Wie kann ich eine EventBridge-Ereignisregel erstellen, um mich darüber zu informieren, dass mein AWS-Root-Benutzerkonto verwendet wurde?

Letzte Aktualisierung: 12.08.2021

Wie kann ich Benachrichtigungen erhalten, wenn mein AWS-Root-Benutzerkonto verwendet wird?

Auflösung

Starten Sie einen AWS-CloudFormation-Stack, um ein Amazon Simple Notification Service (Amazon SNS)-Thema zu erstellen. Erstellen Sie anschließend eine Amazon-EventBridge-Ereignisregel, um userIdentity-Root-Anmeldungen von der AWS-Managementkonsole aus zu überwachen.

Wichtig: Bevor Sie beginnen, stellen Sie sicher, dass Ihre Lese-/Schreibereignisse von AWS CloudTrail Management auf Alle oder Schreibgeschützt eingestellt sind, damit EventBridge-Ereignisse die Anmelde-Ereignis-Benachrichtigung auslöst. Weitere Informationen finden Sie unter Lese- und Schreib-Ereignisse.

1.    Kopieren und fügen Sie diese YAML-Vorlage in Ihr bevorzugtes Editor-Tool ein und speichern Sie sie anschließend.

# Copyright 2019 Amazon.com, Inc. or its affiliates. All Rights Reserved.
# Permission is hereby granted, free of charge, to any person obtaining a copy of this
# software and associated documentation files (the "Software"), to deal in the Software
# without restriction, including without limitation the rights to use, copy, modify,
# merge, publish, distribute, sublicense, and/or sell copies of the Software, and to
# permit persons to whom the Software is furnished to do so.
#
# THE SOFTWARE IS PROVIDED "AS IS", WITHOUT WARRANTY OF ANY KIND, EXPRESS OR IMPLIED,
# INCLUDING BUT NOT LIMITED TO THE WARRANTIES OF MERCHANTABILITY, FITNESS FOR A
# PARTICULAR PURPOSE AND NONINFRINGEMENT. IN NO EVENT SHALL THE AUTHORS OR COPYRIGHT
# HOLDERS BE LIABLE FOR ANY CLAIM, DAMAGES OR OTHER LIABILITY, WHETHER IN AN ACTION
# OF CONTRACT, TORT OR OTHERWISE, ARISING FROM, OUT OF OR IN CONNECTION WITH THE
# SOFTWARE OR THE USE OR OTHER DEALINGS IN THE SOFTWARE.

AWSTemplateFormatVersion: '2010-09-09'
Description: ROOT-AWS-Console-Sign-In-via-CloudTrail
Metadata:
  AWS::CloudFormation::Interface:
    ParameterGroups:
    - Label:
        default: Amazon SNS parameters
      Parameters:
      - Email Address
Parameters:
  EmailAddress:
    Type: String
    AllowedPattern: "^[\\x20-\\x45]?[\\w-\\+]+(\\.[\\w]+)*@[\\w-]+(\\.[\\w]+)*(\\.[a-z]{2,})$"
    ConstraintDescription: Email address required.
    Description: Enter an email address you want to subscribe to the Amazon SNS topic
      that will send notifications if your account's AWS root user logs in.
Resources:
  RootActivitySNSTopic:
    Type: AWS::SNS::Topic
    Properties:
      DisplayName: ROOT-AWS-Console-Sign-In-via-CloudTrail
      Subscription:
      - Endpoint:
          Ref: EmailAddress
        Protocol: email
      TopicName: ROOT-AWS-Console-Sign-In-via-CloudTrail
  EventsRule:
    Type: AWS::Events::Rule
    Properties:
      Description: Events rule for monitoring root AWS Console Sign In activity
      EventPattern:
        detail-type:
        - AWS Console Sign In via CloudTrail
        detail:
          userIdentity:
            type:
            - Root
      Name:
        Fn::Sub: "${AWS::StackName}-RootActivityRule"
      State: ENABLED
      Targets:
      - Arn:
          Ref: RootActivitySNSTopic
        Id: RootActivitySNSTopic
    DependsOn:
    - RootActivitySNSTopic
  RootPolicyDocument:
    Type: AWS::SNS::TopicPolicy
    Properties:
      PolicyDocument:
        Id: RootPolicyDocument
        Version: '2012-10-17'
        Statement:
        - Sid: RootPolicyDocument
          Effect: Allow
          Principal:
            Service: events.amazonaws.com
          Action: sns:Publish
          Resource:
          - Ref: RootActivitySNSTopic
      Topics:
      - Ref: RootActivitySNSTopic
Outputs:
  EventsRule:
    Value:
      Ref: EventsRule
    Export:
      Name:
        Fn::Sub: "${AWS::StackName}-RootAPIMonitorEventsRule"
    Description: Event Rule ID.

2.    Öffnen Sie die CloudFormation-Konsole in der Region USA Ost (Nord-Virginia) und wählen Sie dann Create stack (Stack erstellen).

Hinweis: Der CloudFormation-Stack muss in der Region USA Ost (Nord-Virginia) erstellt werden.

3.    Wählen Sie Create stack (Stack erstellen) und dann With new resources (Standard) (Mit neuen Ressourcen (Standard)).

4.    Wählen Sie Upload a template file (Vorlagendatei hochladen), Next (Weiter) und dann Choose file (Datei auswählen).

5.    Wählen Sie die Vorlage aus, die Sie in Schritt 1 gespeichert haben, und wählen Sie dann Next (Weiter).

6.    Geben Sie im Feld Stack name (Stack-Namen) einen Namen ein, der für Sie von Bedeutung ist, z. B. Root-AWS-Console-Sign-in-CloudTrail.

7.    Geben Sie im Feld EmailAddress Ihre E-Mail-Adresse ein und wählen Sie dann Next (Weiter).

Hinweis: AWS sendet die Bestätigungs-E-Mail an diese E-Mail-Adresse.

8.    Wählen Sie unter Options (Optionen) die Option Next (Weiter) aus, und wählen Sie dann Create (Erstellen) aus.

9.    Suchen Sie in Ihrem E-Mail-Posteingang nach der AWS-Bestätigungs-E-Mail und wählen Sie dann Confirm subscription (Abonnement bestätigen), um die SNS-Abonnementanfrage zu bestätigen. Sie erhalten eine Nachricht mit Abonnement bestätigt!.

10.    Um Benachrichtigungen zu testen, melden Sie sich von der AWS-Managementkonsole ab. Melden Sie sich anschließend mit Ihrem AWS-Root-Benutzerkonto bei der AWS-Managementkonsole an.

11.    Suchen Sie in Ihrem E-Mail-Posteingang nach einer AWS-Benachrichtigung. Beachten Sie, dass CloudTrail userIdentity, sourceIPAddress und MFAUsed mit Details für das Anmeldungs-Ereignis aufzeichnet.

Um keine Benachrichtigungen mehr zu erhalten, löschen Sie den CloudFormation-Stack, den Sie in Schritt 2 erstellt haben.


War dieser Artikel hilfreich?


Benötigen Sie Hilfe zur Fakturierung oder technischen Support?