Use the Session Record Delivery feature of Cloud Assistant - Elastic Compute Service

Configurez la transmission des enregistrements de session pour conserver les données du gestionnaire de sessions (Session Manager) dans Simple Log Service (SLS) ou OSS.

Contexte

Pour interroger, analyser, auditer ou conserver les enregistrements du gestionnaire de sessions (Session Manager), ou pour répondre aux exigences de sécurité et de conformité, transmettez ces enregistrements vers un Logstore SLS ou un compartiment OSS.

Facturation

La transmission des enregistrements de session est gratuite, mais des coûts peuvent s'appliquer aux éléments suivants :

Éléments facturables de SLS, tels que l'espace de stockage et le trafic d'indexation des journaux.

Consultez Présentation de la facturation.
Éléments facturables d'OSS, tels que l'espace de stockage et le trafic de gestion des objets.

Consultez Présentation de la facturation.

Étape 1 : Configurer la fonctionnalité de transmission des enregistrements de session

Spécifiez un projet et un Logstore SLS ou un compartiment OSS dans la console ECS :

Accédez à Console ECS - Cloud Assistant.
Dans le coin supérieur gauche de la page, sélectionnez une région et un groupe de ressources.

Remarque

Les enregistrements de session ne peuvent pas être transmis entre différentes régions. Sélectionnez la région cible avant de poursuivre.

Dans le coin supérieur droit de la page ECS Cloud Assistant, cliquez sur Settings.
Dans la boîte de dialogue Cloud Assistant Settings, cliquez sur l'onglet Session Manager Settings.
- Transmettez les enregistrements de session vers SLS.
  1. Sélectionnez Deliver to Log Service.
  2. Sélectionnez un projet et un Logstore SLS existants.
    - Si aucun projet ou Logstore SLS n'existe dans la région sélectionnée, cliquez sur Log Service Console ou Logstores pour les créer. Revenez ensuite à la boîte de dialogue et cliquez sur l'icône pour actualiser la liste. Consultez Gérer les projets et Gérer un logstore.
    - Pour interroger ou analyser les journaux dans SLS, vous devez activer l'indexation. Consultez Créer des index.
    - (Facultatif) Spécifiez une méthode de chiffrement côté serveur pour le Logstore. Les enregistrements transmis sont chiffrés selon la méthode spécifiée. Consultez Chiffrer les données.
- Transmettez les enregistrements de session vers OSS.
  1. Cliquez sur Deliver to OSS.
  2. Sélectionnez un compartiment OSS existant et saisissez un répertoire racine pour les enregistrements de session.
    
    Si aucun compartiment OSS n'existe dans la région sélectionnée, cliquez sur OSS Console pour en créer un. Revenez ensuite à la boîte de dialogue et cliquez sur l'icône pour actualiser la liste. Consultez Créer des compartiments.
  3. (Facultatif) Cliquez sur l'icône située à côté de Advanced Options pour spécifier une méthode de chiffrement côté serveur.
    
    Remarque
    Le chiffrement côté serveur d'OSS protège les données au repos. Utilisez-le dans les scénarios nécessitant un niveau élevé de sécurité ou de conformité. Les objets d'enregistrement de session sont chiffrés selon la méthode spécifiée. Consultez Chiffrement côté serveur.
Cliquez sur OK.

Lors de la première configuration, le système crée un rôle lié au service qui accorde à Cloud Assistant l'accès aux ressources SLS et OSS. Si le rôle existe déjà, le système ignore cette étape de création. Consultez Gérer le rôle lié au service pour ECS Cloud Assistant.

Le rôle lié au service créé automatiquement par le système est nommé AliyunServiceRoleForECSArchiving, et la stratégie d'accès correspondante est nommée AliyunServiceRolePolicyForECSArchiving.

Étape 2 : Utiliser le gestionnaire de sessions pour se connecter à l'instance

Une fois que vous vous êtes connecté à une instance via le gestionnaire de sessions (Session Manager), les enregistrements de session sont automatiquement transmis vers le Logstore SLS ou le compartiment OSS spécifié.

Consultez Se connecter dans la console ECS.

Étape 3 : Consulter les enregistrements de session

Consultez les enregistrements de session dans la console SLS ou la console OSS.

Console SLS

Accédez à un Logstore depuis la console ECS pour afficher les journaux d'enregistrement de session. Vous pouvez également vous connecter directement à la console SLS.

Accédez à Console ECS - Cloud Assistant.
Dans le coin supérieur gauche de la page, sélectionnez une région et un groupe de ressources.
Dans le coin supérieur droit de la page ECS Cloud Assistant, cliquez sur Settings.
Dans la boîte de dialogue Cloud Assistant Settings, cliquez sur l'onglet Session Manager Settings et sélectionnez Deliver to Log Service.

À droite de la section Select a Logstore, cliquez sur Logstores.

Pour l'interrogation et l'analyse des journaux, consultez Interroger et analyser les journaux.

Le tableau suivant décrit les paramètres des journaux d'enregistrement de session.

Paramètre

Description

LoginUser

Nom d'utilisateur de l'opérateur.

CallerUid

ID du compte de l'opérateur.

Content

Commande et sa sortie.

La commande et la sortie sont séparées par des signes égal (=).

InstanceId

ID de l'instance.

SessionId

ID de la session.

ChannelId

ID du canal.

TokenPrincipalId

ID du principal qui effectue les opérations après la connexion de l'instance avec un rôle STS (Security Token Service) via le gestionnaire de sessions.

Console OSS

Accédez à un compartiment OSS depuis la console ECS pour afficher les objets d'enregistrement de session. Vous pouvez également vous connecter directement à la console OSS.

Accédez à Console ECS - Cloud Assistant.
Dans le coin supérieur gauche de la page, sélectionnez une région et un groupe de ressources.
Dans le coin supérieur droit de la page ECS Cloud Assistant, cliquez sur Settings.
Dans la boîte de dialogue Cloud Assistant Settings, cliquez sur l'onglet Session Manager Settings et sélectionnez Deliver to OSS.
À droite de la section Bucket, cliquez sur OSS Console.
Accédez au répertoire d'un objet d'enregistrement de session spécifique.

La console OSS s'ouvre sur le répertoire racine que vous avez spécifié. Les objets d'enregistrement de session sont organisés dans des sous-répertoires selon le format suivant :

<Root directory>/<Region ID of the instance>/<Session record time (Year-Month)>/<Session record time (Day)>/<Instance ID>/<SessionId>/<ChannelId>

Analysez un objet d'enregistrement de session.

Les objets d'enregistrement de session sont au format YAML. Téléchargez-les pour analyse et audit.

Le code Java suivant permet d'analyser un objet d'enregistrement de session au format YAML :

//The document parsing class of the YAML object.
public static class Document {
    //The basic information about the session.
    private MetaData metaData;
    //The session records.
    private List<SessionData> sessionData;
}

//The basic information about the session.
public static class MetaData {
    //The parsing version of the YAML object.
    private String version;
    //The username used to perform operations.
    private String loginUser;
    //The ID of the account used to perform operations.
    private Long callerUid;
    //The ID of the instance.
    private String instanceId;
    //The ID of the session.
    private String sessionId;
    //The ID of the channel.
    private String channelId;
    //The ID of the principal that actually performs operations after the instance is connected with an STS role by using Session Manager.
    private String stsTokenPrincipalId;
}

//The session records.
public static class SessionData {
    //The time of the session record.
    private String time;
    //The command and corresponding output. In most cases, the command and the output are separated by closing angle brackets (>).
    private String content;
}

/**
* Obtain the session records of Session Manager.
*
* @param deliveryFileName. The name of the YAML object.
* @return. The session records.
*/
public Document getSessionData(String deliveryFileName) {
    Yaml yaml = new Yaml(new Constructor(Document.class));
	  File deliveryFile = new File(deliveryFileName);
	  try (InputStream deliveryInputStream = new FileInputStream(deliveryFile)) {
        Document document = (Document) yaml.load(deliveryInputStream);
        //The basic information about the session.
        //MetaData metaData = document.getMetaData();
        //The session records.
        //List<SessionData> sessionDataList = document.getSessionData();
        return document;
    } catch (IOException exception) {
        // log.error("");
    }
    return null;
}

Références

DescribeTerminalSessions : interroge les enregistrements de session du gestionnaire de sessions.
ModifyCloudAssistantSettings : modifie les configurations des fonctionnalités de Cloud Assistant.
DescribeCloudAssistantSettings : interroge les configurations des fonctionnalités de Cloud Assistant.