Como posso configurar alertas para ver quando uma chave de acesso do IAM é usada?

Resolução

Não há regras predefinidas para monitorar e enviar notificações sobre o uso de credenciais do IAM. No entanto, é possível usar uma regra personalizada que combina o AWS CloudTrail e o Amazon EventBridge. Isso permite que você envie uma notificação a um tópico do Amazon Simple Notification Service (Amazon SNS) ou na fila do Amazon Simple Queue Service (Amazon SQS).

As regras do EventBridge são representadas como objetos JSON. Uma regra tem uma lógica de correspondência simples ou não correspondência que se aplica aos eventos. Com base na estrutura dos eventos, é possível criar padrões personalizados para os critérios específicos que deseja atender.

O exemplo de regra a seguir monitora uma única chave de acesso na mesma região da AWS em que a regra está configurada.

Importante:

• Você deve ter uma trilha ativa para enviar eventos para que o EventBridge invoque notificações para seu tópico do SNS ou fila do SQS.
• Os eventos de gerenciamento da sua trilha devem ser configurados como Somente gravação ou Todos. Eventos de gerenciamento de trilhas configurados como Somente leitura não invocam a regra do EventBridge. Para obter mais informações, consulte Eventos de leitura e gravação, Eventos dos serviços da AWS e Serviços e integrações com suporte do CloudTrail.

1. Abra o console do EventBridge e escolha Regras.

2.    Selecione Criar regra.

3. Insira um Nome para o estágio. Opcionalmente, é possível inserir uma Descrição. Em seguida, escolha Avançar.

4. Em Origem do evento, escolha Outro.

5.    Em Método de criação, Selecione Padrão personalizado (editor JSON).

6. Em Padrão de evento, insira um modelo JSON semelhante ao seguinte:

Observação: É possível modificar esse modelo para rastrear notificações para uma variedade de critérios, como chaves de acesso, tipos de login ou identidades específicas.

{
    "detail-type": [
        "AWS API Call via CloudTrail"
    ],
    "detail": {
        "userIdentity": {
            "accessKeyId": [
                "AKIAIOSFODNN7EXAMPLE"
            ]
        }
    }
}

7.    Escolha Avançar.

8.    Para Tipos de destino, selecione o Serviço da AWS. Em seguida, preencha os campos a seguir:
Em Selecionar um destino, selecione Tópico do SNS ou Fila do SQS.
Em Tópico, selecione o tópico ao qual você deseja responder ao evento. Em seguida, escolha Avançar.

9. (Opcional) Escolha tags para sua regra, se desejar.

10. Escolha Avançar para revisar sua regra. Em seguida, escolha Criar regra.

Informações relacionadas

Padrões de eventos do Amazon EventBridge

Obter relatórios de credenciais para sua conta AWS