Bereichern Sie CloudTrail Ereignisse, indem Sie Ressourcen-Tag-Schlüssel und globale IAM-Bedingungsschlüssel hinzufügen

Sie können CloudTrail Verwaltungsereignisse und Datenereignisse erweitern, indem Sie beim Erstellen oder Aktualisieren eines Event-Datenspeichers Ressourcen-Tag-Schlüssel, Prinzipal-Tag-Schlüssel und globale IAM-Bedingungsschlüssel hinzufügen. Auf diese Weise können Sie CloudTrail Ereignisse auf der Grundlage des Geschäftskontextes wie Kostenzuweisung und Finanzmanagement, Betrieb und Datensicherheitsanforderungen kategorisieren, suchen und analysieren. Sie können Ereignisse analysieren, indem Sie Abfragen in CloudTrail Lake ausführen. Sie können sich auch dafür entscheiden, Verbund für einen Ereignisdatenspeicher erstellen Ihren Event-Datenspeicher zu verbinden und Abfragen in Amazon Athena auszuführen. Mithilfe der CloudTrail Konsole und der SDKs können Sie Ressourcen-Tag-Schlüssel und globale IAM-Bedingungsschlüssel zu einem Event-Datenspeicher hinzufügen. AWS CLI

Wenn Sie Ressourcen-Tag-Schlüssel zu angereicherten Ereignissen hinzufügen, CloudTrail schließt dies die ausgewählten Tag-Schlüssel ein, die den Ressourcen zugeordnet sind, die am API-Aufruf beteiligt waren.

Schließt beim Hinzufügen globaler IAM-Bedingungsschlüssel zu einem Event-Datenspeicher Informationen zu den ausgewählten Bedingungsschlüsseln ein, die während des Autorisierungsprozesses ausgewertet wurden, einschließlich zusätzlicher Details zum Prinzipal, zur Sitzung und zur Anfrage selbst. CloudTrail

Fügt nach dem Hinzufügen von Ressourcen-Tag-Schlüsseln oder IAM-Bedingungsschlüsseln ein eventContext Feld in CloudTrail Ereignisse ein, das die ausgewählten Kontextinformationen für die API-Aktion CloudTrail enthält.

Es gibt einige Ausnahmen, bei denen das Ereignis das eventContext Feld nicht enthält, darunter die folgenden:

AWS-Services unterstützende Ressourcen-Tags

Alle AWS-Services unterstützen Ressourcen-Tags. Weitere Informationen finden Sie unter Dienste, die das unterstützen AWS Resource Groups Tagging API.

Aktualisierungen der Ressourcen-Tags CloudTrail für erweiterte Ereignisse

Wenn dies konfiguriert ist, CloudTrail erfasst es Informationen über Ressourcen-Tags und verwendet sie, um Informationen in angereicherten Ereignissen bereitzustellen. Bei der Arbeit mit Ressourcen-Tags gibt es bestimmte Bedingungen, unter denen ein Ressourcen-Tag zum Zeitpunkt der Systemanforderung nach Ereignissen möglicherweise nicht korrekt wiedergegeben wird. Während des Standardbetriebs sind Tags, die bei der Erstellung der Ressource angewendet wurden, immer vorhanden und es kommt zu minimalen oder gar keinen Verzögerungen. Bei den folgenden Diensten wird es jedoch voraussichtlich zu Verzögerungen kommen, wenn Änderungen an den Ressourcen-Tags im Rahmen von CloudTrail Ereignissen auftreten:

Serviceausfälle können auch zu Verzögerungen bei der Aktualisierung der Ressourcen-Tag-Informationen führen. Im Falle eines Serviceausfalls enthalten nachfolgende CloudTrail Ereignisse ein addendum Feld, das Informationen zur Änderung der Ressourcenkennzeichnung enthält. Diese zusätzlichen Informationen werden wie angegeben verwendet, um angereichert CloudTrailevents bereitzustellen.

AWS-Services Unterstützung globaler IAM-Bedingungsschlüssel

Folgendes AWS-Services unterstützt globale IAM-Bedingungsschlüssel für erweiterte Ereignisse:

Unterstützte globale IAM-Bedingungsschlüssel für erweiterte Ereignisse

In der folgenden Tabelle sind die unterstützten globalen IAM-Bedingungsschlüssel für CloudTrail angereicherte Ereignisse mit Beispielwerten aufgeführt:

Beispiele für Ereignisse

Im folgenden Beispiel enthält das eventContext Feld einen globalen IAM-Bedingungsschlüssel aws:ViaAWSService mit dem Wert vonfalse, was darauf hinweist, dass der API-Aufruf nicht von einem erfolgt ist. AWS-Service

{
    "eventVersion": "1.11",
    "userIdentity": {
        "type": "AssumedRole",
        "principalId": "ASIAIOSFODNN7EXAMPLE",
        "arn": "arn:aws:sts::123456789012:assumed-role/admin",
        "accountId": "123456789012",
        "accessKeyId": "ASIAIOSFODNN7EXAMPLE",
        "sessionContext": {
            "sessionIssuer": {
                "type": "Role",
                "principalId": "ASIAIOSFODNN7EXAMPLE",
                "arn": "arn:aws:iam::123456789012:role/admin",
                "accountId": "123456789012",
                "userName": "admin"
            },
            "attributes": {
                "creationDate": "2025-01-22T22:05:56Z",
                "mfaAuthenticated": "false"
            }
        }
    },
    "eventTime": "2025-01-22T22:06:16Z",
    "eventSource": "cloudtrail.amazonaws.com",
    "eventName": "GetTrailStatus",
    "awsRegion": "us-east-1",
    "sourceIPAddress": "192.168.0.0",
    "userAgent": "Mozilla/5.0 (Macintosh; Intel Mac OS X 10.15; rv:133.0) Gecko/20100101 Firefox/133.0",
    "requestParameters": {
        "name": "arn:aws:cloudtrail:us-east-1:123456789012:trail/myTrail"
    },
    "responseElements": null,
    "requestID": "d09c4dd2-5698-412b-be7a-example1a23",
    "eventID": "9cb5f426-7806-46e5-9729-exampled135d",
    "readOnly": true,
    "eventType": "AwsApiCall",
    "managementEvent": true,
    "recipientAccountId": "123456789012",
    "eventCategory": "Management",
    "tlsDetails": {
        "tlsVersion": "TLSv1.3",
        "cipherSuite": "TLS_AES_128_GCM_SHA256",
        "clientProvidedHostHeader": "cloudtrail.us-east-1.amazonaws.com"
    },
    "sessionCredentialFromConsole": "true",
    "eventContext": {
        "requestContext": {
            "aws:ViaAWSService": "false"
        },
        "tagContext": {}
    }
}