Key Management Service (KMS) s'intègre à ActionTrail et à Simple Log Service pour enregistrer les événements liés à l'utilisation de vos clés et secrets. Exploitez ces journaux pour le dépannage, la surveillance de la sécurité et l'audit. Cette rubrique explique comment interroger les journaux d'utilisation de vos clés et secrets.
Informations générales
Les événements relatifs aux clés et aux secrets se divisent en deux catégories : les opérations de gestion et les opérations cryptographiques. Les opérations de gestion incluent la création ou la suppression d'une clé, la création ou la suppression d'un secret, ainsi que la modification d'un alias de clé. Les opérations cryptographiques comprennent l'utilisation d'une clé pour le chiffrement ou le déchiffrement, et la récupération de la valeur d'un secret. La méthode d'interrogation de ces événements varie selon le type d'événement et votre cas d'utilisation.
Clés et secrets dans une instance KMS
Type de ressource | Type d'événement | Méthode d'interrogation |
Clé | Opération de gestion | ActionTrail |
Opération cryptographique |
| |
Secret | Opération de gestion | ActionTrail |
Opération cryptographique (récupération de la valeur d'un secret) |
|
Clés et secrets hors instance
Les clés qui ne résident pas dans une instance KMS sont appelées clés par défaut. Les anciennes versions de KMS permettaient aux utilisateurs de créer des secrets sans avoir acheté d'instance KMS. Cette fonctionnalité n'est plus prise en charge.
Type de ressource | Type d'événement | Méthode d'interrogation |
Clé | Opération de gestion | ActionTrail |
Opération cryptographique | ActionTrail | |
Secret | Opération de gestion | ActionTrail |
Opération cryptographique (récupération de la valeur d'un secret) | ActionTrail ou Simple Log Service Remarque Vous pouvez récupérer la valeur du secret uniquement via un endpoint de service KMS. |
Remarques d'utilisation
Lorsque vous interrogez les événements liés aux clés, ActionTrail vous permet de consulter les journaux pour les clés dans tous les états. En revanche, Simple Log Service ne peut interroger les journaux que pour les clés activées.
Interroger les événements avec ActionTrail
Interrogez les événements depuis les pages Event Query et Advanced Query de la console ActionTrail. Pour obtenir la liste des événements auditable dans Key Management Service, consultez la rubrique Événements auditable pour Key Management Service.
Event Query : permet d'interroger les événements des 90 derniers jours. Cette fonctionnalité est fournie gratuitement par ActionTrail.
-
Advanced Event Query : créez d'abord une piste (trail) et acheminez les événements vers Simple Log Service (SLS). Vous ne pouvez interroger que les événements survenus après la création de la piste. Pour plus d'informations, consultez les rubriques Présentation des pistes mono-compte et Présentation des pistes multi-comptes. Pour interroger les événements des 90 jours précédant la création de la piste, consultez la rubrique Créer une tâche de livraison d'événements historiques.
RemarqueLe stockage des événements dans SLS entraîne des frais lorsque vous créez une piste pour acheminer les événements vers SLS.
**Méthode 1 : Utiliser la page Event Query**
Connectez-vous à la console ActionTrail.
Dans le volet de navigation de gauche, cliquez sur .
Sélectionnez Resource Name, saisissez l'ID de la clé ou du secret, définissez une plage de temps, puis cliquez sur l'icône
.Repérez l'événement cible et cliquez sur View Event Details dans la colonne Actions.
Méthode 2 : Utiliser la page Advanced Event Query
Connectez-vous à la console ActionTrail.
Dans le volet de navigation de gauche, cliquez sur Events > Advanced Event Query.
-
Sélectionnez un nom de piste, désactivez Simple Mode en haut à droite, puis saisissez une instruction de requête.
Vous pouvez utiliser les exemples d'instructions de requête suivants :
Interroger les événements pour une clé spécifique :
* AND (event.serviceName: "Kms") AND (event.eventRW: "Read") AND "key-szz63dc8c429ermur****". Remplacezkey-szz63dc8c429ermur****par l'ID réel de la clé.Interroger les événements pour une clé désactivée :
* AND (event.serviceName: "Kms") AND (event.errorCode:"Rejected.Disabled").Interroger les événements pour une clé en état Pending Deletion :
* AND (event.serviceName: "Kms") AND (event.errorCode:"Rejected.PendingDeletion").-
Interroger les événements pour les clés d'une instance expirée :
* AND (event.serviceName: "Kms") AND (event.errorCode:"Rejected.Unavailable").RemarquePour plus d'informations sur les codes d'erreur liés aux états des clés, consultez la rubrique Codes d'erreur courants.
Interroger les événements pour un secret spécifique :
* AND (event.serviceName: "Kms") AND (event.eventName: "GetSecretValue") AND "SecretName". RemplacezSecretNamepar le nom réel du secret.
Repérez l'événement cible et cliquez sur View Event Details dans la colonne Actions.
Interroger les événements avec Simple Log Service
Connectez-vous à la console KMS. Dans la barre de navigation supérieure, sélectionnez une région. Dans le volet de navigation de gauche, cliquez sur .
Sur la page Simple Log Service for KMS, sélectionnez un ID d'instance et saisissez l'ID de la clé ou du secret dans le champ Key/Secret ID.
-
Définissez une plage de temps et cliquez sur Search & Analyze.
RemarqueLes journaux sont conservés pendant 180 jours. Les journaux datant de plus de 180 jours sont supprimés. Vous ne pouvez interroger que les données des 180 derniers jours.
Un écart maximal d'une minute peut exister entre les résultats de la requête et la plage de temps spécifiée.
Ces opérations d'interrogation et d'analyse sont gratuites.