quando um serviço da AWS em sua conta cria um evento, o evento vai para o barramento de eventos padrão da sua conta.
6. Em Tipo de regra, escolha Regra com um padrão de evento.
7. Escolha Avançar.
8. Em Origem do evento, escolha Serviços AWS.
9. Escolha Padrão de evento.
10. Em Origem do evento, escolha SQS.
11. Em Tipo de evento, escolha Chamada de API da AWS via CloudTrail.
12. Escolha Operação(ões) específica(s) e insira CreateQueue. O exemplo a seguir mostra o padrão de eventos resultante das opções que você selecionou:

{  "source": ["aws.sqs"],
  "detail-type": ["AWS API Call via CloudTrail"],
  "detail": {
    "eventSource": ["sqs.amazonaws.com"],
    "eventName": ["CreateQueue"]
  }
}

Observação: o padrão do evento é filtrado em vários campos, como eventName e eventSource. Uma correspondência de evento deve conter todos os campos e valores correspondentes. Escolha Avançar. Para Tipos de destino, escolha Serviço da AWS. Em Selecionar um alvo, escolha Função do Lambda. Na lista, escolha sua Função. Escolha Adicionar outro destino. Na seção de serviços da AWS, escolha o grupo de logs do CloudWatch. Em Selecionar grupo de logs, escolha um grupo de logs existente ou crie um novo grupo de logs. Escolha Avançar. Em seguida, escolha Avançar novamente. Selecione Criar regra.

Validar a regra do EventBridge

Conclua as seguintes etapas:

1. Abra o console SQS.
2. Escolha Criar fila.
3. Em Tipo, escolha Tipo de fila padrão.
4. Insira um nome para sua fila.
5. Mantenha todas as outras opções como padrão e escolha Criar fila.
6. Use as métricas TriggeredRules, Invocations e FailedInvocations para confirmar se sua regra do EventBridge acionou e invocou os destinos.
7. Para visualizar as métricas, navegue até a regra que você criou e abra a guia Monitoramento. Ou veja as métricas no console do CloudWatch no namespace AWS/Events.
8. Confirme se a função do Lambda foi invocada e se o grupo de logs do CloudWatch capturou o evento.
9. Navegue até seu grupo de logs de destino no console do CloudWatch Logs. Observe que um novo fluxo de logs é visível com o evento de logs correspondente.

Informações relacionadas

Tutorial: Crie uma regra do EventBridge que reaja às chamadas de API da AWS via CloudTrail

Como criar um padrão de evento personalizado para uma regra do EventBridge?