Spec-Zone.ru › Ansible 2.5

cloudtrail - управление созданием, удалением и обновлением CloudTrail

Новое в версии 2.0.

  • Обзор
    • Требования
  • Параметры
  • Примечания
  • Примеры
  • Возвращаемые значения
  • Статус
    • Автор

Обзор

  • Создаёт, удаляет или обновляет конфигурацию CloudTrail. Гарантирует также включение ведения журнала.

Требования

Ниже перечислены требования к хосту, на котором будет выполняться этот модуль.

  • boto
  • boto3
  • botocore
  • python >= 2.6

Параметры

Параметр Варианты/Значения по умолчанию Комментарии
aws_access_key Значение по умолчанию:
None
Ключ доступа AWS. Если не задан, используется значение переменной окружения AWS_ACCESS_KEY_ID, AWS_ACCESS_KEY или EC2_ACCESS_KEY.

Псевдонимы: ec2_access_key, access_key
aws_secret_key Значение по умолчанию:
None
Секретный ключ AWS. Если не задан, используется значение переменной окружения AWS_SECRET_ACCESS_KEY, AWS_SECRET_KEY или EC2_SECRET_KEY.

Псевдонимы: ec2_secret_key, secret_key
cloudwatch_logs_log_group_arn
(добавлено в 2.4)
Полный ARN, указывающий на допустимую группу журналов CloudWatch, в которую будут передаваться журналы CloudTrail. Группа журналов должна уже существовать.
См. https://docs.aws.amazon.com/awscloudtrail/latest/userguide/send-cloudtrail-events-to-cloudwatch-logs.html
Требуется при cloudwatch_logs_role_arn
cloudwatch_logs_role_arn
(добавлено в 2.4)
Указывает полный ARN для роли IAM, которая предоставляет необходимые разрешения CloudTrail для создания и записи в группу журналов.
См. https://docs.aws.amazon.com/awscloudtrail/latest/userguide/send-cloudtrail-events-to-cloudwatch-logs.html
Требуется при cloudwatch_logs_log_group_arn
ec2_url Значение по умолчанию:
None
URL для подключения к EC2 или облаку Eucalyptus (по умолчанию модуль использует конечные точки EC2). Игнорируется для модулей, где регион требуется. Должен быть указан для всех остальных модулей, если регион не используется. Если не задан, используется значение переменной окружения EC2_URL, если таковое есть.
enable_log_file_validation
(добавлено в 2.4)
Указывает, включена ли проверка целостности файлов журнала.
CloudTrail создаст хеш для каждого файла журнала и сгенерирует подписанный файл дайджеста, который можно использовать для проверки целостности файлов журнала.

Псевдонимы: log_file_validation_enabled
enable_logging
(добавлено в 2.4)
 Значение по умолчанию:
yes
Включить или отключить ведение журнала CloudTrail. Если отключено, отслеживание приостанавливается и не будет записывать события или передавать файлы журналов.
include_global_events Значение по умолчанию:
yes
Записывать API-вызовы от глобальных сервисов, таких как IAM и STS.

Псевдонимы: include_global_service_events
is_multi_region_trail
(добавлено в 2.4)
 Значение по умолчанию:
no
Указывает, относится ли отслеживание только к одному региону или оно существует во всех регионах.
kms_key_id
(добавлено в 2.4)
Указывает идентификатор ключа KMS, который будет использоваться для шифрования журналов, передаваемых CloudTrail. Это также приводит к включению шифрования файлов журнала.
Значение может быть псевдонимом, начинающимся с "alias/", полностью указанным ARN для псевдонима, полностью указанным ARN для ключа или глобально уникальным идентификатором.
См. https://docs.aws.amazon.com/awscloudtrail/latest/userguide/encrypting-cloudtrail-log-files-with-aws-kms.html
name
обязательно
Имя для CloudTrail.
Имена уникальны в каждом регионе, если CloudTrail не является многорегиональным отслеживанием, в этом случае оно уникально для каждой учётной записи.
profile
(добавлено в 1.6)
 Значение по умолчанию:
None
Использует профиль boto. Работает только с boto >= 2.24.0.
region
Регион AWS для использования. Если не указан, используется значение переменной окружения AWS_REGION или EC2_REGION, если таковое есть. См. http://docs.aws.amazon.com/general/latest/gr/rande.html#ec2_region

Псевдонимы: aws_region, ec2_region
s3_bucket_name
(добавлено в 2.4)
Существующее ведро S3, в которое CloudTrail будет передавать файлы журналов.
Это ведро должно существовать и иметь соответствующую политику.
См. http://docs.aws.amazon.com/awscloudtrail/latest/userguide/aggregating_logs_regions_bucket_policy.html
Требуется при state=present
s3_key_prefix
Префикс ключа S3 для передаваемых файлов журналов. Конечный слэш не нужен и будет удалён.
security_token
(добавлено в 1.6)
 Значение по умолчанию:
None
Токен безопасности AWS STS. Если не задан, используется значение переменной окружения AWS_SECURITY_TOKEN или EC2_SECURITY_TOKEN.

Псевдонимы: access_token
sns_topic_name
(добавлено в 2.4)
Имя темы SNS для отправки уведомлений при передаче файла журнала.
state
обязательно
    Варианты:
  • present
  • absent
  • enabled
  • disabled
Добавить или удалить конфигурацию CloudTrail.
Следующие состояния сохранены для обратной совместимости. state=enabled и state=disabled.
enabled=present и disabled=absent.
tags
(добавлено в 2.4)
 Значение по умолчанию:
{}
Хэш/словарь тегов, которые необходимо применить к ресурсу CloudTrail.
Удалите полностью или укажите пустой словарь для удаления всех тегов.
validate_certs
(добавлено в 1.5)
    Варианты:
  • no
  • да ←
При значении "no", сертификаты SSL не будут проверены для версий boto >= 2.6.0.

Примечания

Примечание

  • Если параметры не заданы в модуле, можно использовать следующие переменные окружения в порядке убывания приоритета AWS_URL или EC2_URL, AWS_ACCESS_KEY_ID или AWS_ACCESS_KEY или EC2_ACCESS_KEY, AWS_SECRET_ACCESS_KEY или AWS_SECRET_KEY или EC2_SECRET_KEY, AWS_SECURITY_TOKEN или EC2_SECURITY_TOKEN, AWS_REGION или EC2_REGION
  • Ansible использует файл конфигурации boto (обычно ~/.boto), если данные для аутентификации не предоставлены. См. http://boto.readthedocs.org/en/latest/boto_config_tut.html
  • AWS_REGION или EC2_REGION можно использовать для указания региона AWS, когда это необходимо, но это также можно настроить в файле конфигурации boto

Примеры

- name: create single region cloudtrail
  cloudtrail:
    state: present
    name: default
    s3_bucket_name: mylogbucket
    s3_key_prefix: cloudtrail
    region: us-east-1

- name: create multi-region trail with validation and tags
  cloudtrail:
    state: present
    name: default
    s3_bucket_name: mylogbucket
    region: us-east-1
    is_multi_region_trail: true
    enable_log_file_validation: true
    cloudwatch_logs_role_arn: "arn:aws:iam::123456789012:role/CloudTrail_CloudWatchLogs_Role"
    cloudwatch_logs_log_group_arn: "arn:aws:logs:us-east-1:123456789012:log-group:CloudTrail/DefaultLogGroup:*"
    kms_key_id: "alias/MyAliasName"
    tags:
      environment: dev
      Name: default

- name: show another valid kms_key_id
  cloudtrail:
    state: present
    name: default
    s3_bucket_name: mylogbucket
    kms_key_id: "arn:aws:kms:us-east-1:123456789012:key/12345678-1234-1234-1234-123456789012"
    # simply "12345678-1234-1234-1234-123456789012" would be valid too.

- name: pause logging the trail we just created
  cloudtrail:
    state: present
    name: default
    enable_logging: false
    s3_bucket_name: mylogbucket
    region: us-east-1
    is_multi_region_trail: true
    enable_log_file_validation: true
    tags:
      environment: dev
      Name: default

- name: delete a trail
  cloudtrail:
    state: absent
    name: default

Возвращаемые значения

Общие возвращаемые значения документированы здесь, следующие поля уникальны для данного модуля:

Ключ Возвращаемое значение Описание
exists
bool
 всегда
существует ли ресурс

Пример:
True
trail
complex
 всегда
Подробности ресурса CloudTrail

Пример:
хеш/словарь значений
include_global_service_events
bool
 успех
Включать ли события глобальных сервисов (IAM, STS) в этот трейл

Пример:
True
log_file_validation_enabled
bool
 успех
Включена ли валидация лог-файлов в трейле

Пример:
True
kms_key_id
string
 успех при наличии
Полный ARN ключа KMS, используемого для шифрования лог-файлов.

Пример:
arn:aws:kms::123456789012:key/12345678-1234-1234-1234-123456789012
s3_bucket_name
string
 успех
Имя ведра S3, в которое доставляются лог-файлы

Пример:
myBucket
home_region
string
 успех
Основной регион, в котором трейл был первоначально создан и должен быть изменён.

Пример:
us-east-1
is_logging
bool
 успех
Включено или приостановлено ведение журнала для трейла

Пример:
True
is_multi_region_trail
bool
 успех
Относится ли трейл ко всем регионам или только к одному

Пример:
True
cloud_watch_logs_role_arn
string
 успех при наличии
Полный ARN роли IAM, которую CloudTrail использует для доставки событий.

Пример:
arn:aws:iam::123456789012:role/CloudTrail_CloudWatchLogs_Role
trail_arn
string
 успех
Полный ARN ресурса CloudTrail

Пример:
arn:aws:cloudtrail:us-east-1:123456789012:trail/default
sns_topic_name
string
 успех при наличии
Имя темы SNS, в которую отправляются уведомления о доставке логов.

Пример:
myTopic
s3_key_prefix
string
 успех при наличии
Префикс ключа в ведре, куда доставляются лог-файлы (если есть)

Пример:
myKeyPrefix
name
string
 успех
Имя ресурса CloudTrail

Пример:
default
has_custom_event_selectors
bool
 успех
Используются ли для этого трейла пользовательские селекторы событий?
tags
dict
 успех
хеш/словарь примененных тегов к этому ресурсу

Пример:
{'environment': 'dev', 'Name': 'default'}
cloud_watch_logs_log_group_arn
string
 успех при наличии
Полный ARN группы логов CloudWatch Logs, в которую доставляются события.

Пример:
arn:aws:logs:us-east-1:123456789012:log-group:CloudTrail/DefaultLogGroup:*
sns_topic_arn
string
 успех при наличии
Полный ARN темы SNS, в которую отправляются уведомления о доставке логов.

Пример:
arn:aws:sns:us-east-1:123456789012:topic/myTopic


Статус

Этот модуль помечен как превью, что означает, что его интерфейс не гарантируется обратной совместимости.

Автор

  • Команда Ansible Core
  • Ted Timmons
  • Daniel Shepherd (@shepdelacreme)

Подсказка

Если вы обнаружите какие-либо проблемы в этом руководстве, вы можете отредактировать этот документ, чтобы улучшить его.

© 2012–2018 Michael DeHaan
© 2018–2019 Red Hat, Inc.
Licensed under the GNU General Public License version 3.
https://docs.ansible.com/ansible/2.5/modules/cloudtrail_module.html

Spec-Zone.ru

Настройки Оффлайн Что нового Помощь О нас
Spec-Zone .ru
спецификации, руководства, описания, API