CloudWatch Logsの機密情報保護をCloudFormationで設定する #reinvent

Amazon CloudWatch Logsの機密情報保護をCloudFormationで設定してみました。実際に運用する場合に役立つと思います。

AWS re:Invent 2022

#CloudWatch Logs

#Amazon CloudWatch

#AWS CloudFormation

#AWS

藤井元貴

2022.12.06

この記事は公開されてから1年以上経過しています。情報が古い可能性がありますので、ご注意ください。

Amazon CloudWatch Logsで、機密情報を保護できるようになりました。

[アップデート]Amazon CloudWatch Logsでログデータに含まれた機密情報を保護出来るようになりました #reinvent | DevelopersIO

本記事では、CloudFormationでデータ保護を設定してみました。

CloudFormationテンプレート

適当なロググループと動作確認用のIAMロールを作成します。動作確認用のIAMロールには、logs:Unmask権限がありません。

なお、指定するARNは次のドキュメントを参照してください。

Types of data that you can protect - Amazon CloudWatch Logs

AWSTemplateFormatVersion: '2010-09-09'

Parameters:
  LambdaLogGroupNamePrefix:
    Type: String
    Default: /aws/lambda

Resources:
  TestFunctionLogGroup:
    Type: AWS::Logs::LogGroup
    Properties:
      LogGroupName: !Sub ${LambdaLogGroupNamePrefix}/test-2022-12
      DataProtectionPolicy:
        Name: test-2022-12-data-protection-policy
        Version: 2021-06-01
        Statement:
          - DataIdentifier:
              - arn:aws:dataprotection::aws:data-identifier/EmailAddress
            # 監査結果の送信は設定しない
            Operation:
              Audit:
                FindingsDestination: {}
          - DataIdentifier:
              - arn:aws:dataprotection::aws:data-identifier/EmailAddress
            # 監査結果の送信は設定しない
            Operation:
              Deidentify:
                MaskConfig: {}

  # 動作確認用のIAMロール
  CloudWatchReadOnlyMaskRole:
    Type: AWS::IAM::Role
    Properties:
      RoleName: cloudwatch-read-only-mask-role
      AssumeRolePolicyDocument:
        Version: 2012-10-17
        Statement:
          - Effect: Allow
            Action: sts:AssumeRole
            Principal:
              AWS:
                - !Sub ${AWS::AccountId} # 実際には最小限なAssumeRole元を指定してください。
      Policies:
        - PolicyName: cloudwatch-read-only-mask-policy
          PolicyDocument:
            Version: 2012-10-17
            Statement:
              - Effect: Allow
                Action:
                  - logs:DescribeLogGroups
                  - logs:DescribeLogStreams
                  - logs:GetLogEvents
                  # - logs:Unmask   設定しない
                Resource: "*"

デプロイ

aws cloudformation deploy \
    --template-file logs.yaml \
    --stack-name CloudWatch-Data-Protection-Test-Stack \
    --capabilities CAPABILITY_NAMED_IAM \
    --no-fail-on-empty-changeset