Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Erstellen Sie einen Ereignisdatenspeicher mit dem AWS CLI

In diesem Abschnitt wird beschrieben, wie der create-event-data-storeBefehl zum Erstellen eines Ereignisdatenspeichers verwendet wird, und es werden Beispiele für verschiedene Arten von Ereignisdatenspeichern bereitgestellt, die Sie erstellen können.

Beim Erstellen eines Ereignisdatenspeichers ist der einzige erforderliche Parameter der --name, der zur Identifizierung des Ereignisdatenspeichers verwendet wird. Sie können zusätzliche optionale Parameter konfigurieren, darunter:

Die folgenden Beispiele veranschaulichen, wie Sie verschiedene Typen von Ereignisdatenspeichern erstellen können.

Erstellen Sie einen Ereignisdatenspeicher für S3-Datenereignisse mit dem AWS CLI

Der folgende create-event-data-store Beispielbefehl AWS Command Line Interface (AWS CLI) erstellt einen Ereignisdatenspeicher mit dem Namenmy-event-data-store, der alle Amazon S3 S3-Datenereignisse auswählt und mit einem KMS Schlüssel verschlüsselt wird.

aws cloudtrail create-event-data-store \
--name my-event-data-store \
--kms-key-id "arn:aws:kms:us-east-1:123456789012:alias/KMS_key_alias" \
--advanced-event-selectors '[
        {
            "Name": "Select all S3 data events",
            "FieldSelectors": [
                { "Field": "eventCategory", "Equals": ["Data"] },
                { "Field": "resources.type", "Equals": ["AWS::S3::Object"] },
                { "Field": "resources.ARN", "StartsWith": ["arn:aws:s3"] }
            ]
        }
    ]'

Nachfolgend finden Sie eine Beispielantwort.

{
    "EventDataStoreArn": "arn:aws:cloudtrail:us-east-1:123456789012:eventdatastore/EXAMPLE-ee54-4813-92d5-999aeEXAMPLE",
    "Name": "my-event-data-store",
    "Status": "CREATED",
    "AdvancedEventSelectors": [
        {
            "Name": "Select all S3 data events",
            "FieldSelectors": [
                {
                    "Field": "eventCategory",
                    "Equals": [
                        "Data"
                    ]
                },
                {
                    "Field": "resources.type",
                    "Equals": [
                        "AWS::S3::Object"
                    ]
                },
                {
                    "Field": "resources.ARN",
                    "StartsWith": [
                        "arn:aws:s3"
                    ]
                }
            ]
        }
    ],
    "MultiRegionEnabled": true,
    "OrganizationEnabled": false,
    "BillingMode": "EXTENDABLE_RETENTION_PRICING",
    "RetentionPeriod": 366,
    "KmsKeyId": "arn:aws:kms:us-east-1:123456789012:alias/KMS_key_alias",
    "TerminationProtectionEnabled": true,
    "CreatedTimestamp": "2023-11-09T22:19:39.417000-05:00",
    "UpdatedTimestamp": "2023-11-09T22:19:39.603000-05:00"
}

Erstellen Sie einen Ereignisdatenspeicher für KMS Netzwerkaktivitätsereignisse mit dem AWS CLI

Das folgende Beispiel zeigt, wie Sie einen Ereignisdatenspeicher erstellen, der VpceAccessDenied Netzwerkaktivitätsereignisse für enthält AWS KMS. In diesem Beispiel wird das errorCode Feld auf VpceAccessDenied Ereignisse und das eventSource Feld auf gleich gesetztkms.amazonaws.com.

aws cloudtrail create-event-data-store \
--name EventDataStoreName \
--advanced-event-selectors '[
     {
        "Name": "Audit AccessDenied AWS KMS events over a VPC endpoint",
        "FieldSelectors": [
            {
                "Field": "eventCategory",
                "Equals": ["NetworkActivity"]
            },
            {
                "Field": "eventSource",
                "Equals": ["kms.amazonaws.com"]
            },
            {
                "Field": "errorCode",
                "Equals": ["VpceAccessDenied"]
            }
        ]
    }
]'

Der Befehl gibt die folgende Beispielausgabe zurück.

{
    "EventDataStoreArn": "arn:aws:cloudtrail:us-east-1:111122223333:eventdatastore/EXAMPLEb4a8-99b1-4ec2-9258-EXAMPLEc890",
    "Name": "EventDataStoreName",
    "Status": "CREATED",
    "AdvancedEventSelectors": [
        {
            "Name": "Audit AccessDenied AWS KMS events over a VPC endpoint",
            "FieldSelectors": [
                {
                    "Field": "eventCategory",
                    "Equals": [
                        "NetworkActivity"
                    ]
                },
                {
                    "Field": "eventSource",
                    "Equals": [
                        "kms.amazonaws.com"
                    ]
                },
                {
                    "Field": "errorCode",
                    "Equals": [
                        "VpceAccessDenied"
                    ]
                }
            ]
        }
    ],
    "MultiRegionEnabled": true,
    "OrganizationEnabled": false,
    "RetentionPeriod": 366,
    "TerminationProtectionEnabled": true,
    "CreatedTimestamp": "2024-05-20T21:00:17.673000+00:00",
    "UpdatedTimestamp": "2024-05-20T21:00:17.820000+00:00"
}

Weitere Hinweise zu Netzwerkaktivitätsereignissen finden Sie unterProtokollierung von Netzwerkaktivitätsereignissen.

Erstellen Sie einen Ereignisdatenspeicher für AWS Config Konfigurationselemente mit dem AWS CLI

Der folgende AWS CLI create-event-data-store Beispielbefehl erstellt einen Ereignisdatenspeicher mit dem Namenconfig-items-eds, der AWS Config Konfigurationselemente auswählt. Um Konfigurationselemente zu erfassen, geben Sie an, dass das Feld eventCategory dem ConfigurationItem in den erweiterten Ereignisselektoren entspricht.

aws cloudtrail create-event-data-store \
--name config-items-eds \
--advanced-event-selectors '[
    {
        "Name": "Select AWS Config configuration items",
        "FieldSelectors": [
            { "Field": "eventCategory", "Equals": ["ConfigurationItem"] }
        ]
    }
]'

Nachfolgend finden Sie eine Beispielantwort.

{
    "EventDataStoreArn": "arn:aws:cloudtrail:us-east-1:123456789012:eventdatastore/EXAMPLE-ee54-4813-92d5-999aeEXAMPLE",
    "Name": "config-items-eds",
    "Status": "CREATED",
    "AdvancedEventSelectors": [
        {
            "Name": "Select AWS Config configuration items",
            "FieldSelectors": [
                {
                    "Field": "eventCategory",
                    "Equals": [
                        "ConfigurationItem"
                    ]
                }
            ]
        }
    ],
    "MultiRegionEnabled": true,
    "OrganizationEnabled": false,
    "BillingMode": "EXTENDABLE_RETENTION_PRICING",
    "RetentionPeriod": 366,
    "TerminationProtectionEnabled": true,
    "CreatedTimestamp": "2023-11-07T19:03:24.277000+00:00",
    "UpdatedTimestamp": "2023-11-07T19:03:24.468000+00:00"
}

Erstellen Sie einen Datenspeicher für Organisationsereignisse für Verwaltungsereignisse mit dem AWS CLI

Der folgende AWS CLI create-event-data-store Beispielbefehl erstellt einen Datenspeicher für Organisationsereignisse, der alle Verwaltungsereignisse sammelt und den --billing-mode Parameter auf festlegtFIXED_RETENTION_PRICING.

aws cloudtrail create-event-data-store --name org-management-eds --organization-enabled --billing-mode FIXED_RETENTION_PRICING

Nachfolgend finden Sie eine Beispielantwort.

{
    "EventDataStoreArn": "arn:aws:cloudtrail:us-east-1:123456789012:eventdatastore/EXAMPLE6-d493-4914-9182-e52a7934b207",
    "Name": "org-management-eds",
    "Status": "CREATED",
    "AdvancedEventSelectors": [
        {
            "Name": "Default management events",
            "FieldSelectors": [
                {
                    "Field": "eventCategory",
                    "Equals": [
                        "Management"
                    ]
                }
            ]
        }
    ],
    "MultiRegionEnabled": true,
    "OrganizationEnabled": true,
    "BillingMode": "FIXED_RETENTION_PRICING",
    "RetentionPeriod": 2557,
    "TerminationProtectionEnabled": true,
    "CreatedTimestamp": "2023-11-16T15:30:50.689000+00:00",
    "UpdatedTimestamp": "2023-11-16T15:30:50.851000+00:00"
}

Erstellen Sie Ereignisdatenspeicher für Insights-Ereignisse mit dem AWS CLI

Um Insights-Ereignisse in CloudTrail Lake zu protokollieren, benötigen Sie einen Ziel-Ereignisdatenspeicher, der Insights-Ereignisse sammelt, und einen Quell-Ereignisdatenspeicher, der Insights aktiviert und Verwaltungsereignisse protokolliert.

Dieses Verfahren zeigt, wie Sie die Ziel- und Quellereignisdatenspeicher erstellen und anschließend Insights-Ereignisse aktivieren.

Für die Aufnahme von Insights-Veranstaltungen in Lake fallen zusätzliche Gebühren an CloudTrail . Wenn Sie Insights sowohl für Trails als auch für Ereignisdatenspeicher aktivieren, wird Ihnen eine separate Gebühr in Rechnung gestellt. Informationen zur CloudTrail Preisgestaltung finden Sie unter AWS CloudTrail Preise.