Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

CloudTrail Lake-Dashboards

Sie können CloudTrail Lake-Dashboards verwenden, um Veranstaltungstrends für die Ereignisdatenspeicher in Ihrem Konto zu sehen. CloudTrail Lake bietet die folgenden Arten von Dashboards:

Jedes Dashboard besteht aus einem oder mehreren Widgets und jedes Widget bietet eine grafische Darstellung der Ergebnisse einer SQL-Abfrage. Um die Abfrage für ein Widget anzuzeigen, wählen Sie Abfrage anzeigen und bearbeiten, um den Abfrage-Editor zu öffnen.

Wenn ein Dashboard aktualisiert wird, führt CloudTrail Lake Abfragen aus, um die Widgets des Dashboards zu füllen. Da das Ausführen von Abfragen Kosten verursacht, werden Sie CloudTrail aufgefordert, die mit der Ausführung von Abfragen verbundenen Kosten zu bestätigen. Weitere Informationen zur Preisgestaltung finden Sie unter CloudTrail CloudTrail Preisgestaltung.

Voraussetzungen

Für CloudTrail Lake-Dashboards gelten die folgenden Voraussetzungen:

Einschränkungen

Die folgenden Einschränkungen gelten für CloudTrail Lake-Dashboards:

Regionsunterstützung

Die CloudTrail Lake-Dashboards werden überall unterstützt, AWS-Regionen wo CloudTrail Lake unterstützt wird.

Das Widget „Aktivitätsübersicht“ im Highlights-Dashboard wird in den folgenden Regionen unterstützt:

Alle anderen Widgets werden überall unterstützt, AWS-Regionen wo CloudTrail Lake unterstützt wird.

Informationen zu den von CloudTrail Lake unterstützten Regionen finden Sie unterCloudTrail Von Seen unterstützte Regionen.

Erforderliche Berechtigungen

In diesem Abschnitt werden die erforderlichen Berechtigungen für CloudTrail Lake-Dashboards beschrieben und zwei Arten von IAM-Richtlinien erörtert:

Anforderungen an identitätsbasierte Richtlinien

Identitätsbasierte Richtlinien sind JSON-Berechtigungsrichtliniendokumente, die Sie einer Identität anfügen können, wie z. B. IAM-Benutzern, -Benutzergruppen oder -Rollen. Diese Richtlinien steuern, welche Aktionen die Benutzer und Rollen für welche Ressourcen und unter welchen Bedingungen ausführen können. Informationen zum Erstellen identitätsbasierter Richtlinien finden Sie unter Definieren benutzerdefinierter IAM-Berechtigungen mit vom Kunden verwalteten Richtlinien im IAM-Benutzerhandbuch.

Um CloudTrail Lake-Dashboards anzeigen und verwalten zu können, benötigen Sie eine der folgenden Richtlinien:

Erforderliche Berechtigungen für die Erstellung von Dashboards

Die folgende Beispielrichtlinie enthält die erforderlichen Mindestberechtigungen für die Erstellung von Dashboards. Ersetzen Sie partitionregion,account-id, und eds-id durch die Werte für Ihre Konfiguration.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "Statement1",
            "Effect": "Allow",
            "Action": [
                "cloudtrail:CreateDashboard",
                "cloudtrail:StartDashboardRefresh",
                "cloudtrail:StartQuery"
            ],
            "Resource": [
                "arn:partition:cloudtrail:region:account-id:dashboard/*",
                "arn:partition:cloudtrail:region:account-id:eventdatastore/eds-id"
            ]
        }
    ]
}

Erforderliche Berechtigungen für die Aktualisierung von Dashboards

Die folgende Beispielrichtlinie enthält die erforderlichen Mindestberechtigungen für die Aktualisierung von Dashboards. Ersetzen Sie partitionregion,account-id, und eds-id durch die Werte für Ihre Konfiguration.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "Statement1",
            "Effect": "Allow",
            "Action": [
                "cloudtrail:UpdateDashboard",
                "cloudtrail:StartDashboardRefresh",
                "cloudtrail:StartQuery"
            ],
            "Resource": [
                "arn:partition:cloudtrail:region:account-id:dashboard/*",
                "arn:partition:cloudtrail:region:account-id:eventdatastore/eds-id"
            ]
        }
    ]
}

Erforderliche Berechtigungen zum Aktualisieren von Dashboards

Die folgende Beispielrichtlinie enthält die erforderlichen Mindestberechtigungen für die Aktualisierung von Dashboards. Ersetzen Sie partitionregion,account-id,dashboard-name, und eds-id durch die Werte für Ihre Konfiguration.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "Statement1",
            "Effect": "Allow",
            "Action": [
                "cloudtrail:StartDashboardRefresh",
                "cloudtrail:StartQuery"
            ],
            "Resource": [
                "arn:partition:cloudtrail:region:account-id:dashboard/dashboard-name",
                "arn:partition:cloudtrail:region:account-id:eventdatastore/eds-id"
            ]
        }
    ]
}

Ressourcenbasierte Richtlinien für Dashboards und Ereignisdatenspeicher

Ressourcenbasierte Richtlinien sind JSON-Richtliniendokumente, die Sie an eine Ressource anfügen. Beispiele für ressourcenbasierte Richtlinien sind IAM-Rollen-Vertrauensrichtlinien und Amazon-S3-Bucket-Richtlinien. Für die Ressource, an welche die Richtlinie angehängt ist, legt die Richtlinie fest, welche Aktionen ein bestimmter Prinzipal unter welchen Bedingungen für diese Ressource ausführen kann. Sie müssen in einer ressourcenbasierten Richtlinie einen Prinzipal angeben.

Um während einer manuellen oder geplanten Aktualisierung Abfragen in einem Dashboard auszuführen, müssen Sie jedem Ereignisdatenspeicher, der einem Widget auf dem Dashboard zugeordnet ist, eine ressourcenbasierte Richtlinie anhängen. Dadurch kann CloudTrail Lake die Abfragen in Ihrem Namen ausführen. Wenn Sie ein benutzerdefiniertes Dashboard erstellen oder das Highlights-Dashboard über die CloudTrail Konsole aktivieren, CloudTrail haben Sie die Möglichkeit, auszuwählen, auf welche Ereignisdatenspeicher Sie Berechtigungen anwenden möchten. Weitere Informationen zur ressourcenbasierten Richtlinie finden Sie unter. Beispiel: Erlauben Sie CloudTrail die Ausführung von Abfragen zur Aktualisierung eines Dashboards

Um einen Aktualisierungszeitplan für ein Dashboard festzulegen, müssen Sie eine ressourcenbasierte Richtlinie an das Dashboard anhängen, damit CloudTrail Lake das Dashboard in Ihrem Namen aktualisieren kann. Wenn Sie einen Aktualisierungszeitplan für ein benutzerdefiniertes Dashboard festlegen oder das Highlights-Dashboard über die CloudTrail Konsole aktivieren, CloudTrail haben Sie die Möglichkeit, eine ressourcenbasierte Richtlinie an Ihr Dashboard anzuhängen. Eine Beispielrichtlinie finden Sie unter Beispiel für eine ressourcenbasierte Richtlinie für ein Dashboard.

Sie können eine ressourcenbasierte Richtlinie mithilfe der CloudTrail Konsole, der oder der API-Operation AWS CLIanhängen. PutResourcePolicy

KMS-Schlüsselberechtigungen zum Entschlüsseln von Daten in einem Ereignisdatenspeicher

Wenn ein abgefragter Ereignisdatenspeicher mit einem KMS-Schlüssel verschlüsselt ist, stellen Sie sicher, dass die KMS-Schlüsselrichtlinie die Entschlüsselung der Daten im Ereignisdatenspeicher zulässt CloudTrail . Die folgende beispielhafte Richtlinienanweisung ermöglicht es dem CloudTrail Dienstprinzipal, den Ereignisdatenspeicher zu entschlüsseln.

{
      "Sid": "AllowCloudTrailDecryptAccess",
      "Effect": "Allow",
      "Principal": {
          "Service": "cloudtrail.amazonaws.com"
        },
      "Action": "kms:Decrypt",
      "Resource": "*"
}