Einschränkungen Voraussetzungen So erstellen Sie einen Ereignisdatenspeicher für Konfigurationselemente Schema für Konfigurationselemente

Erstellen Sie mit der Konsole einen Event-Datenspeicher für Konfigurationselemente

Anmerkung

AWS CloudTrail Lake steht ab dem 31. Mai 2026 nicht mehr für Neukunden zur Verfügung. Wenn Sie CloudTrail Lake nutzen möchten, melden Sie sich vor diesem Datum an. Bestandskunden können den Service weiterhin wie gewohnt nutzen. Weitere Informationen finden Sie unter CloudTrail Änderung der Verfügbarkeit von Seen.

Sie können einen Ereignisdatenspeicher erstellen, der AWS Config -Konfigurationselemente enthält, und damit nicht-konforme Änderungen an Ihren Produktionsumgebungen untersuchen. Mit einem Ereignisdatenspeicher können Sie nicht-konforme Regeln den Benutzern und Ressourcen zuordnen, die mit den jeweiligen Änderungen im Zusammenhang stehen. Ein Konfigurationselement stellt eine aktuelle Ansicht der Attribute einer unterstützten AWS Ressource dar, die in Ihrem Konto vorhanden ist. AWS Config erstellt ein Konfigurationselement, wenn es eine Änderung an einem Ressourcentyp feststellt, den es gerade aufzeichnet. AWS Config erstellt auch Konfigurationselemente, wenn ein Konfigurationssnapshot erfasst wird.

Sie können AWS Config sowohl als auch CloudTrail Lake verwenden, um Abfragen für Ihre Konfigurationselemente auszuführen. Sie können AWS Config es verwenden, um den aktuellen Konfigurationsstatus von AWS Ressourcen auf der Grundlage von Konfigurationseigenschaften für ein einzelnes AWS-Konto Land oder für mehrere Konten und Regionen abzufragen. AWS-Region Im Gegensatz dazu können Sie CloudTrail Lake verwenden, um verschiedene Datenquellen wie CloudTrail Ereignisse, Konfigurationselemente und Regelauswertungen abzufragen. CloudTrail Lake-Abfragen decken alle AWS Config Konfigurationselemente ab, einschließlich der Ressourcenkonfiguration und des Compliance-Verlaufs.

Die Erstellung eines Ereignisdatenspeichers für Konfigurationselemente hat keine Auswirkungen auf bestehende AWS Config erweiterte Abfragen oder konfigurierte AWS Config Aggregatoren. Sie können weiterhin erweiterte Abfragen mithilfe Ihrer AWS Config S3-Buckets ausführen und diese AWS Config weiterhin an Ihre S3-Buckets übermitteln.

CloudTrail Für Lake Event-Datenspeicher fallen Gebühren an. Beim Erstellen eines Ereignisdatenspeichers wählen Sie die Preisoption aus, die für den Ereignisdatenspeicher genutzt werden soll. Die Preisoption bestimmt die Kosten für die Erfassung und Speicherung von Ereignissen sowie die standardmäßige und maximale Aufbewahrungsdauer für den Ereignisdatenspeicher. Informationen zur CloudTrail Preisgestaltung und Verwaltung der Lake-Kosten finden Sie unter AWS CloudTrail Preisgestaltung undVerwaltung der CloudTrail Seekosten.

Einschränkungen

Bezüglich der Ereignisdatenspeicher für Konfigurationselemente gelten die folgenden Einschränkungen.

Keine Unterstützung für benutzerdefinierte Konfigurationselemente
Keine Unterstützung für die Ereignisfilterung mit erweiterten Ereignisselektoren

Voraussetzungen

Bevor Sie Ihren Event-Datenspeicher erstellen, richten Sie die AWS Config Aufzeichnung für alle Ihre Konten und Regionen ein. Mithilfe von Quick Setup, einer Funktion von AWS Systems Manager, können Sie im Handumdrehen einen Konfigurationsrekorder erstellen, der von betrieben wird AWS Config.

Anmerkung

Wenn Sie mit der Aufzeichnung von Konfigurationen AWS Config beginnen, fallen Gebühren für die Nutzung des Dienstes an. Weitere Informationen über die Preise finden Sie unter AWS Config – Preise. Weitere Informationen zur Verwaltung des Konfigurations-Recorders finden Sie unter Verwalten des Konfigurations-Recorders im Entwicklerhandbuch zu AWS Config .

Darüber hinaus werden die folgenden Aktionen empfohlen. Sie sind jedoch nicht erforderlich, um einen Ereignisdatenspeicher zu erstellen.

Richten Sie einen Amazon-S3-Bucket für den Empfang eines Konfigurations-Snapshots (auf Anfrage) und eines Konfigurationsverlaufs ein. Weitere Informationen zu Snapshots finden Sie unter Verwalten des Übermittlungskanals und Übermitteln eines Konfigurations-Snapshots an einen Amazon-S3-Bucket im Entwicklerhandbuch zu AWS Config .
Geben Sie die Regeln an, die Sie AWS Config zur Bewertung der Konformitätsinformationen für die aufgezeichneten Ressourcentypen verwenden möchten. Für mehrere der CloudTrail Lake-Beispielabfragen für ist AWS-Config-Regeln es AWS Config erforderlich, den Konformitätsstatus Ihrer AWS Ressourcen zu bewerten. Weitere Informationen dazu finden Sie AWS-Config-Regeln unter Evaluieren von Ressourcen mit AWS-Config-Regeln im AWS Config Entwicklerhandbuch.

So erstellen Sie einen Ereignisdatenspeicher für Konfigurationselemente

Melden Sie sich bei der an AWS-Managementkonsole und öffnen Sie die CloudTrail Konsole unter https://console.aws.amazon.com/cloudtrail/.
Wählen Sie im Navigationsbereich unter Lake die Option Ereignisdatenspeicher aus.
Wählen Sie Ereignisdatenspeicher erstellen aus.
Geben Sie auf der Seite Konfigurieren eines Ereignisdatenspeichers in Allgemeine Angaben einen Namen für den Ereignisdatenspeicher ein. Ein Name ist erforderlich.
Wählen Sie die Preisoption aus, die Sie für den Ereignisdatenspeicher verwenden möchten. Der Preisoption bestimmt die Kosten für die Erfassung und Speicherung von Ereignissen sowie die standardmäßige und maximale Aufbewahrungsdauern für Ihren Ereignisdatenspeicher. Weitere Informationen finden Sie unter AWS CloudTrail -Preise und Verwaltung der CloudTrail Seekosten.

Die folgenden Optionen sind verfügbar:
- One-year Preise für erweiterbare Aufbewahrung — Diese Option wird generell empfohlen, wenn Sie davon ausgehen, weniger als 25 TB an Veranstaltungsdaten pro Monat aufzunehmen und eine flexible Aufbewahrungsdauer von bis zu 10 Jahren wünschen. In den ersten 366 Tagen (Standardaufbewahrungszeitraum) ist Speicherplatz ohne zusätzliche Kosten im Preis für die Datenaufnahme enthalten. Nach 366 Tagen ist eine erweiterte Aufbewahrung zum Preis mit nutzungsabhängige Preisberechnung erhältlich. Dies ist die Standardoption.
  - Standardaufbewahrungsdauer: 366 Tage.
  - Maximale Aufbewahrungsdauer: beträgt 3 653 Tage.
- Seven-year Preisgestaltung für Aufbewahrung — Diese Option wird empfohlen, wenn Sie davon ausgehen, mehr als 25 TB an Veranstaltungsdaten pro Monat aufzunehmen und eine Aufbewahrungsfrist von bis zu 7 Jahren benötigen. Die Aufbewahrung ist im Preis für die Erfassung ohne Zusatzkosten enthalten.
  - Standardaufbewahrungsdauer: 2 557 Tage.
  - Maximale Aufbewahrungsdauer: beträgt 2 557 Tage.
Geben Sie einen Aufbewahrungszeitraum für den Ereignisdatenspeicher an. Die Aufbewahrungsfristen können zwischen 7 Tagen und 3.653 Tagen (etwa 10 Jahre) für die Option mit One-year erweiterbarer Aufbewahrungsgebühr oder zwischen 7 Tagen und 2.557 Tagen (etwa sieben Jahre) für die Preisoption für die Aufbewahrung liegen. Seven-year

CloudTrail Lake bestimmt, ob ein Ereignis gespeichert werden soll, indem es prüft, ob das Ereignis innerhalb eventTime des angegebenen Aufbewahrungszeitraums liegt. Wenn Sie beispielsweise eine Aufbewahrungsfrist von 90 Tagen angeben, CloudTrail werden Ereignisse entfernt, wenn sie eventTime älter als 90 Tage sind.
(Optional) Um die Verschlüsselung mit zu aktivieren AWS Key Management Service, wählen Sie Eigene verwenden aus AWS KMS key. Wählen Sie „Neu“, um einen für Sie AWS KMS key erstellen zu lassen, oder wählen Sie „Vorhanden“, um einen vorhandenen KMS-Schlüssel zu verwenden. Geben Sie im Feld KMS-Alias eingeben einen Alias im folgenden Format an alias/MyAliasName. Wenn Sie Ihren eigenen KMS-Schlüssel verwenden, müssen Sie Ihre KMS-Schlüsselrichtlinie bearbeiten, damit Ihr Event-Datenspeicher ver- und entschlüsselt werden kann. Weitere Informationen finden Sie unterKonfiguration AWS KMS wichtige Richtlinien für CloudTrail. CloudTrail unterstützt auch Schlüssel AWS KMS für mehrere Regionen. Weitere Informationen finden Sie über Multi-Regions-Schlüssel finden Sie unter Verwenden von Schlüsseln für mehrere Regionen im AWS Key Management Service -Entwicklerhandbuch.

Die Verwendung Ihres eigenen KMS-Schlüssels verursacht AWS KMS Kosten für die Verschlüsselung und Entschlüsselung. Nachdem Sie einen KMS-Schlüssel einem Ereignisdatenspeicher zugeordnet haben, kann der KMS-Schlüssel nicht entfernt oder geändert werden.

Anmerkung
Um die AWS Key Management Service Verschlüsselung für einen Datenspeicher für Organisationsereignisse zu aktivieren, müssen Sie einen vorhandenen KMS-Schlüssel für das Verwaltungskonto verwenden.
(Optional) Wenn Sie Ihre Ereignisdaten mit Amazon Athena abfragen möchten, wählen Sie Aktivieren in Lake-Abfrageverbund. Mit Verbund können Sie die mit einem Ereignisdatenspeicher verbundenen Metadaten im AWS Glue -Datenkatalog einsehen und mit Amazon Athena SQL-Abfragen zu den Ereignisdaten durchführen. Anhand der im AWS Glue Datenkatalog gespeicherten Tabellenmetadaten weiß die Athena-Abfrage-Engine, wie sie die Daten, die Sie abfragen möchten, findet, liest und verarbeitet. Weitere Informationen finden Sie unter Verbund für einen Ereignisdatenspeicher erstellen.

Wählen Sie Aktivieren und gehen Sie wie folgt vor, um Lake-Abfrageverbund zu aktivieren:
1. Wählen Sie aus, ob Sie eine neue Rolle erstellen oder eine vorhandene IAM-Rolle verwenden möchten. AWS Lake Formation verwendet diese Rolle, um die Berechtigungen für den Verbundereignisdatenspeicher zu verwalten. Wenn Sie mithilfe der CloudTrail Konsole eine neue Rolle erstellen, CloudTrail wird automatisch eine Rolle mit den erforderlichen Berechtigungen erstellt. Wenn Sie eine bestehende Rolle auswählen, stellen Sie sicher, dass die Richtlinie für die Rolle die erforderlichen Mindestberechtigungen vorsieht.
2. Wenn Sie eine neue Rolle erstellen, geben Sie einen Namen zur Identifizierung der Rolle ein.
3. Wenn Sie eine bestehende Rolle verwenden, wählen Sie die Rolle aus, die Sie verwenden möchten. Die Rolle muss in Ihrem Konto vorhanden sein.
(Optional) Wählen Sie Ressourcenrichtlinie aktivieren, um Ihrem Event-Datenspeicher eine ressourcenbasierte Richtlinie hinzuzufügen. Resource-based Mithilfe von Richtlinien können Sie steuern, welche Principals Aktionen in Ihrem Event-Datenspeicher ausführen können. Sie können beispielsweise eine ressourcenbasierte Richtlinie hinzufügen, die es Root-Benutzern in anderen Konten ermöglicht, diesen Event-Datenspeicher abzufragen und die Abfrageergebnisse anzuzeigen. Beispiele für Richtlinien finden Sie unter Resource-based Beispiele für Richtlinien für Event-Datenspeicher.

Eine ressourcenbasierte Richtlinie umfasst eine oder mehrere Anweisungen. Jede Anweisung in der Richtlinie definiert die Principals, denen der Zugriff auf den Event-Datenspeicher gewährt oder verweigert wird, sowie die Aktionen, die die Principals mit der Event-Datenspeicher-Ressource ausführen können.

Die folgenden Aktionen werden in ressourcenbasierten Richtlinien für Event-Datenspeicher unterstützt:
- cloudtrail:StartQuery
- cloudtrail:CancelQuery
- cloudtrail:ListQueries
- cloudtrail:DescribeQuery
- cloudtrail:GetQueryResults
- cloudtrail:GenerateQuery
- cloudtrail:GenerateQueryResultsSummary
- cloudtrail:GetEventDataStore
CloudTrail Erstellt für Event-Datenspeicher der Organisation eine ressourcenbasierte Standardrichtlinie, die die Aktionen auflistet, die die delegierten Administratorkonten in den Event-Datenspeichern der Organisation ausführen dürfen. Die Berechtigungen in dieser Richtlinie werden von den delegierten Administratorberechtigungen in abgeleitet. AWS Organizations Diese Richtlinie wird automatisch aktualisiert, wenn Änderungen am Event-Datenspeicher der Organisation oder an der Organisation vorgenommen werden (z. B. wenn ein CloudTrail delegiertes Administratorkonto registriert oder entfernt wird).
(Optional) Im Bereich Tags können Sie bis zu 50 Tag-Schlüssel-Paare hinzufügen, um den Zugriff auf den Ereignisdatenspeicher festzulegen, zu sortieren und zu steuern. Weitere Informationen darüber, wie Sie IAM-Richtlinien verwenden, um den Zugriff auf einen Ereignisdatenspeicher basierend auf Tags zu autorisieren, finden Sie unter Beispiele: Verweigern des Zugriffs zum Erstellen oder Löschen von Ereignisdatenspeichern basierend auf Tags. Weitere Informationen zur Verwendung von Stichwörtern finden Sie unter Tagging AWS Resources im Tagging AWS Resources User Guide. AWS
Wählen Sie Weiter aus.
Wählen Sie auf der Seite Ereignisse auswählen die Option AWS -Ereignisse und dann Konfigurationselemente aus.
CloudTrail speichert die Event-Data-Store-Ressource in der Region, in der Sie sie erstellt haben. Standardmäßig stammen die im Datenspeicher gesammelten Konfigurationselemente jedoch aus allen Regionen in Ihrem Konto, in denen die Aufzeichnung aktiviert ist. Optional können Sie Include only the current region in my event data store (Nur die aktuelle Region in meinen Ereignisdatenspeicher einbeziehen) auswählen, um nur Konfigurationselemente einzubeziehen, die in der aktuellen Region erfasst werden. Wenn Sie diese Option nicht auswählen, enthält Ihr Ereignisdatenspeicher Konfigurationselemente aus allen Regionen, für die die Aufzeichnung aktiviert ist.
Damit Ihr Event-Datenspeicher Konfigurationselemente von allen Konten in einer AWS Organizations Organisation sammelt, wählen Sie Für alle Konten in meiner Organisation aktivieren aus. Sie müssen beim Verwaltungskonto oder beim Konto eines delegierten Administrators der Organisation angemeldet sein, um einen Ereignisdatenspeicher zu erstellen, der Konfigurationselemente für eine Organisation erfasst.
Wählen Sie Next (Weiter) aus, um Ihre Auswahl zu überprüfen.
Überprüfen Sie auf der Seite Prüfen und erstellen Ihre Auswahl. Wählen Sie Bearbeiten aus, um Änderungen am Schema vorzunehmen. Wenn Sie bereit sind, den Ereignisdatenspeicher zu erstellen, wählen Sie Ereignisdatenspeicher erstellen aus.
Der neue Ereignisdatenspeicher ist in der Tabelle Ereignisdatenspeicher auf der Seite Ereignisdatenspeicher sichtbar.

Konfigurationselemente werden ab diesem Zeitpunkt vom Ereignisdatenspeicher erfasst. Konfigurationselemente, die vor der Erstellung des Ereignisdatenspeichers aufgetreten sind, befinden sich nicht darin.

Schema für Konfigurationselemente

In der folgenden Tabelle werden die erforderlichen und optionalen Schemaelemente beschrieben, die denen in den Aufzeichnungen der Konfigurationselemente entsprechen. Der Inhalt von eventData wird von Ihren Konfigurationselementen bereitgestellt; andere Felder werden von CloudTrail after ingestion bereitgestellt.

CloudTrail Der Inhalt des Ereignisdatensatzes wird ausführlicher unter beschrieben. CloudTrail Inhalte für Verwaltungs-, Daten- und Netzwerkaktivitätsereignisse aufzeichnen

Felder, die von CloudTrail after ingestion bereitgestellt werden
Felder, die durch Ihre Ereignisse bereitgestellt werden

Felder, die von after ingestion bereitgestellt werden CloudTrail
Feldname	Eingabetyp	Anforderung	Description
eventVersion	Zeichenfolge	Erforderlich	Die Version des AWS Event-Formats.
eventCategory	Zeichenfolge	Erforderlich	Die Kategorie des Ereignisses. Für Konfigurationselemente lautet der gültige Wert `ConfigurationItem`.
eventType	Zeichenfolge	Erforderlich	Der Ereignistyp. Für Konfigurationselemente lautet der gültige Wert `AwsConfigurationItem`.
eventID	Zeichenfolge	Erforderlich	Eine eindeutige ID für ein Ereignis.
eventTime	Zeichenfolge	Erforderlich	Der Zeitstempel des Ereignisses im Format `yyyy-MM-DDTHH:mm:ss`, in Universal Coordinated Time (UTC).
awsRegion	Zeichenfolge	Erforderlich	Der AWS-Region , dem ein Ereignis zugewiesen werden soll.
Empfänger AccountId	Zeichenfolge	Erforderlich	Stellt die AWS-Konto ID dar, die dieses Ereignis empfangen hat.
addendum	addendum	Optional	Zeigt Informationen dazu an, warum sich ein Ereignis verzögert hat. Wenn Informationen zu einem bestehenden Ereignis fehlten, enthält der Nachtragsblock die fehlenden Informationen und einen Grund für das Fehlen.

Felder in `EventData` werden von Ihren Konfigurationselementen bereitgestellt
Feldname	Eingabetyp	Anforderung	Description
eventData	-	Erforderlich	Felder in eventData werden durch Ihre Konfigurationselemente bereitgestellt.
Konfiguration ItemVersion	Zeichenfolge	Optional	Die Version des Konfigurationselements aus der zugehörigen Quelle.
Konfiguration ItemCaptureTime	Zeichenfolge	Optional	Die Uhrzeit, zu der die Konfigurationsaufzeichnung initiiert wurde.
Konfiguration ItemStatus	Zeichenfolge	Optional	Der Status des Konfigurationselements. Gültige Werte sind `OK`, `ResourceDiscovered`, `ResourceNotRecorded`, `ResourceDeleted` und `ResourceDeletedNotRecorded`.
accountId	Zeichenfolge	Optional	Die 12-stellige AWS-Konto ID, die der Ressource zugeordnet ist.
RessourcenTyp	Zeichenfolge	Optional	Der Typ der AWS Ressource. Weitere Informationen zu gültigen Ressourcentypen finden Sie ConfigurationItem in der AWS Config API-Referenz.
resourceId	Zeichenfolge	Optional	Die ID der Ressource (z. B. sg-`xxxxxx`).
RessourcenNamen	Zeichenfolge	Optional	Der benutzerdefinierte Name der Ressource, sofern verfügbar.
arn	Zeichenfolge	Optional	Der Amazon-Ressourcenname (ARN), der der Ressource zugeordnet ist.
awsRegion	Zeichenfolge	Optional	Der AWS-Region Ort, an dem sich die Ressource befindet.
availabilityZone	Zeichenfolge	Optional	Die Availability Zone, die der Ressource zugeordnet ist.
Ressource CreationTime	Zeichenfolge	Optional	Der Zeitstempel für die Erstellung der Ressource.
configuration	JSON	Optional	Die Beschreibung der Ressourcenkonfiguration.
supplementaryConfiguration	JSON	Optional	Konfigurationsattribute, die AWS Config für bestimmte Ressourcentypen zurückgegeben werden, um die für den Konfigurationsparameter zurückgegebenen Informationen zu ergänzen.
relatedEvents	Zeichenfolge	Optional	Eine Liste von CloudTrail Ereignis-IDs.
relationships	-	Optional	Eine Liste verwandter AWS Ressourcen.
Name	Zeichenfolge	Optional	Die Art der Beziehung mit der zugehörigen Ressource.
RessourcenTyp	Zeichenfolge	Optional	Der Ressourcentyp der zugehörigen Ressource.
resourceId	Zeichenfolge	Optional	Die ID der zugehörigen Ressource (z. B. sg-`xxxxxx`).
RessourcenNamen	Zeichenfolge	Optional	Der benutzerdefinierte Name der zugehörigen Ressource, sofern verfügbar.
tags	JSON	Optional	Schlüssel-Wert-Tags, die der Ressource zugeordnet sind.

Das folgende Beispiel zeigt die Hierarchie von Schemaelementen, die denen in den Aufzeichnungen von Konfigurationselementen entsprechen.


{
  "eventVersion": String,
  "eventCategory: String,
  "eventType": String,
  "eventID": String,
  "eventTime": String,
  "awsRegion": String,
  "recipientAccountId": String,
  "addendum": Addendum,
  "eventData": {
      "configurationItemVersion": String,
      "configurationItemCaptureTime": String,
      "configurationItemStatus": String,
      "configurationStateId": String,
      "accountId": String,
      "resourceType": String,
      "resourceId": String,
      "resourceName": String,
      "arn": String,
      "awsRegion": String, 
      "availabilityZone": String,
      "resourceCreationTime": String,
      "configuration": {
        JSON,
      },
      "supplementaryConfiguration": {
        JSON,
      },
      "relatedEvents": [
        String
      ],
      "relationships": [
        struct{
          "name" : String,
          "resourceType": String,
          "resourceId": String,
          "resourceName": String
        }
      ],
     "tags": {
       JSON
     }
    }
  }
}

Warnung JavaScript ist in Ihrem Browser nicht verfügbar oder deaktiviert.

Zur Nutzung der AWS-Dokumentation muss JavaScript aktiviert sein. Weitere Informationen finden auf den Hilfe-Seiten Ihres Browsers.

Dokumentkonventionen

Erstellen Sie einen Event-Datenspeicher für Insights-Ereignisse

Erstellen Sie einen Event-Datenspeicher für Ereignisse außerhalb von AWS