教程：使用 CloudWatch Events 监控组织的重要更改

创建跟踪

1. 以组织管理账户的管理员身份登录Amazon，然后通过 https://console.amazonaws.cn/cloudtrail/ 打开 CloudTrail 控制台。

2. 在控制台右上角的导航栏中，选择美国东部（弗吉尼亚北部）区域。如果您选择其他区域，Amazon Organizations 不会在 CloudWatch Events 配置设置中作为一个选项出现，CloudTrail 也不会捕获 Amazon Organizations 的相关信息。

3. 在导航窗格中，选择 Trails。

4. 选择 Create trail (创建跟踪)。

5. 对于 Trail name (跟踪名称)，输入 My-Test-Trail。

6. 执行下列选项之一来指定 CloudTrail 将日志提交到的位置：

   • 如果您已有一个存储桶，选择 Create a new S3 bucket (创建新存储桶) 旁边的 No (否)，然后从 S3 bucket (S3 存储桶) 列表中选择存储桶名称。

   • 如果您需要创建存储桶，请选择 Create a new S3 bucket (创建新存储桶) 旁边的 Yes (是)，然后在 S3 bucket (S3 存储桶) 中输入新存储桶的名称。

     注意

     S3 存储桶的名称必须是全球唯一的。

7. 选择创建。

8. 选择您刚刚创建的 My-Test-Trail 跟踪。

9. 选择 Management events 旁边的铅笔图标。

10. 对于 Read/Write events，依次选择 All、Save、Configure。

创建记录 CloudWatch Events 事件的 Lambda 函数

1. 从 Amazon Lambda 打开 https://console.amazonaws.cn/lambda/ 控制台。

2. 如果您是首次使用 Lambda，请在欢迎页面上选择 Get Started Now (立即开始使用)；否则，选择 Create a function (创建函数)。

3. 在 Create function (创建函数) 页面上，选择 Blueprints (蓝图)。

4. 从 Blueprints (蓝图) 搜索框中，为筛选条件输入 hello，然后选择 hello-world 蓝图。

5. 选择 Configure（配置）。

6. 在 Basic information (基本信息) 页面上，执行以下操作：

   1. 对于 Lambda 函数名称，在 Name (名称) 文本框中输入 LogOrganizationEvents。

   2. 对于 Role (角色)，选择 Create a custom role (创建自定义角色)，然后在 Amazon Lambda requires access to your resources (Amazon Lambda 需要访问您的资源) 页面底部，选择 Allow (允许)。此角色授予您的 Lambda 函数访问所需数据的权限和写入输出日志的权限。

   3. 选择创建函数。

7. 在下一页上，编辑 Lambda 函数的代码，如以下示例所示：

   console.log('Loading function');
   
   exports.handler = async (event, context) => {
       console.log('LogOrganizationsEvents');
       console.log('Received event:', JSON.stringify(event, null, 2));
       return event.key1;  // Echo back the first key value
       // throw new Error('Something went wrong');
   };

   该示例代码使用 LogOrganizationEvents 标记字符串记录事件，后跟组成事件的 JSON 字符串。

8. 选择保存。

创建 Amazon SNS 主题，向订阅者发送电子邮件

1. 从 https://console.amazonaws.cn/sns/v3/ 打开 Amazon SNS 控制台。

2. 在导航窗格中，选择 Topics。

3. 选择 Create new topic (创建新主题)。

   1. 对于 Topic name (主题名称)，输入 OrganizationsCloudWatchTopic。

   2. 对于 Display name (显示名称)，输入 OrgsCWEvnt。

   3. 选择 Create topic (创建主题)。

4. 现在，您可以创建该主题的订阅。选择您刚刚创建的主题的 ARN。

5. 选择 Create subscription。

   1. 在 Create subscription (创建订阅) 页面上，为 Protocol (协议) 选择 Email (电子邮件)。

   2. 对于 Endpoint (终端节点)，输入您的电子邮件地址。

   3. 选择 Create subscription (创建订阅)。Amazon 将向前一步中指定的电子邮件地址发送电子邮件。收到这封电子邮件后，选择电子邮件中的 Confirm subscription (确认订阅) 链接，验证您已成功接收到这封电子邮件。

   4. 返回控制台并刷新页面。Pending confirmation 消息消失，现已替换为有效的订阅 ID。

要创建 CloudWatch Events 规则

1. 从 https://console.amazonaws.cn/cloudwatch/ 打开 CloudWatch 控制台。

2. 和以前一样，您必须将控制台设置为美国东部（弗吉尼亚北部）区域，或有关 Organizations 的信息不可用。在控制台右上角的导航栏中，选择美国东部（弗吉尼亚北部）区域。

3. 在导航窗格中，选择 Rules (规则)，然后选择 Create rule (创建规则)。

4. 对于 Event source (事件源)，执行以下操作：

   1. 选择 Event pattern。

   2. 选择 Build event pattern to match events by service。

   3. 对于 Service Name，选择 Organizations。

   4. 对于 Event Type (事件类型)，选择 Amazon API Call via CloudTrail (通过 CloudTrail 进行的 Amazon API 调用)。

   5. 选择 Specific operation(s) (特定操作)，然后输入您希望监控的 API：CreateAccount 和 CreateOrganizationalUnit。您还可以选择所需的任何其他内容。有关可用 Amazon Organizations API 的完整列表，请参阅 Amazon Organizations API 参考。

5. 在 Targets (目标) 下，对于 Function (函数)，选择您在上一过程中创建的函数。

6. 在 Targets (目标) 下，选择 Add target (添加目标)。

7. 在新目标行中，选择下拉标题，然后选择 SNS topic (SNS 主题)。

8. 对于 Topic (主题)，选择您在上一过程中创建的名为 OrganizationCloudWatchTopic 的主题。

9. 选择 Configure details。

10. 在 Configure rule details (配置规则详细信息) 页面上，对于 Name (名称)，输入 OrgsMonitorRule，将 State (状态) 保持选中状态，然后选择 Create rule (创建规则)。

查看 CloudWatch Events 日志条目

1. 从 https://console.amazonaws.cn/cloudwatch/ 打开 CloudWatch 控制台。

2. 在导航窗格中，选择 Logs (日志)。

3. 在 Log Groups (日志组) 下，选择与您的 Lambda 函数关联的组：/aws/lambda/LogOrganizationEvents。

4. 每个组包含一个或多个流，应该有一个今天的组。选择这个组。

5. 查看日志。您应该可以看到与以下内容类似的行：

   

6. 选择条目中间的行，查看收到事件的完整 JSON 文本。您可以在输出的 requestParameters 和 responseElements 部分查看 API 请求的所有详细信息。

   2017-03-09T22:45:05.101Z 0999eb20-051a-11e7-a426-cddb46425f16 Received event:
   {
       "version": "0",
       "id": "123456-EXAMPLE-GUID-123456",
       "detail-type": "AWS API Call via CloudTrail",
       "source": "aws.organizations",
       "account": "123456789012",
       "time": "2017-03-09T22:44:26Z",
       "region": "us-east-1",
       "resources": [],
       "detail": {
           "eventVersion": "1.04",
           "userIdentity": {
               ...
           },
           "eventTime": "2017-03-09T22:44:26Z",
           "eventSource": "organizations.amazonaws.com",
           "eventName": "CreateOrganizationalUnit",
           "awsRegion": "us-east-1",
           "sourceIPAddress": "192.168.0.1",
           "userAgent": "AWS Organizations Console, aws-internal/3",
           "requestParameters": {
               "parentId": "r-exampleRootId",
               "name": "TestCWEOU"
           },
           "responseElements": {
               "organizationalUnit": {
                   "name": "TestCWEOU",
                   "id": "ou-exampleRootId-exampleOUId",
                   "arn": "arn:aws:organizations::1234567789012:ou/o-exampleOrgId/ou-exampleRootId-exampeOUId"
               }
           },
           "requestID": "123456-EXAMPLE-GUID-123456",
           "eventID": "123456-EXAMPLE-GUID-123456",
           "eventType": "AwsApiCall"
       }
   }

7. 检查您的电子邮件账户是否收到来自 OrgsCWEvnt 的邮件（您的 Amazon SNS 主题的显示名称）。电子邮件正文中包含与上一步所示的日志条目相同的 JSON 文本输出。

清理您的 Amazon 环境

1. 使用 CloudTrail 控制台 删除您通过步骤 1 创建的、名为 My-Test-Trail 的跟踪。

2. 如果您在步骤 1 中创建了 Amazon S3 存储桶，请使用 Amazon S3 控制台将其删除。

3. 使用 Lambda 控制台删除您通过步骤 2 创建的、名为 LogOrganizationEvents 的函数。

4. 使用 Amazon SNS 控制台删除您通过步骤 3 创建的、名为OrganizationsCloudWatchTopic 的 Amazon SNS 主题。

5. 使用 CloudWatch 控制台删除您通过步骤 4 创建的、名为 OrgsMonitorRule 的 CloudWatch 规则。

6. 使用 Organizations 控制台删除您通过步骤 5 创建的、名为 TestCWEOU 的 OU。