Erstellen Sie mit der Konsole einen Event-Datenspeicher für CloudTrail Ereignisse

Melden Sie sich bei der an AWS-Managementkonsole und öffnen Sie die CloudTrail Konsole unter https://console.aws.amazon.com/cloudtrail/.

Wählen Sie im Navigationsbereich unter Lake die Option Ereignisdatenspeicher aus.

Wählen Sie Ereignisdatenspeicher erstellen aus.

Geben Sie auf der Seite Konfigurieren eines Ereignisdatenspeichers in Allgemeine Angaben einen Namen für den Ereignisdatenspeicher ein. Ein Name ist erforderlich.

Wählen Sie die Preisoption aus, die Sie für den Ereignisdatenspeicher verwenden möchten. Der Preisoption bestimmt die Kosten für die Erfassung und Speicherung von Ereignissen sowie die standardmäßige und maximale Aufbewahrungsdauern für Ihren Ereignisdatenspeicher. Weitere Informationen finden Sie unter AWS CloudTrail -Preise und Verwaltung der CloudTrail Seekosten.

Die folgenden Optionen sind verfügbar:

Geben Sie einen Aufbewahrungszeitraum für den Ereignisdatenspeicher an. Die Aufbewahrungsfristen können zwischen 7 Tagen und 3.653 Tagen (etwa 10 Jahre) für die Option mit One-year erweiterbarer Aufbewahrungsgebühr oder zwischen 7 Tagen und 2.557 Tagen (etwa sieben Jahre) für die Preisoption für die Aufbewahrung liegen. Seven-year

CloudTrail Lake bestimmt, ob ein Ereignis gespeichert werden soll, indem es prüft, ob das Ereignis innerhalb eventTime des angegebenen Aufbewahrungszeitraums liegt. Wenn Sie beispielsweise eine Aufbewahrungsfrist von 90 Tagen angeben, CloudTrail werden Ereignisse entfernt, wenn sie eventTime älter als 90 Tage sind.

(Optional) Um die Verschlüsselung mithilfe von Use my own zu aktivieren AWS Key Management Service, wählen Sie Eigene verwenden aus AWS KMS key. Wählen Sie „Neu“, um einen für Sie AWS KMS key erstellen zu lassen, oder wählen Sie „Vorhanden“, um einen vorhandenen KMS-Schlüssel zu verwenden. Geben Sie im Feld KMS-Alias eingeben einen Alias im folgenden Format an alias/MyAliasName. Wenn Sie Ihren eigenen KMS-Schlüssel verwenden, müssen Sie Ihre KMS-Schlüsselrichtlinie bearbeiten, damit Ihr Event-Datenspeicher ver- und entschlüsselt werden kann. Weitere Informationen finden Sie unterKonfiguration AWS KMS wichtige Richtlinien für CloudTrail. CloudTrail unterstützt auch Schlüssel AWS KMS für mehrere Regionen. Weitere Informationen finden Sie über Multi-Regions-Schlüssel finden Sie unter Verwenden von Schlüsseln für mehrere Regionen im AWS Key Management Service -Entwicklerhandbuch.

Die Verwendung Ihres eigenen KMS-Schlüssels verursacht AWS KMS Kosten für die Verschlüsselung und Entschlüsselung. Nachdem Sie einen KMS-Schlüssel einem Ereignisdatenspeicher zugeordnet haben, kann der KMS-Schlüssel nicht entfernt oder geändert werden.

(Optional) Wenn Sie Ihre Ereignisdaten mit Amazon Athena abfragen möchten, wählen Sie Aktivieren in Lake-Abfrageverbund. Mit Verbund können Sie die mit einem Ereignisdatenspeicher verbundenen Metadaten im AWS Glue -Datenkatalog einsehen und mit Amazon Athena SQL-Abfragen zu den Ereignisdaten durchführen. Anhand der im AWS Glue Datenkatalog gespeicherten Tabellenmetadaten weiß die Athena-Abfrage-Engine, wie sie die Daten, die Sie abfragen möchten, findet, liest und verarbeitet. Weitere Informationen finden Sie unter Verbund für einen Ereignisdatenspeicher erstellen.

Wählen Sie Aktivieren und gehen Sie wie folgt vor, um Lake-Abfrageverbund zu aktivieren:

1. Wählen Sie aus, ob Sie eine neue Rolle erstellen oder eine vorhandene IAM-Rolle verwenden möchten. AWS Lake Formation verwendet diese Rolle, um die Berechtigungen für den Verbundereignisdatenspeicher zu verwalten. Wenn Sie mithilfe der CloudTrail Konsole eine neue Rolle erstellen, CloudTrail wird automatisch eine Rolle mit den erforderlichen Berechtigungen erstellt. Wenn Sie eine bestehende Rolle auswählen, stellen Sie sicher, dass die Richtlinie für die Rolle die erforderlichen Mindestberechtigungen vorsieht.

2. Wenn Sie eine neue Rolle erstellen, geben Sie einen Namen zur Identifizierung der Rolle ein.

3. Wenn Sie eine bestehende Rolle verwenden, wählen Sie die Rolle aus, die Sie verwenden möchten. Die Rolle muss in Ihrem Konto vorhanden sein.

(Optional) Wählen Sie Ressourcenrichtlinie aktivieren, um Ihrem Event-Datenspeicher eine ressourcenbasierte Richtlinie hinzuzufügen. Resource-based Mithilfe von Richtlinien können Sie steuern, welche Principals Aktionen in Ihrem Event-Datenspeicher ausführen können. Sie können beispielsweise eine ressourcenbasierte Richtlinie hinzufügen, die es Root-Benutzern in anderen Konten ermöglicht, diesen Event-Datenspeicher abzufragen und die Abfrageergebnisse anzuzeigen. Beispiele für Richtlinien finden Sie unter Resource-based Beispiele für Richtlinien für Event-Datenspeicher.

Eine ressourcenbasierte Richtlinie umfasst eine oder mehrere Anweisungen. Jede Anweisung in der Richtlinie definiert die Principals, denen der Zugriff auf den Event-Datenspeicher gewährt oder verweigert wird, sowie die Aktionen, die die Principals mit der Event-Datenspeicher-Ressource ausführen können.

Die folgenden Aktionen werden in ressourcenbasierten Richtlinien für Event-Datenspeicher unterstützt:

CloudTrail Erstellt für Event-Datenspeicher der Organisation eine ressourcenbasierte Standardrichtlinie, die die Aktionen auflistet, die die delegierten Administratorkonten in den Event-Datenspeichern der Organisation ausführen dürfen. Die Berechtigungen in dieser Richtlinie werden von den delegierten Administratorberechtigungen in abgeleitet. AWS Organizations Diese Richtlinie wird automatisch aktualisiert, wenn Änderungen am Event-Datenspeicher der Organisation oder an der Organisation vorgenommen werden (z. B. wenn ein CloudTrail delegiertes Administratorkonto registriert oder entfernt wird).

(Optional) Im Bereich Tags können Sie bis zu 50 Tag-Schlüssel-Paare hinzufügen, um den Zugriff auf den Ereignisdatenspeicher festzulegen, zu sortieren und zu steuern. Weitere Informationen darüber, wie Sie IAM-Richtlinien verwenden, um den Zugriff auf einen Ereignisdatenspeicher basierend auf Tags zu autorisieren, finden Sie unter Beispiele: Verweigern des Zugriffs zum Erstellen oder Löschen von Ereignisdatenspeichern basierend auf Tags. Weitere Informationen zur Verwendung von Stichwörtern finden Sie unter Tagging AWS Resources im Tagging AWS Resources User Guide. AWS

Wählen Sie Next (Weiter) aus, um den Ereignisdatenspeicher zu konfigurieren.

Wählen Sie auf der Seite „Ereignisse auswählen“ die Option „AWS Ereignisse“ und dann „CloudTrailEreignisse“ aus.

Wählen Sie für CloudTrail Ereignisse mindestens einen Ereignistyp aus. Verwaltungsereignisse ist standardmäßig ausgewählt. Sie können Ihrem Event-Datenspeicher Verwaltungsereignisse, Datenereignisse und Netzwerkaktivitätsereignisse hinzufügen.

(Optional) Wählen Sie Trail-Ereignisse kopieren, wenn Sie Ereignisse aus einem vorhandenen Trail kopieren möchten, um Abfragen für vergangene Ereignisse auszuführen. Um Trail-Ereignisse in den Ereignisdatenspeicher einer Organisation zu kopieren, müssen Sie das Verwaltungskonto der Organisation verwenden. Über das Konto eines delegierten Administrators können Trail-Ereignisse nicht in den Ereignisdatenspeicher einer Organisation kopiert werden. Weitere Informationen zu Überlegungen zum Kopieren von Trail-Ereignissen finden Sie unter Überlegungen zum Kopieren von Trail-Ereignissen.

Damit Ihr Ereignisdatenspeicher Ereignisse von allen Konten in einer AWS Organizations -Organisation erfasst, wählen Sie Für alle Konten in meiner Organisation aktivieren aus. Sie müssen beim Verwaltungskonto oder beim Konto eines delegierten Administrators der Organisation angemeldet sein, um einen Ereignisdatenspeicher zu erstellen, der Ereignisse für eine Organisation erfasst.

Erweitern Sie Zusätzliche Einstellungen, um auszuwählen, ob Ihr Event-Datenspeicher Ereignisse für alle AWS-Regionen oder nur für die aktuellen Ereignisse erfassen soll AWS-Region, und wählen Sie aus, ob der Event-Datenspeicher Ereignisse aufnimmt. Standardmäßig erfasst der Ereignisdatenspeicher Ereignisse aus allen Regionen in Ihrem Konto und beginnt ab der Erstellung damit, Ereignisse aufzunehmen.

1. Wählen Sie Nur die aktuelle Region in meinen Ereignisdatenspeicher einbeziehen aus, um nur Ereignisse einzubeziehen, die in der aktuellen Region protokolliert werden. Wenn Sie diese Option nicht auswählen, enthält der Ereignisdatenspeicher Ereignisse aus allen Regionen.

2. Deaktivieren Sie die Option Ereignisse aufnehmen, wenn Sie nicht möchten, dass der Ereignisdatenspeicher mit der Aufnahme von Ereignissen beginnt. Es könnte zum Beispiel sinnvoll sein, die Option Ereignisse aufnehmen zu deaktivieren, wenn Sie Trail-Ereignisse kopieren und nicht möchten, dass der Ereignisdatenspeicher zukünftige Ereignisse enthält. Standardmäßig beginnt der Ereignisdatenspeicher mit der Aufnahme von Ereignissen, wenn er erstellt wird.

Wenn Ihr Ereignisdatenspeicher Verwaltungsereignisse enthält, haben Sie folgende Optionen zur Wahl. Weitere Informationen zur Verwaltungsereignissen finden Sie unter Protokollieren von Verwaltungsereignissen.

1. Wählen Sie zwischen „Einfache Ereigniserfassung“ oder „Erweiterte Ereigniserfassung“:

   • Wählen Sie Einfache Ereigniserfassung, wenn Sie alle Ereignisse, nur Leseereignisse oder nur Schreibereignisse protokollieren möchten. Sie können auch Amazon RDS Data API-Ereignisse ausschließen AWS Key Management Service .

   • Wählen Sie Erweiterte Ereigniserfassung, wenn Sie Managementereignisse auf der Grundlage der Werte der Felder für die erweiterte Ereignisauswahl, einschließlich der Felder,, unduserIdentity.arn,,,,,,,,,,,,,,,,,,,,,,,eventName,,,,eventType,,eventSource,,sessionCredentialFromConsole,,,,,,

2. Wenn Sie Einfache Ereigniserfassung ausgewählt haben, wählen Sie aus, ob Sie alle Ereignisse, nur Leseereignisse oder nur Schreibereignisse protokollieren möchten. Sie können auch Amazon RDS Data API-Ereignisse ausschließen AWS KMS .

3. Wenn Sie die erweiterte Ereigniserfassung ausgewählt haben, treffen Sie die folgenden Auswahlen:

   1. Wählen Sie unter Vorlage für die Protokollauswahl eine vordefinierte Vorlage aus, oder wählen Sie Benutzerdefiniert, um eine benutzerdefinierte Konfiguration auf der Grundlage erweiterter Feldwerte für die Ereignisauswahl zu erstellen.

      Sie können aus den folgenden vordefinierten Vorlagen wählen:

      • Alle Ereignisse protokollieren: Wählen Sie diese Vorlage, um alle Ereignisse zu protokollieren.

      • Nur Leseereignisse protokollieren — Wählen Sie diese Vorlage, um nur Leseereignisse zu protokollieren. Read-only Ereignisse sind Ereignisse, die den Status einer Ressource nicht ändern, wie z. B. Get* Describe* OR-Ereignisse.

      • Nur Schreibereignisse protokollieren — Wählen Sie diese Vorlage, um nur Schreibereignisse zu protokollieren. Schreibereignisse fügen Ressourcen, Attribute oder Artefakte hinzu, ändern oder löschen sie, wie z. B. Put*-, Delete*- oder Write*-Ereignisse.

      • Nur AWS-Managementkonsole Ereignisse protokollieren — Wählen Sie diese Vorlage, um nur Ereignisse zu protokollieren, die aus dem stammen AWS-Managementkonsole.

      • AWS-Service Ausgelöste Ereignisse ausschließen — Wählen Sie diese Vorlage, um AWS-Service Ereignisse, die ein eventType „Von“ haben, und EreignisseAwsServiceEvent, die mit AWS-Service-linked Roles (SLRs) initiiert wurden, auszuschließen.

   2. (Optional) Geben Sie unter Selektorname einen Namen ein, um Ihre Auswahl zu identifizieren. Der Name des Selektors ist ein beschreibender Name für einen erweiterten Event-Selektor, wie z. B. „Verwaltungsereignisse aus Sitzungen protokollieren“. AWS-Managementkonsole Der Name des Selektors wird als Name in der erweiterten Ereignisauswahl aufgeführt und ist sichtbar, wenn Sie die JSON-Ansicht erweitern.

   3. Wenn Sie Benutzerdefiniert ausgewählt haben, erstellen Event-Selektoren unter „Erweitert“ einen Ausdruck, der auf den Feldwerten des erweiterten Event-Selektors basiert.

      Anmerkung

      Selektoren unterstützen nicht die Verwendung von Platzhaltern wie. * Um mehrere Werte mit einer einzigen Bedingung abzugleichen, können SieStartsWith,, oder verwenden EndsWithNotStartsWith, NotEndsWith um explizit den Anfang oder das Ende des Ereignisfeldes abzugleichen.

      1. Wählen Sie aus den folgenden Feldern.

         • readOnly— readOnly kann so gesetzt werden, dass es einem Wert von true oder false entspricht. Wenn sie auf gesetzt istfalse, protokolliert der Event-Datenspeicher Write-only Verwaltungsereignisse. Read-only Verwaltungsereignisse sind Ereignisse, die den Status einer Ressource nicht ändern, wie z. B. Get* Describe* OR-Ereignisse. Schreibereignisse fügen Ressourcen, Attribute oder Artefakte hinzu, ändern oder löschen sie, wie z. B. Put*-, Delete*- oder Write*-Ereignisse. Fügen Sie keinen readOnly Selektor hinzu, um sowohl Lese- als auch Schreibereignisse zu protokollieren.

         • eventName— eventName kann einen beliebigen Operator verwenden. Sie können ihn verwenden, um jedes Verwaltungsereignis wie CreateAccessPoint oder ein- oder auszuschließenGetAccessPoint.

         • userIdentity.arn— Schließen Sie Ereignisse für Aktionen ein oder aus, die von bestimmten IAM-Identitäten ausgeführt wurden. Weitere Informationen finden Sie unter CloudTrail -Element userIdentity.

         • sessionCredentialFromConsole— Schließt Ereignisse ein oder aus, die aus einer AWS-Managementkonsole Sitzung stammen. Dieses Feld kann auf „gleich“ oder „ungleich“ mit einem Wert von gesetzt werden. true

         • eventSource— Sie können es verwenden, um bestimmte Ereignisquellen ein- oder auszuschließen. Das eventSource ist in der Regel eine Kurzform des Servicenamens ohne Leerzeichen plus.amazonaws.com. Sie könnten beispielsweise eventSource gleich setzen, um nur Amazon EC2-Verwaltungsereignisse ec2.amazonaws.com zu protokollieren.

         • eventType— Der EventType, der ein- oder ausgeschlossen werden soll. Sie können dieses Feld beispielsweise auf ungleich setzen, AwsServiceEvent um Ereignisse auszuschließen AWS-Service .

      2. Wählen Sie für jedes Feld + Bedingung aus, um beliebig viele Bedingungen hinzuzufügen, bis zu maximal 500 angegebene Werte für alle Bedingungen.

         Informationen zur CloudTrail Auswertung mehrerer Bedingungen finden Sie unter. Wie CloudTrail wertet mehrere Bedingungen für ein Feld aus

         Anmerkung

         Sie können maximal 500 Werte für alle Selektoren in einem Ereignisdatenspeicher haben. Dies schließt Arrays mit mehreren Werten für einen Selektor wie eventName ein. Wenn Sie einzelne Werte für alle Selektoren haben, können Sie einem Selektor maximal 500 Bedingungen hinzufügen.

      3. Wählen Sie + Feld, um bei Bedarf zusätzliche Felder hinzuzufügen. Um Fehler zu vermeiden, legen Sie keine widersprüchlichen oder doppelten Werte für Felder fest.

   4. Erweitern Sie optional die JSON-Ansicht, um Ihre erweiterten Ereignisselektoren als JSON-Block anzuzeigen.

4. Wählen Sie „Erfassung von Insights-Ereignissen aktivieren“, um Insights zu aktivieren. Um Insights zu aktivieren, müssen Sie einen Zielereignisdatenspeicher einrichten, der Insights-Ereignisse auf der Grundlage der Verwaltungsereignisaktivität in diesem Ereignisdatenspeicher erfasst.

   Wenn Sie Insights aktivieren möchten, gehen Sie wie folgt vor.

   1. Wählen Sie den Ziel-Eventspeicher aus, der Insights-Ereignisse protokollieren soll. Der Zielereignisdatenspeicher erfasst Insights-Ereignisse auf der Grundlage der Verwaltungsereignisaktivität in diesem Ereignisdatenspeicher. Weitere Informationen zum Erstellen des Zielereignisdatenspeichers finden Sie unter Erstellen eines Zielereignisdatenspeichers, der Insights-Ereignisse protokolliert.

   2. Wählen Sie die Insights-Typen aus. Sie können die API-Aufrufrate, die API-Fehlerrate oder beides auswählen. Sie müssen Schreib-Verwaltungsereignisse protokollieren, um Insights-Ereignisse für die API-Aufrufrate zu protokollieren. Sie müssen Lese- und Schreib-Verwaltungsereignisse protokollieren, um Insights-Ereignisse für die API-Fehlerrate zu protokollieren.

Gehen Sie wie folgt vor, um Datenereignisse in Ihren Ereignisdatenspeicher aufzunehmen.

1. Wählen Sie einen Ressourcentyp. Dies ist die AWS-Service Ressource, auf der Datenereignisse protokolliert werden.

2. Wählen Sie unter Vorlage für die Protokollauswahl eine vordefinierte Vorlage aus, oder wählen Sie Benutzerdefiniert, um Ihre eigenen Bedingungen für die Erfassung von Ereignissen auf der Grundlage der Werte der Felder für die erweiterte Ereignisauswahl zu definieren.

   Sie können aus den folgenden vordefinierten Vorlagen wählen:

   • Alle Ereignisse protokollieren: Wählen Sie diese Vorlage, um alle Ereignisse zu protokollieren.

   • Nur Leseereignisse protokollieren — Wählen Sie diese Vorlage, um nur Leseereignisse zu protokollieren. Read-only Ereignisse sind Ereignisse, die den Status einer Ressource nicht ändern, wie z. B. Get* Describe* OR-Ereignisse.

   • Nur Schreibereignisse protokollieren — Wählen Sie diese Vorlage, um nur Schreibereignisse zu protokollieren. Schreibereignisse fügen Ressourcen, Attribute oder Artefakte hinzu, ändern oder löschen sie, wie z. B. Put*-, Delete*- oder Write*-Ereignisse.

   • Nur AWS-Managementkonsole Ereignisse protokollieren — Wählen Sie diese Vorlage, um nur Ereignisse zu protokollieren, die aus dem stammen AWS-Managementkonsole.

   • AWS-Service Ausgelöste Ereignisse ausschließen — Wählen Sie diese Vorlage, um AWS-Service Ereignisse, die ein eventType „Von“ haben, und EreignisseAwsServiceEvent, die mit AWS-Service-linked Roles (SLRs) initiiert wurden, auszuschließen.

3. (Optional) Geben Sie unter Selektorname einen Namen ein, um Ihre Auswahl zu identifizieren. Der Selektorname ist ein optionaler, beschreibender Name für eine erweiterte Ereignisauswahl, z. B. „Datenereignisse nur für zwei S3-Buckets protokollieren“. Der Name des Selektors wird als Name in der erweiterten Ereignisauswahl aufgeführt und ist sichtbar, wenn Sie die JSON-Ansicht erweitern.

4. Wenn Sie Benutzerdefiniert ausgewählt haben, erstellen Event-Selektoren unter „Erweitert“ einen Ausdruck, der auf den Werten der erweiterten Event-Selektor-Felder basiert.

   Anmerkung

   Selektoren unterstützen nicht die Verwendung von Platzhaltern wie. * Um mehrere Werte mit einer einzigen Bedingung abzugleichen, können SieStartsWith,, oder verwenden EndsWithNotStartsWith, NotEndsWith um explizit den Anfang oder das Ende des Ereignisfeldes abzugleichen.

   1. Wählen Sie aus den folgenden Feldern.

      • readOnly- readOnly kann so gesetzt werden, dass es einem Wert von true oder false entspricht. Read-onlyDatenereignisse sind Ereignisse, die den Zustand einer Ressource nicht ändern, wie z. B. Get* Describe* OR-Ereignisse. Schreibereignisse fügen Ressourcen, Attribute oder Artefakte hinzu, ändern oder löschen sie, wie z. B. Put*-, Delete*- oder Write*-Ereignisse. Um sowohl read- als auch write-Ereignisse zu protokollieren, fügen Sie keinen readOnly-Selektor hinzu.

      • eventName – eventName kann einen beliebigen Operator verwenden. Sie können es verwenden, um jedes Datenereignis, bei dem protokolliert wird CloudTrail, wie, oder PutBucketGetItem, ein- oder auszuschließenGetSnapshotBlock.

      • eventSource— Die Eventquelle, die ein- oder ausgeschlossen werden soll. Dieses Feld kann einen beliebigen Operator verwenden.

      • eventType: der Ereignistyp, der ein- oder ausgeschlossen werden soll. Sie können dieses Feld beispielsweise so einstellen, dass „Nicht gleich AwsServiceEvent ausgeschlossenAWS-Service Ereignisse“ ist. Eine Liste der Ereignistypen finden Sie eventType unterCloudTrail Inhalte für Verwaltungs-, Daten- und Netzwerkaktivitätsereignisse aufzeichnen.

      • Sitzung CredentialFromConsole — Schließt Ereignisse ein, die aus einer AWS-Managementkonsole Sitzung stammen, oder schließt sie aus. Dieses Feld kann auf „gleich“ oder „ungleich“ mit einem Wert von gesetzt werden. true

      • user Identity.arn — Schließt Ereignisse für Aktionen ein oder aus, die von bestimmten IAM-Identitäten ausgeführt wurden. Weitere Informationen finden Sie unter CloudTrail -Element userIdentity.

      • resources.ARN- Sie können jeden Operator mit verwendenresources.ARN, aber wenn Sie Gleich oder Ungleich verwenden, muss der Wert exakt mit dem ARN einer gültigen Ressource des Typs übereinstimmen, den Sie in der Vorlage als Wert für angegeben haben. resources.type

        Anmerkung

        Sie können das resources.ARN Feld nicht verwenden, um Ressourcentypen zu filtern, die keine ARNs haben.

        Weitere Informationen zu den ARN-Formaten von Datenereignisressourcen finden Sie unter Aktionen, Ressourcen und Bedingungsschlüssel für AWS-Services in der Service Authorization Reference.

   2. Wählen Sie für jedes Feld + Bedingung aus, um beliebig viele Bedingungen hinzuzufügen, bis zu maximal 500 angegebene Werte für alle Bedingungen. Um beispielsweise Datenereignisse für zwei S3-Buckets von Datenereignissen auszuschließen, die in Ihrem Event-Datenspeicher protokolliert werden, können Sie das Feld auf Resources.arn setzen, den Operator für beginnt nicht mit festlegen und dann einen S3-Bucket-ARN einfügen, für den Sie keine Ereignisse protokollieren möchten.

      Um den zweiten S3-Bucket hinzuzufügen, wählen Sie + Bedingung und wiederholen Sie dann die vorherige Anweisung, indem Sie den ARN für einen anderen Bucket einfügen oder nach einem anderen Bucket suchen.

      Hinweise zur CloudTrail Auswertung mehrerer Bedingungen finden Sie unter. Wie CloudTrail wertet mehrere Bedingungen für ein Feld aus

      Anmerkung

      Sie können maximal 500 Werte für alle Selektoren in einem Ereignisdatenspeicher haben. Dies schließt Arrays mit mehreren Werten für einen Selektor wie eventName ein. Wenn Sie einzelne Werte für alle Selektoren haben, können Sie einem Selektor maximal 500 Bedingungen hinzufügen.

   3. Wählen Sie + Feld, um bei Bedarf zusätzliche Felder hinzuzufügen. Um Fehler zu vermeiden, legen Sie keine widersprüchlichen oder doppelten Werte für Felder fest. Geben Sie beispielsweise nicht an, dass ein ARN in einem Selektor einem Wert entspricht, und geben Sie dann an, dass der ARN in einem anderen Selektor nicht dem gleichen Wert entspricht.

5. Erweitern Sie optional die JSON-Ansicht, um Ihre erweiterten Ereignisselektoren als JSON-Block anzuzeigen.

6. Um einen weiteren Ressourcentyp hinzuzufügen, auf dem Datenereignisse protokolliert werden sollen, wählen Sie Datenereignistyp hinzufügen. Wiederholen Sie die Schritte a bis diesen Schritt, um erweiterte Event-Selektoren für den Ressourcentyp zu konfigurieren.

Gehen Sie wie folgt vor, um Netzwerkaktivitätsereignisse in Ihren Event-Datenspeicher aufzunehmen.

1. Wählen Sie unter Netzwerkaktivitätsereignisquelle die Quelle für Netzwerkaktivitätsereignisse aus.

2. Wählen Sie unter Protokollselektorvorlage eine Vorlage aus. Sie können wählen, ob Sie alle Netzwerkaktivitätsereignisse oder Netzwerkaktivitätsereignisse protokollieren möchten, oder Sie können Benutzerdefiniert wählen, um eine benutzerdefinierte Protokollauswahl zu erstellen, mit der nach mehreren Feldern gefiltert werden kann, z. B. eventName undvpcEndpointId.

3. (Optional) Geben Sie einen Namen ein, um den Selektor zu identifizieren. Der Name des Selektors wird im erweiterten Event-Selektor als Name aufgeführt und ist sichtbar, wenn Sie die JSON-Ansicht erweitern.

4. In Advanced erstellen Event-Selektoren Ausdrücke, indem sie Werte für Feld , Operator und Wert auswählen. Sie können diesen Schritt überspringen, wenn Sie eine vordefinierte Protokollvorlage verwenden.

   1. Wenn Sie Netzwerkaktivitätsereignisse ausschließen oder einschließen möchten, können Sie in der Konsole aus den folgenden Feldern auswählen.

      • eventName— Sie können jeden Operator mit eventName verwenden. Sie können ihn verwenden, um ein beliebiges Ereignis ein- oder auszuschließen, z. CreateKey B.

      • errorCode— Sie können es verwenden, um nach einem Fehlercode zu filtern. Derzeit errorCode wird nur Folgendes unterstütztVpceAccessDenied.

      • vpcEndpointId— Identifiziert den VPC-Endpunkt, den der Vorgang durchlaufen hat. Sie können jeden Operator mit vpcEndpointId verwenden.

   2. Wählen Sie für jedes Feld + Bedingung aus, um beliebig viele Bedingungen hinzuzufügen, bis zu maximal 500 angegebene Werte für alle Bedingungen.

   3. Wählen Sie + Feld, um bei Bedarf zusätzliche Felder hinzuzufügen. Um Fehler zu vermeiden, legen Sie keine widersprüchlichen oder doppelten Werte für Felder fest.

5. Um eine weitere Ereignisquelle hinzuzufügen, für die Sie Netzwerkaktivitätsereignisse protokollieren möchten, wählen Sie „Auswahl für Netzwerkaktivitätsereignisse hinzufügen“.

6. Erweitern Sie optional die JSON-Ansicht, um Ihre erweiterten Ereignisselektoren als JSON-Block anzuzeigen.

Gehen Sie wie folgt vor, um vorhandene Trail-Ereignisse in Ihren Ereignisdatenspeicher zu kopieren.

1. Wählen Sie den Trail aus, die Sie kopieren möchten. Kopiert standardmäßig CloudTrail nur CloudTrail Ereignisse, die im CloudTrail Präfix des S3-Buckets und die CloudTrail darin enthaltenen Präfixe enthalten sind, und überprüft keine Präfixe für andere Dienste. AWS Wenn Sie CloudTrail Ereignisse kopieren möchten, die in einem anderen Präfix enthalten sind, wählen Sie „S3 URI eingeben“ und wählen Sie dann „S3 durchsuchen“, um zum Präfix zu navigieren. Wenn der S3-Quell-Bucket für den Trail einen KMS-Schlüssel für die Datenverschlüsselung verwendet, stellen Sie sicher, dass die KMS-Schlüsselrichtlinie die Entschlüsselung der Daten zulässt CloudTrail . Wenn Ihr S3-Quell-Bucket mehrere KMS-Schlüssel verwendet, müssen Sie die Richtlinien für jeden Schlüssel aktualisieren, damit CloudTrail die Daten im Bucket entschlüsselt werden können. Weitere Informationen zum Aktualisieren der KMS-Schlüssel-Richtlinie finden Sie unter KMS-Schlüsselrichtlinie zum Entschlüsseln von Daten im S3-Quell-Bucket.

2. Wählen Sie den Zeitraum für das Kopieren der Ereignisse. CloudTrail überprüft das Präfix und den Namen der Protokolldatei, um sicherzustellen, dass der Name ein Datum zwischen dem ausgewählten Start- und Enddatum enthält, bevor versucht wird, die Trail-Ereignisse zu kopieren. Sie können einen Relative range (Relativen Bereich) oder einen Absolute range (Absoluten Bereich) wählen. Um zu vermeiden, dass Ereignisse zwischen dem Quell-Trail und dem Zielereignisdatenspeicher dupliziert werden, wählen Sie einen Zeitraum aus, der vor der Erstellung des Ereignisdatenspeichers liegt.

   Anmerkung

   CloudTrail kopiert nur Trail-Ereignisse, deren Aufbewahrungszeitraum eventTime innerhalb der Aufbewahrungsfrist des Event-Datenspeichers liegt. Wenn die Aufbewahrungsfrist eines Event-Datenspeichers beispielsweise 90 Tage beträgt, CloudTrail werden keine Trail-Ereignisse kopiert, die eventTime älter als 90 Tage sind.

   • Wenn Sie „Relativer Bereich“ wählen, können Sie wählen, ob Sie Ereignisse kopieren möchten, die in den letzten 6 Monaten, 1 Jahr, 2 Jahren, 7 Jahren oder in einem benutzerdefinierten Zeitraum protokolliert wurden. CloudTrail kopiert die Ereignisse, die innerhalb des ausgewählten Zeitraums protokolliert wurden.

   • Wenn Sie Absoluter Bereich wählen, können Sie ein bestimmtes Start- und Enddatum wählen. CloudTrail kopiert die Ereignisse, die zwischen dem ausgewählten Start- und Enddatum eingetreten sind.

3. Wählen Sie für Permissions (Berechtigungen) unter den folgenden IAM-Rollenoptionen aus. Wenn Sie eine vorhandene IAM-Rolle auswählen, stellen Sie sicher, dass die IAM-Rollenrichtlinie die erforderlichen Berechtigungen bereitstellt. Weitere Informationen zum Aktualisieren der IAM-Rollenberechtigungen finden Sie unter IAM-Berechtigungen zum Kopieren von Trail-Ereignissen.

   • Wählen Sie Create a new role (recommended) (Erstellen Sie eine neue Rolle (empfohlen)), um eine neue IAM-Rolle zu erstellen. Geben Sie unter IAM-Rollennamen eingeben einen Namen für die Rolle ein. CloudTrail erstellt automatisch die erforderlichen Berechtigungen für diese neue Rolle.

   • Wählen Sie Einen benutzerdefinierten IAM-Rollen-ARN verwenden aus, um eine benutzerdefinierte IAM-Rolle zu verwenden, die nicht aufgeführt ist. Geben Sie für Enter IAM role ARN (IAM-Rollen-ARN eingeben) den IAM-ARN ein.

   • Wählen Sie eine vorhandene IAM-Rolle aus der Dropdownliste aus.

Wählen Sie Weiter, um Ihre Ereignisse durch Hinzufügen von Ressourcen-Tag-Schlüsseln und globalen IAM-Bedingungsschlüsseln zu erweitern.

Fügen Sie unter Ereignisse anreichern bis zu 50 Schlüssel für Ressourcen-Tags und 50 globale IAM-Bedingungsschlüssel hinzu, um zusätzliche Metadaten zu Ihren Ereignissen bereitzustellen. Dies hilft Ihnen, verwandte Ereignisse zu kategorisieren und zu gruppieren.

Wenn Sie Schlüssel für Ressourcen-Tags hinzufügen, CloudTrail werden die ausgewählten Tag-Schlüssel eingeschlossen, die den Ressourcen zugeordnet sind, die am API-Aufruf beteiligt waren. API-Ereignisse im Zusammenhang mit gelöschten Ressourcen haben keine Ressourcen-Tags.

Wenn Sie globale IAM-Bedingungsschlüssel hinzufügen, CloudTrail werden Informationen zu den ausgewählten Bedingungsschlüsseln hinzugefügt, die während des Autorisierungsprozesses ausgewertet wurden, einschließlich zusätzlicher Details zum Prinzipal, zur Sitzung, zum Netzwerk und zur Anfrage selbst.

Informationen zu den Ressourcen-Tag-Schlüsseln und den globalen IAM-Bedingungsschlüsseln werden im eventContext Feld des Ereignisses angezeigt. Weitere Informationen finden Sie unter Bereichern Sie CloudTrail Ereignisse, indem Sie Ressourcen-Tag-Schlüssel und globale IAM-Bedingungsschlüssel hinzufügen.

Wählen Sie „Eventgröße erweitern“, um die Nutzlast der Veranstaltung von 256 KB auf bis zu 1 MB zu erweitern. Diese Option wird automatisch aktiviert, wenn Sie Resource-Tag-Schlüssel oder globale IAM-Bedingungsschlüssel hinzufügen, um sicherzustellen, dass alle Ihre hinzugefügten Schlüssel im Ereignis enthalten sind.

Die Erweiterung der Ereignisgröße ist für die Analyse und Problembehandlung von Ereignissen hilfreich, da Sie so den vollständigen Inhalt der folgenden Felder sehen können, solange die Nutzlast des Ereignisses weniger als 1 MB beträgt:

Weitere Informationen zu diesen Feldern finden Sie unter CloudTrail Datensatzinhalt.

Wählen Sie Next (Weiter) aus, um Ihre Auswahl zu überprüfen.

Überprüfen Sie auf der Seite Prüfen und erstellen Ihre Auswahl. Wählen Sie Bearbeiten aus, um Änderungen am Schema vorzunehmen. Wenn Sie bereit sind, den Ereignisdatenspeicher zu erstellen, wählen Sie Ereignisdatenspeicher erstellen aus.

Der neue Ereignisdatenspeicher ist in der Tabelle Ereignisdatenspeicher auf der Seite Ereignisdatenspeicher sichtbar.

Ab diesem Zeitpunkt erfasst der Ereignisdatenspeicher Ereignisse, die mit den erweiterten Ereignisauswahlen übereinstimmen (wenn die Option Ereignisse aufnehmen ausgewählt ist). Ereignisse, die aufgetreten sind, bevor Sie den Ereignisdatenspeicher erstellt haben, befinden sich nicht im Ereignisdatenspeicher, es sei denn Sie haben sich für das Kopieren der bestehenden Trail-Ereignissen entschieden.