AWS根账户登录告警配置最佳方案咨询

实现根账户登录告警的核心思路是通过CloudTrail记录事件、EventBridge匹配触发条件、SNS发送告警通知的组合方案，步骤如下：

• 启用AWS CloudTrail
  首先确保CloudTrail已在你的AWS账户中启用，它会捕获包括根账户控制台登录在内的所有管理事件。建议开启多区域跟踪，避免遗漏不同区域的登录行为。

• 创建EventBridge规则匹配根账户登录事件
  在EventBridge中创建自定义规则，设置事件模式精准匹配根账户的登录行为。以下是针对成功登录的事件模式示例：

  {
    "source": ["aws.signin"],
    "detail-type": ["AWS Console Sign In via CloudTrail"],
    "detail": {
      "eventName": ["ConsoleLogin"],
      "userIdentity": {
        "type": ["Root"]
      },
      "responseElements": {
        "ConsoleLogin": ["Success"]
      }
    }
  }
  

  如果需要监控失败登录尝试，只需将responseElements.ConsoleLogin的值改为["Failure"]即可。

• 配置SNS主题作为告警目标
  创建一个Amazon SNS主题，添加需要接收告警的订阅（比如邮箱、手机号，或者对接Lambda做更复杂的处理）。将上述EventBridge规则的目标设置为这个SNS主题，当匹配到根账户登录事件时，EventBridge会自动触发SNS发送通知。

• 可选：扩展监控能力

  • 可以在CloudWatch中创建仪表盘，添加根账户登录事件的统计指标，直观查看登录行为趋势。
  • 结合Lambda函数，实现更个性化的告警处理（比如发送到企业IM工具、记录到日志系统等）。

• 验证配置有效性
  可以进行一次根账户登录测试（注意操作安全，测试后及时恢复安全设置），检查是否收到SNS告警，同时在CloudTrail的事件历史中确认该登录事件已被记录。

内容的提问来源于stack exchange，提问作者Malik