Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Ereignisse an CloudWatch Logs senden

Wenn du deinen Trail so konfigurierst, dass er Ereignisse an CloudWatch Logs CloudTrail sendet, werden nur die Ereignisse gesendet, die deinen Trail-Einstellungen entsprechen. Wenn du deinen Trail beispielsweise so konfigurierst, dass nur Datenereignisse protokolliert werden, sendet dein Trail nur Datenereignisse an deine CloudWatch Logs-Protokollgruppe. CloudTrail unterstützt das Senden von Daten, Erkenntnissen und Verwaltungsereignissen an CloudWatch Logs. Weitere Informationen finden Sie unter Mit CloudTrail Protokolldateien arbeiten.

Um Ereignisse an eine CloudWatch Logs-Protokollgruppe zu senden:

Konfiguration der CloudWatch Protokollüberwachung mit der Konsole

Sie können das verwenden AWS Management Console , um Ihren Trail so zu konfigurieren, dass Ereignisse zur Überwachung an CloudWatch Logs gesendet werden.

Erstellen einer Protokollgruppe oder Auswählen einer vorhandenen Protokollgruppe

CloudTrail verwendet eine CloudWatch Logs-Protokollgruppe als Übermittlungsendpunkt für Protokollereignisse. Sie können eine Protokollgruppe erstellen oder eine vorhandene auswählen.

Auswählen einer IAM-Rolle

Sie können eine Rolle angeben, von der CloudTrail die Übermittlung von Ereignissen an den Protokollstream übernommen werden soll.

Ereignisse in der CloudWatch Konsole anzeigen

Nachdem Sie Ihren Trail so konfiguriert haben, dass Ereignisse an Ihre Protokollgruppe CloudWatch Logs gesendet werden, können Sie die Ereignisse in der CloudWatch Konsole anzeigen. CloudTrail übermittelt Ereignisse in der Regel innerhalb von durchschnittlich etwa 5 Minuten nach einem API-Aufruf an Ihre Protokollgruppe. Diese Zeit ist nicht garantiert. Weitere Informationen finden Sie unter AWS CloudTrail Service Level Agreement.

Konfiguration der CloudWatch Protokollüberwachung mit dem AWS CLI

Sie können das AWS CLI zur Konfiguration verwenden, CloudTrail um Ereignisse zur Überwachung an CloudWatch Logs zu senden.

Erstellen einer Protokollgruppe

Erstellen einer Rolle

Erstellen Sie eine Rolle CloudTrail , die es ihr ermöglicht, Ereignisse an die Protokollgruppe CloudWatch Logs zu senden. Der IAM-Befehl create-role benötigt zwei Parameter, nämlich einen Rollennamen und einen Dateipfad, um das Dokument mit der Rollenrichtlinie im JSON-Format verwenden zu können. Das von Ihnen verwendete Richtliniendokument gewährt AssumeRole Berechtigungen für CloudTrail. Über den Befehl create-role wird die Rolle mit den erforderlichen Berechtigungen generiert.

Zum Erstellen der JSON-Datei, die das Richtliniendokument enthält, öffnen Sie einen Texteditor und speichern den folgenden Richtlinieninhalt in einer Datei mit dem Namen assume_role_policy_document.json.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "",
      "Effect": "Allow",
      "Principal": {
        "Service": "cloudtrail.amazonaws.com"
      },
      "Action": "sts:AssumeRole"
    }
  ]
}

Führen Sie den folgenden Befehl aus, um die Rolle mit den AssumeRole Berechtigungen für zu erstellen CloudTrail.

aws iam create-role --role-name role_name --assume-role-policy-document file://<path to assume_role_policy_document>.json

Notieren Sie sich nach der Ausführung des Befehls den Rollen-ARN in der Ausgabe.

Erstellen eines Richtliniendokuments

Erstellen Sie das folgende Rollenrichtlinien-Dokument für CloudTrail. Dieses Dokument gewährt CloudTrail die erforderlichen Berechtigungen, um einen CloudWatch Log-Log-Stream in der von Ihnen angegebenen Protokollgruppe zu erstellen und CloudTrail Ereignisse an diesen Log-Stream zu übermitteln.

{
  "Version": "2012-10-17",
  "Statement": [
    {

      "Sid": "AWSCloudTrailCreateLogStream2014110",
      "Effect": "Allow",
      "Action": [
        "logs:CreateLogStream"
      ],
      "Resource": [
        "arn:aws:logs:region:accountID:log-group:log_group_name:log-stream:accountID_CloudTrail_region*"
      ]

    },
    {
      "Sid": "AWSCloudTrailPutLogEvents20141101",
      "Effect": "Allow",
      "Action": [
        "logs:PutLogEvents"
      ],
      "Resource": [
        "arn:aws:logs:region:accountID:log-group:log_group_name:log-stream:accountID_CloudTrail_region*"
      ]
    }
  ]
}

Speichern Sie das Richtliniendokument in einer Datei mit dem Namen role-policy-document.json.

Wenn Sie eine Richtlinie erstellen, die auch für Organisations-Trails verwendet werden soll, müssen Sie sie etwas anders konfigurieren. Die folgende Richtlinie gewährt beispielsweise CloudTrail die erforderlichen Berechtigungen, um einen CloudWatch Logs-Log-Stream in der von Ihnen angegebenen Protokollgruppe zu erstellen und CloudTrail Ereignisse an diesen Log-Stream zu übermitteln, und zwar sowohl für Pfade im AWS Konto 111111111111 als auch für Organisationspfade, die im Konto 1111111111 erstellt wurden und auf die AWS Organizations Organisation mit der ID o-exampleorgid angewendet werden:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AWSCloudTrailCreateLogStream20141101",
            "Effect": "Allow",
            "Action": [
                "logs:CreateLogStream"
            ],
            "Resource": [
                "arn:aws:logs:us-east-2:111111111111:log-group:CloudTrail/DefaultLogGroupTest:log-stream:111111111111_CloudTrail_us-east-2*",
                "arn:aws:logs:us-east-2:111111111111:log-group:CloudTrail/DefaultLogGroupTest:log-stream:o-exampleorgid_*"
            ]
        },
        {
            "Sid": "AWSCloudTrailPutLogEvents20141101",
            "Effect": "Allow",
            "Action": [
                "logs:PutLogEvents"
            ],
            "Resource": [
                "arn:aws:logs:us-east-2:111111111111:log-group:CloudTrail/DefaultLogGroupTest:log-stream:111111111111_CloudTrail_us-east-2*",             
                "arn:aws:logs:us-east-2:111111111111:log-group:CloudTrail/DefaultLogGroupTest:log-stream:o-exampleorgid_*"
            ]
        }
    ]
}

Weitere Informationen zu Organisations-Trails finden Sie unter Erstellen eines Trails für eine Organisation.

Führen Sie den folgenden Befehl aus, damit die Richtlinie für die Rolle gilt.

aws iam put-role-policy --role-name role_name --policy-name cloudtrail-policy --policy-document file://<path to role-policy-document>.json

Aktualisieren des Trails

Aktualisieren Sie den Trail mithilfe des Befehls mit den Protokollgruppen- und Rolleninformationen. CloudTrail update-trail

aws cloudtrail update-trail --name trail_name --cloud-watch-logs-log-group-arn log_group_arn --cloud-watch-logs-role-arn role_arn

Weitere Informationen zu den AWS CLI Befehlen finden Sie in der AWS CloudTrail Befehlszeilenreferenz.

Einschränkung

CloudWatch In den Protokollen ist EventBridge jeweils eine maximale Ereignisgröße von 256 KB zulässig. Obwohl die meisten Dienstereignisse eine maximale Größe von 256 KB haben, haben einige Dienste immer noch größere Ereignisse. CloudTrail sendet diese Ereignisse nicht an CloudWatch Logs oder EventBridge.

Ab der CloudTrail Ereignisversion 1.05 haben Ereignisse eine maximale Größe von 256 KB. Dies soll dazu beitragen, die Ausnutzung durch böswillige Akteure zu verhindern und die Nutzung von Ereignissen durch andere AWS Dienste wie CloudWatch Logs und EventBridge zu ermöglichen.