CloudTrail Konzepte und Terminologie von Seen

Erweiterte Ereignisselektoren bestimmen, welche Ereignisse in einen Ereignisdatenspeicher aufgenommen werden sollen. Erweiterte Ereignisselektoren helfen Ihnen, die Kosten zu kontrollieren, indem sie nur die Ereignisse protokollieren, die für Sie wichtig sind.

Für Verwaltungsereignisse, Datenereignisse und Netzwerkaktivitätsereignisse können Sie erweiterte Ereignisauswahlfunktionen verwenden, um Ereignisse zu filtern. Wenn Sie beispielsweise einen Ereignisdatenspeicher zur Erfassung von Verwaltungsereignissen erstellen, können Sie API Datenereignisse aus AWS Key Management Service (AWS KMS) oder Amazon Relational Database Service (AmazonRDS) herausfiltern. In der Regel GenerateDataKey generieren AWS KMS Aktionen wie EncryptDecrypt, und mehr als 99 Prozent der Ereignisse.

Für AWS Config Konfigurationselemente, Audit Manager Manager-Beweise oder Ereignisse außerhalb von AWS erweiterten Ereignisselektoren werden nur verwendet, um Ereignisse dieses Typs in den Ereignisdatenspeicher aufzunehmen.

Mit Federation können Sie die mit einem Ereignisdatenspeicher verknüpften Metadaten im AWS Glue Datenkatalog anzeigen und mithilfe von Amazon Athena SQL Abfragen für die Ereignisdaten ausführen. Anhand der im AWS Glue Datenkatalog gespeicherten Tabellenmetadaten weiß die Athena-Abfrage-Engine, wie die Daten, die Sie abfragen möchten, gesucht, gelesen und verarbeitet werden.

Wenn Sie den Lake-Abfrageverbund aktivieren, werden die Verbundressourcen in Ihrem Namen CloudTrail erstellt und diese Ressourcen bei registriert. AWS Lake Formation Nachdem Lake-Verbund aktiviert wurde, können Sie Ihre Ereignisdaten direkt in Athena abfragen, ohne zusätzliche Schritte ausführen zu müssen. Weitere Informationen finden Sie unter Verbund für einen Ereignisdatenspeicher erstellen.

Beim Erstellen eines Ereignisdatenspeichers wählen Sie die Preisoption aus, die für den Ereignisdatenspeicher genutzt werden soll. Der Preisoption bestimmt die Kosten für die Erfassung und Speicherung von Ereignissen sowie die standardmäßige und maximale Aufbewahrungsdauern für den Ereignisdatenspeicher. Informationen zu Preisen erhalten Sie unter AWS CloudTrail -Preise und Verwaltung der CloudTrail Seekosten.

Die Aufbewahrungsdauer eines Ereignisdatenspeichers bestimmt, wie lange Ereignisdaten im Ereignisdatenspeicher aufbewahrt werden. CloudTrail Lake bestimmt, ob ein Ereignis aufbewahrt werden soll, indem es prüft, ob das Ereignis innerhalb der angegebenen Aufbewahrungsfrist liegt. eventTime Wenn Sie beispielsweise einen Aufbewahrungszeitraum von 90 Tagen angeben, CloudTrail werden Ereignisse entfernt, wenn sie eventTime älter als 90 Tage sind.

Die Standardaufbewahrungsdauer eines Ereignisdatenspeichers ist die Standardanzahl von Tagen, an denen Ereignisdaten im Ereignisdatenspeicher aufbewahrt werden. Während der standardmäßigen Aufbewahrungsdauer eines Ereignisdatenspeichers ist der Speicherplatz ohne zusätzliche Kosten im Erfassungspreis enthalten. Nach Ablauf der standardmäßigen Aufbewahrungsfrist beträgt der Speicherpreis pay-as-you-go.

Die maximale Aufbewahrungsdauer eines Ereignisdatenspeichers entspricht der maximalen Anzahl von Tagen, an denen Sie Daten in einem Ereignisdatenspeicher aufbewahren können.

Standardmäßig aktivieren Ereignisdatenspeicher den Beendigungsschutz, der verhindert, dass ein Ereignisdatenspeicher versehentlich gelöscht wird. Um einen Ereignisdatenspeicher mit aktiviertem Beendigungsschutz zu löschen, wählen Sie auf der Detailseite des Ereignisdatenspeichers im Menü Aktionen die Option Beendigungsschutz ändern aus. Anschließend können Sie mit dem Löschen des Ereignisdatenspeichers fortfahren. Weitere Informationen finden Sie unter Ändern Sie den Kündigungsschutz mit der Konsole.

Es gibt zwei Arten von Integrationen: direkt und Lösung. Bei direkten Integrationen ruft der Partner den PutAuditEvents API Vorgang auf, um Ereignisse für Sie AWS-Konto in den Ereignisdatenspeicher zu übertragen. Bei Lösungsintegrationen wird die Anwendung in Ihrem ausgeführt AWS-Konto und die Anwendung ruft den PutAuditEvents API Vorgang auf, um Ereignisse für Sie in den Ereignisdatenspeicher zu übertragen. AWS-Konto

Organisieren Sie Ereignisse aus Quellen außerhalb der AWS Arbeit, indem Sie Kanäle verwenden, um Ereignisse von externen Partnern, die mit Ihnen zusammenarbeiten CloudTrail, oder aus Ihren eigenen Quellen nach CloudTrail Lake zu bringen. Wenn Sie einen Kanal erstellen, wählen Sie einen oder mehrere Ereignisdatenspeicher aus, um Ereignisse zu speichern, die von der Kanalquelle stammen. Sie können die Zielereignisdatenspeicher für einen Kanal nach Bedarf ändern, sofern die Zielereignisdatenspeicher so eingestellt sind, dass sie eventCategory="ActivityAuditLog"-Ereignisse protokollieren. Wenn Sie einen Channel für Events von einem externen Partner erstellen, stellen Sie dem Partner oder der Quellanwendung einen Channel Amazon Resource Name (ARN) zur Verfügung.

Ressourcenbasierte Richtlinien sind JSON Richtliniendokumente, die Sie an eine Ressource anhängen. Die dem Kanal beigefügte ressourcenbasierte Richtlinie ermöglicht es der Quelle, Ereignisse über den Kanal zu übertragen. Wenn ein Kanal keine Ressourcenrichtlinie hat, kann nur der Kanalbesitzer den PutAuditEvents API Vorgang für den Kanal aufrufen. Weitere Informationen finden Sie unter AWS CloudTrail Beispiele für ressourcenbasierte Richtlinien.

Die verfügbaren Dashboard-Typen für einen Ereignisdatenspeicher hängen von der Konfiguration der erweiterten Ereignisselektoren des Ereignisdatenspeichers ab. Wenn ein Dashboard-Typ beispielsweise Informationen über CloudTrail Verwaltungsereignisse anzeigt, können Sie das Dashboard nur auswählen, wenn der aktuell ausgewählte Ereignisdatenspeicher CloudTrail Verwaltungsereignisse sammelt.

Die folgenden Dashboard-Typen sind verfügbar:

Widgets sind die Komponenten, aus denen ein Dashboard besteht und die eine Visualisierung ermöglichen, z. B. ein Linien- oder Balkendiagramm. Jedes Widget steht für eine zugrunde liegende Abfrage. Wenn Sie Abfragen ausführen wählen, CloudTrail wird eine vom System generierte Abfrage ausgeführt, um die Daten für jedes Widget aufzufüllen.