Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

CloudTrail Konzepte

In diesem Abschnitt werden grundlegende Konzepte im Zusammenhang CloudTrail mit zusammengefasst.

CloudTrail Ereignisse

Ein Ereignis in CloudTrail ist die Aufzeichnung einer Aktivität in einem AWS Konto. Bei dieser Aktivität kann es sich um eine Aktion handeln, die von einer IAM-Identität ausgeführt wird, oder um einen Dienst, der überwacht werden kann. CloudTrail CloudTrailEreignisse bieten einen Verlauf sowohl der API- als auch der Nicht-API-Kontoaktivitäten AWS-Managementkonsole, die über AWS SDKs, Befehlszeilentools und andere Dienste durchgeführt wurden. AWS

CloudTrail Protokolldateien sind kein geordneter Stack-Trace der öffentlichen API-Aufrufe, sodass Ereignisse nicht in einer bestimmten Reihenfolge angezeigt werden.

CloudTrail protokolliert vier Arten von Ereignissen:

Alle Ereignistypen verwenden ein CloudTrail JSON-Protokollformat.

Standardmäßig protokollieren Trails und Ereignisdatenspeicher Verwaltungsereignisse, aber keine Daten- oder Insights-Ereignisse.

Hinweise zur AWS-Services Integration mit finden Sie CloudTrail unterAWS Servicethemen für CloudTrail.

Verwaltungsereignisse

Verwaltungsereignisse enthalten Informationen über Verwaltungsvorgänge, die für Ressourcen in Ihrem AWS Konto ausgeführt werden. Sie werden auch als Vorgänge auf Steuerebene bezeichnet.

Beispiele für Verwaltungsereignisse:

Verwaltungsereignisse können auch andere als API-Ereignisse einschließen, die in Ihrem Konto auftreten. Wenn sich beispielsweise ein Benutzer bei Ihrem Konto CloudTrail anmeldet, wird das ConsoleLogin Ereignis protokolliert. Weitere Informationen finden Sie unter Nicht-API-Ereignisse, erfasst von CloudTrail.

Standardmäßig speichern CloudTrail Trails and CloudTrail Lake Event-Daten Verwaltungsereignisse. Weitere Informationen zur Protokollierung von Verwaltungsereignissen finden Sie unterProtokollieren von Verwaltungsereignissen.

Datenereignisse

Datenereignisse liefern Informationen zu Ressourcenoperationen, die für oder innerhalb einer Ressource ausgeführt wurden. Sie werden auch als Vorgänge auf Datenebene bezeichnet. Datenereignisse sind oft Aktivitäten mit hohem Volume.

Beispiele für Datenereignisse:

Die folgende Tabelle zeigt die Ressourcentypen, die für Trails und Event-Datenspeicher verfügbar sind. In der Spalte Ressourcentyp (Konsole) wird die entsprechende Auswahl in der Konsole angezeigt. In der Wertespalte resources.type wird der resources.type Wert angezeigt, den Sie angeben würden, um Datenereignisse dieses Typs mithilfe der oder APIs in Ihren Trail- oder Event-Datenspeicher aufzunehmen. AWS CLI CloudTrail

Für Pfade können Sie einfache oder erweiterte Event-Selektoren verwenden, um Datenereignisse für Amazon S3-Objekte in Allzweck-Buckets, Lambda-Funktionen und DynamoDB-Tabellen (in den ersten drei Zeilen der Tabelle dargestellt) zu protokollieren. Sie können nur erweiterte Event-Selektoren verwenden, um die in den verbleibenden Zeilen angezeigten Ressourcentypen zu protokollieren.

Für Ereignisdatenspeicher können Sie nur erweiterte Ereignisselektoren verwenden, um Datenereignisse einzubeziehen.

Datenereignisse werden unterstützt von AWS CloudTrail

Datenereignisse werden standardmäßig nicht protokolliert, wenn Sie einen Trail oder einen Ereignisdatenspeicher erstellen. Um CloudTrail Datenereignisse aufzuzeichnen, müssen Sie jeden Ressourcentyp, für den Sie Aktivitäten erfassen möchten, explizit hinzufügen. Weitere Informationen zum Protokollieren von Datenereignissen finden Sie unter Protokollieren von Datenereignissen.

Für die Protokollierung von Datenereignissen fallen zusätzliche Gebühren an. Informationen zur CloudTrail Preisgestaltung finden Sie unter AWS CloudTrail Preisgestaltung.

Ereignisse im Zusammenhang mit Netzwerkaktivitäten

CloudTrail Netzwerkaktivitätsereignisse ermöglichen es VPC-Endpunktbesitzern, AWS API-Aufrufe aufzuzeichnen, die mit ihren VPC-Endpunkten von einer privaten VPC an die getätigt wurden. AWS-Service Netzwerkaktivitätsereignisse bieten Einblick in die Ressourcenoperationen, die innerhalb einer VPC ausgeführt werden.

Sie können Netzwerkaktivitätsereignisse für die folgenden Dienste protokollieren:

Netzwerkaktivitätsereignisse werden standardmäßig nicht protokolliert, wenn Sie einen Trail- oder Event-Datenspeicher erstellen. Um CloudTrail Netzwerkaktivitätsereignisse aufzuzeichnen, müssen Sie die Ereignisquelle, für die Sie Aktivitäten erfassen möchten, explizit angeben. Weitere Informationen finden Sie unter Protokollierung von Netzwerkaktivitätsereignissen.

Für die Protokollierung von Netzwerkaktivitätsereignissen fallen zusätzliche Gebühren an. CloudTrail Preisinformationen finden Sie unter AWS CloudTrail Preisgestaltung.

Insights-Veranstaltungen

CloudTrail Insights-Ereignisse erfassen ungewöhnliche API-Aufrufraten oder Fehlerraten in Ihrem AWS Konto, indem sie die CloudTrail Verwaltungsaktivitäten analysieren. Insights-Ereignisse stellen relevante Informationen bereit, z. B. die zugehörige API, den Fehlercode, die Vorfallzeit und Statistiken, die Ihnen helfen, ungewöhnliche Aktivitäten zu verstehen und darauf zu reagieren. Im Gegensatz zu anderen Arten von Ereignissen, die in einem CloudTrail Trail- oder Event-Datenspeicher erfasst werden, werden Insights-Ereignisse nur protokolliert, wenn Änderungen in der API-Nutzung oder der Fehlerratenprotokollierung Ihres Kontos CloudTrail festgestellt werden, die erheblich von den typischen Nutzungsmustern des Kontos abweichen. Weitere Informationen finden Sie unter Mit CloudTrail Insights arbeiten.

Beispiele für Aktivitäten, bei denen ggf. Inights-Ereignisse generiert werden, sind:

Diese Beispiele dienen nur zur Veranschaulichung. Ihre Ergebnisse können je nach Anwendungsfall abweichen.

Um CloudTrail Insights-Ereignisse zu protokollieren, müssen Sie Insights-Ereignisse in einem neuen oder vorhandenen Trail- oder Event-Datenspeicher explizit aktivieren. Weitere Informationen zum Erstellen eines Trails finden Sie unter Einen Trail mit der CloudTrail Konsole erstellen. Weitere Informationen zum Erstellen eines Ereignisdatenspeichers finden Sie unter Erstellen Sie mit der Konsole einen Event-Datenspeicher für Insights-Ereignisse.

Für Insights-Ereignisse fallen zusätzliche Gebühren an. Wenn Sie Insights sowohl für Trails als auch für Ereignisdatenspeicher aktivieren, wird Ihnen eine separate Gebühr in Rechnung gestellt. Weitere Informationen finden Sie unter AWS CloudTrail  – Preise.

Verlauf der Ereignisse

CloudTrail Der Ereignisverlauf bietet eine sichtbare, durchsuchbare, herunterladbare und unveränderliche Aufzeichnung der CloudTrail Managementereignisse der letzten 90 Tage in einem. AWS-Region Anhand dieses Verlaufs können Sie sich einen Überblick über die Aktionen verschaffen, die in Ihrem AWS Konto in den AWS SDKs AWS-Managementkonsole, Befehlszeilentools und anderen Diensten durchgeführt wurden. AWS Sie können Ihre Ansicht des Eventverlaufs in der CloudTrail Konsole anpassen, indem Sie auswählen, welche Spalten angezeigt werden. Weitere Informationen finden Sie unter Mit der CloudTrail Ereignishistorie arbeiten.

Trails

Ein Trail ist eine Konfiguration, die die Übermittlung von CloudTrail Ereignissen an einen S3-Bucket mit optionaler Übermittlung an CloudWatch Logs und Amazon ermöglicht EventBridge. Sie können einen Trail verwenden, um die CloudTrail Ereignisse auszuwählen, die übermittelt werden sollen, Ihre CloudTrail Ereignisprotokolldateien mit einem AWS KMS Schlüssel zu verschlüsseln und Amazon SNS-Benachrichtigungen für die Übermittlung von Protokolldateien einzurichten. Weitere Informationen zum Erstellen und Verwalten eines Trails finden Sie unter Erstellen Sie einen Trail für Ihren AWS-Konto.

Multi-Region und Trails für einzelne Regionen

Sie können sowohl Strecken mit mehreren Regionen als auch mit nur einer Region für Ihre erstellen. AWS-Konto

Ein Pfad mit mehreren Regionen hat die folgenden Vorteile:

Das Erstellen eines Trails mit mehreren Regionen hat die folgenden Auswirkungen:

Unabhängig davon, ob ein Trail aus mehreren Regionen oder aus einer Region besteht, EventBridge werden an Amazon gesendete Ereignisse im Event-Bus jeder Region empfangen und nicht in einem einzelnen Event-Bus.

Mehrere Trails pro Region

Wenn Sie zwar mehrere, aber ähnliche Benutzergruppen (wie Developer, Sicherheitspersonal und IT-Auditoren) haben, können Sie mehrere Trails pro Region erstellen. Auf diese Weise erhält jede Gruppe eine eigene Kopie der Protokolldateien.

CloudTrail unterstützt fünf Trails pro Region. Ein Wanderweg mit mehreren Regionen zählt als ein Weg pro Region.

Das Folgende ist ein Beispiel für eine Region mit fünf Wanderwegen:

Auf der Seite „Wanderwege“ der CloudTrail Konsole kannst du dir eine Liste der Trails AWS-Region in einer anzeigen lassen. Weitere Informationen finden Sie unter Einen Trail mit der CloudTrail Konsole aktualisieren. CloudTrail Preisinformationen findest du unter AWS CloudTrail Preisgestaltung.

Organisatorische Pfade

Ein Organisationspfad ist eine Konfiguration, die die Übertragung von CloudTrail Ereignissen im Verwaltungskonto und allen Mitgliedskonten einer AWS Organizations Organisation an denselben Amazon S3-Bucket, CloudWatch Logs und Amazon ermöglicht EventBridge. Das Erstellen eines Organisations-Trails hilft Ihnen dabei, für Ihre Organisation eine einheitliche Ereignisprotokollierungsstrategie zu definieren.

Bei allen Organisationspfaden, die mit der Konsole erstellt wurden, handelt es sich um regionsübergreifende Organisationspfade, in denen Ereignisse aus den Konten protokolliert werden, die AWS-Regionen in jedem Mitgliedskonto der Organisation aktiviert sind. Um Ereignisse auf allen AWS Partitionen in Ihrer Organisation zu protokollieren, erstellen Sie in jeder Partition einen überregionalen Organisationspfad. Sie können entweder einen Organisationspfad mit einer Region oder mit mehreren Regionen erstellen, indem Sie den verwenden. AWS CLI Wenn du einen Pfad mit einer einzigen Region erstellst, protokollierst du nur Aktivitäten in der Region des Trails AWS-Region (auch als Heimatregion bezeichnet).

Obwohl die meisten Regionen standardmäßig für Sie aktiviert AWS-Regionen sind AWS-Konto, müssen Sie bestimmte Regionen (auch als Opt-in-Regionen bezeichnet) manuell aktivieren. Informationen darüber, welche Regionen standardmäßig aktiviert sind, finden Sie im AWS -Kontenverwaltung Referenzhandbuch unter Überlegungen vor der Aktivierung und Deaktivierung von Regionen. Die Liste der CloudTrail unterstützten Regionen finden Sie unterCloudTrail unterstützte Regionen.

Wenn Sie einen Organisationspfad erstellen, wird eine Kopie des Trails mit dem Namen, den Sie ihm geben, in den Mitgliedskonten Ihrer Organisation erstellt.

Benutzer mit CloudTrail Berechtigungen für Mitgliedskonten können Organisationspfade (einschließlich des Trail-ARN) sehen, wenn sie sich von ihren AWS Konten aus bei der CloudTrail Konsole anmelden oder wenn sie AWS CLI Befehle wie describe-trails (obwohl Mitgliedskonten den ARN für den Organisationspfad verwenden müssen und nicht den Namen, wenn sie den verwenden AWS CLI). Benutzer mit Mitgliedskonten verfügen jedoch nicht über ausreichende Berechtigungen, um Organisationspfade zu löschen, die Anmeldung ein- oder auszuschalten, zu ändern, welche Arten von Ereignissen protokolliert werden, oder Organisationspfade auf andere Weise zu ändern. Weitere Informationen zu AWS Organizations finden Sie unter Terminologie und Konzepte von Organizations. Weitere Informationen zum Erstellen von und zum Arbeiten mit Organisations-Trails finden Sie unter Erstellen eines Trails für eine Organisation.

CloudTrail Lake- und Event-Datenspeicher

CloudTrail Mit Lake können Sie detaillierte SQL-based Abfragen zu Ihren Ereignissen ausführen und Ereignisse aus externen Quellen protokollieren AWS, einschließlich Ihrer eigenen Anwendungen und von Partnern, die in diese integriert sind. CloudTrail Sie müssen in Ihrem Konto keinen Trail konfiguriert haben, um Lake verwenden zu können CloudTrail .

Die Ereignisse werden in Ereignisdatenspeichern zusammengefasst, bei denen es sich um unveränderliche Sammlungen von Ereignissen handelt, die auf Kriterien basieren, die Sie mit Hilfe von erweiterten Ereignisselektoren auswählen. Sie können die Veranstaltungsdaten bis zu 3.653 Tage (etwa 10 Jahre) in einem Event-Datenspeicher aufbewahren, wenn Sie die Option „One-year Erweiterbare Aufbewahrung“ wählen, oder bis zu 2.557 Tage (etwa 7 Jahre), wenn Sie die Preisoption für die Aufbewahrung wählen. Seven-year Sie können Lake-Abfragen für die zukünftige Verwendung speichern und die Ergebnisse von Abfragen bis zu sieben Tage lang anzeigen. Sie können Abfrageergebnisse auch in einem S3-Bucket speichern. CloudTrail Lake kann auch Ereignisse einer Organisation AWS Organizations in einem Event-Datenspeicher oder Ereignisse aus mehreren Regionen und Konten speichern. CloudTrail Lake ist Teil einer Audit-Lösung, die Sie bei der Durchführung von Sicherheitsuntersuchungen und Problembehebungen unterstützt. Weitere Informationen erhalten Sie unter Arbeiten mit AWS CloudTrail See und CloudTrail Konzepte und Terminologie von Seen.

CloudTrail Einblicke

CloudTrail Mithilfe von Insights AWS können Benutzer ungewöhnliche Mengen an API-Aufrufen oder bei API-Aufrufen protokollierte Fehler identifizieren und darauf reagieren, indem CloudTrail Verwaltungsereignisse kontinuierlich analysiert werden. Ein Insights-Ereignis ist eine Aufzeichnung ungewöhnlicher write-Verwaltungs-API-Aktivitäten oder ungewöhnlicher Fehlermengen, die für Verwaltungs-API-Aktivitäten zurückgegeben werden. Standardmäßig protokollieren Trail- und Event-Datenspeicher keine CloudTrail Insights-Ereignisse. In der Konsole können Sie auswählen, ob beim Erstellen oder Aktualisieren eines Trails oder Ereignisdatenspeichers Insights-Ereignisse protokolliert werden sollen. Wenn Sie die CloudTrail API verwenden, können Sie Insights-Ereignisse protokollieren, indem Sie die Einstellungen eines vorhandenen Trail- oder Event-Datenspeichers mit der PutInsightSelectors API bearbeiten. Für die Protokollierung von CloudTrail Insights-Ereignissen fallen zusätzliche Gebühren an. Wenn Sie Insights sowohl für Trails als auch für Ereignisdatenspeicher aktivieren, wird Ihnen eine separate Gebühr in Rechnung gestellt. Weitere Informationen finden Sie unter Mit CloudTrail Insights arbeiten und Preise zu AWS CloudTrail.

Tags (Markierungen)

Ein Tag ist ein vom Kunden definierter Schlüssel und optionaler Wert, der AWS Ressourcen wie CloudTrail Trails, Event-Datenspeichern und Kanälen, S3-Buckets zum Speichern von CloudTrail Protokolldateien, AWS Organizations Organisationen und Organisationseinheiten und vielem mehr zugewiesen werden kann. Indem Sie den Pfaden und den S3-Buckets, die Sie zum Speichern von Protokolldateien für Pfade verwenden, dieselben Tags hinzufügen, können Sie die Verwaltung, Suche und Filterung dieser Ressourcen vereinfachen. AWS -Ressourcengruppen Sie können Tagging-Strategien implementieren, mit deren Hilfe Sie Ihre Ressourcen konsistent, effektiv und leicht finden und verwalten können. Weitere Informationen finden Sie unter Bewährte Methoden für das Taggen von Ressourcen AWS .

AWS -Security-Token-Service und CloudTrail

AWS -Security-Token-Service (AWS STS) ist ein Dienst, der einen globalen Endpunkt hat und auch Region-specific Endpunkte unterstützt. Ein Endpunkt ist eine URL, die als Eintrittspunkt für Webserviceanforderungen fungiert. https://cloudtrail---us-west-2.amazonaws.com.rproxy.goskope.comist beispielsweise der regionale Einstiegspunkt für den AWS CloudTrail Dienst im Westen der USA (Oregon). Regionale Endpunkte reduzieren die Latenzzeiten der Anwendungen.

Wenn Sie einen AWS STS Region-specific Endpunkt verwenden, liefert der Trail in dieser Region nur die AWS STS Ereignisse, die in dieser Region auftreten. Wenn Sie beispielsweise den Endpunkt sts.us-west-2.amazonaws.com nutzen, übermittelt der Trail in „us-west-2“ nur solche AWS STS -Ereignisse, die aus der Region „us-west-2“ stammen. Weitere Informationen zu AWS STS regionalen Endpunkten finden Sie unter Aktivieren und Deaktivieren AWS STS in einer AWS Region im IAM-Benutzerhandbuch.

Eine vollständige Liste der AWS regionalen Endpunkte finden Sie unter AWS Regionen und Endpunkte im. Allgemeine AWS-Referenz Weitere Informationen zu Ereignissen des globalen AWS STS -Endpunkts finden Sie unter Informationen zu globalen Serviceereignissen.

Informationen zu globalen Serviceereignissen

Für die meisten Services werden Ereignisse in der Region aufgezeichnet, in der die Aktion aufgetreten ist. Bei globalen Diensten wie AWS Identity and Access Management (IAM) und Amazon werden Ereignisse an jeden Trail übertragen CloudFront, der globale Dienste beinhaltet. AWS STS

Bei den meisten globalen Serviceen werden Ereignisse als in der Region USA Ost (Nord-Virginia) auftretend protokolliert, aber einige globale Serviceereignisse werden als in anderen Regionen auftretend protokolliert, z. B. in der Region USA Ost (Ohio) oder USA West (Oregon).

Damit die globalen Serviceereignisse nicht mehrfach übermittelt werden, beachten Sie Folgendes:

Beispiel: