Erstellen Sie einen Event-Datenspeicher für S3-Datenereignisse

Erstellen Sie einen Ereignisdatenspeicher für S3-Datenereignisse wie folgt:

1. Melden Sie sich bei der an AWS-Managementkonsole und öffnen Sie die CloudTrail Konsole unter https://console.aws.amazon.com/cloudtrail/.

2. Wählen Sie im Navigationsbereich unter Lake die Option Ereignisdatenspeicher aus.

3. Wählen Sie Ereignisdatenspeicher erstellen aus.

4. Geben Sie auf der Seite Event-Datenspeicher konfigurieren unter Allgemeine Details Ihrem Event-Datenspeicher einen Namen, z. s3-data-events-eds B. Verwenden Sie dazu am besten einen Namen, der den Zweck des Ereignisdatenspeichers schnell identifiziert. Informationen zu den CloudTrail Benennungsanforderungen finden Sie unterBenennungsanforderungen für CloudTrail Ressourcen, S3-Buckets und KMS-Schlüssel.

5. Wählen Sie die Preisoption aus, die Sie für den Ereignisdatenspeicher verwenden möchten. Der Preisoption bestimmt die Kosten für die Erfassung und Speicherung von Ereignissen sowie die standardmäßige und maximale Aufbewahrungsdauern für Ihren Ereignisdatenspeicher. Weitere Informationen finden Sie unter AWS CloudTrail -Preise und Verwaltung der CloudTrail Seekosten.

   Die folgenden Optionen sind verfügbar:

   • One-year Erweiterbare Aufbewahrungskosten — Diese Option wird generell empfohlen, wenn Sie davon ausgehen, weniger als 25 TB an Veranstaltungsdaten pro Monat aufzunehmen und eine flexible Aufbewahrungsdauer von bis zu 10 Jahren wünschen. In den ersten 366 Tagen (Standardaufbewahrungszeitraum) ist Speicherplatz ohne zusätzliche Kosten im Preis für die Datenaufnahme enthalten. Nach 366 Tagen ist eine erweiterte Aufbewahrung zum Preis mit nutzungsabhängige Preisberechnung erhältlich. Dies ist die Standardoption.

     • Standardaufbewahrungsdauer: 366 Tage.

     • Maximale Aufbewahrungsdauer: beträgt 3 653 Tage.

   • Seven-year Preisgestaltung für Aufbewahrung — Diese Option wird empfohlen, wenn Sie davon ausgehen, mehr als 25 TB an Veranstaltungsdaten pro Monat aufzunehmen und eine Aufbewahrungsfrist von bis zu 7 Jahren benötigen. Die Aufbewahrung ist im Preis für die Erfassung ohne Zusatzkosten enthalten.

     • Standardaufbewahrungsdauer: 2 557 Tage.

     • Maximale Aufbewahrungsdauer: beträgt 2 557 Tage.

6. Geben Sie einen Aufbewahrungszeitraum für den Ereignisdatenspeicher an. Die Aufbewahrungsfristen können zwischen 7 Tagen und 3.653 Tagen (etwa 10 Jahre) für die Option mit One-year erweiterbarer Aufbewahrungsgebühr oder zwischen 7 Tagen und 2.557 Tagen (etwa sieben Jahre) für die Preisoption für die Aufbewahrung liegen. Seven-year

   CloudTrail Lake bestimmt, ob ein Ereignis gespeichert werden soll, indem es prüft, ob das Ereignis innerhalb eventTime des angegebenen Aufbewahrungszeitraums liegt. Wenn Sie beispielsweise eine Aufbewahrungsfrist von 90 Tagen angeben, CloudTrail werden Ereignisse entfernt, wenn sie eventTime älter als 90 Tage sind.

7. (Optional) Wählen Sie unter Verschlüsselung aus, ob Sie den Ereignisdatenspeicher mit Ihrem eigenen KMS-Schlüssel verschlüsseln möchten. Standardmäßig werden alle Ereignisse in einem Event-Datenspeicher CloudTrail mithilfe eines KMS-Schlüssels verschlüsselt, den Sie AWS besitzen und für Sie verwalten.

   Um die Verschlüsselung mit Ihrem eigenen KMS-Schlüssel zu aktivieren, wählen Sie Meinen eigenen AWS KMS key verwenden. Wählen Sie „Neu“, um einen für Sie AWS KMS key erstellen zu lassen, oder wählen Sie „Vorhanden“, um einen vorhandenen KMS-Schlüssel zu verwenden. Geben Sie im Feld KMS-Alias eingeben einen Alias im folgenden Format an alias/MyAliasName. Wenn Sie Ihren eigenen KMS-Schlüssel verwenden, müssen Sie Ihre KMS-Schlüsselrichtlinie so bearbeiten, dass CloudTrail Protokolle verschlüsselt und entschlüsselt werden können. Weitere Informationen finden Sie unterKonfiguration AWS KMS wichtige Richtlinien für CloudTrail. CloudTrail unterstützt auch Schlüssel AWS KMS für mehrere Regionen. Weitere Informationen finden Sie über Multi-Regions-Schlüssel finden Sie unter Verwenden von Schlüsseln für mehrere Regionen im AWS Key Management Service -Entwicklerhandbuch.

   Die Verwendung Ihres eigenen KMS-Schlüssels verursacht AWS KMS Kosten für die Verschlüsselung und Entschlüsselung. Nachdem Sie einen KMS-Schlüssel einem Ereignisdatenspeicher zugeordnet haben, kann der KMS-Schlüssel nicht entfernt oder geändert werden.

   Anmerkung

   Um die AWS Key Management Service Verschlüsselung für einen Datenspeicher für Organisationsereignisse zu aktivieren, müssen Sie einen vorhandenen KMS-Schlüssel für das Verwaltungskonto verwenden.

8. (Optional) Wenn Sie Ihre Ereignisdaten mit Amazon Athena abfragen möchten, wählen Sie Aktivieren in Lake-Abfrageverbund. Mit Verbund können Sie die mit einem Ereignisdatenspeicher verbundenen Metadaten im AWS Glue -Datenkatalog einsehen und mit Amazon Athena SQL-Abfragen zu den Ereignisdaten durchführen. Anhand der im AWS Glue Datenkatalog gespeicherten Tabellenmetadaten weiß die Athena-Abfrage-Engine, wie sie die Daten, die Sie abfragen möchten, findet, liest und verarbeitet. Weitere Informationen finden Sie unter Verbund für einen Ereignisdatenspeicher erstellen.

   Wählen Sie Aktivieren und gehen Sie wie folgt vor, um Lake-Abfrageverbund zu aktivieren:

   1. Wählen Sie aus, ob Sie eine neue Rolle erstellen oder eine vorhandene IAM-Rolle verwenden möchten. AWS Lake Formation verwendet diese Rolle, um die Berechtigungen für den Verbundereignisdatenspeicher zu verwalten. Wenn Sie mithilfe der CloudTrail Konsole eine neue Rolle erstellen, CloudTrail wird automatisch eine Rolle mit den erforderlichen Berechtigungen erstellt. Wenn Sie eine bestehende Rolle auswählen, stellen Sie sicher, dass die Richtlinie für die Rolle die erforderlichen Mindestberechtigungen vorsieht.

   2. Wenn Sie eine neue Rolle erstellen, geben Sie einen Namen zur Identifizierung der Rolle ein.

   3. Wenn Sie eine bestehende Rolle verwenden, wählen Sie die Rolle aus, die Sie verwenden möchten. Die Rolle muss in Ihrem Konto vorhanden sein.

9. (Optional) Wählen Sie Ressourcenrichtlinie aktivieren, um Ihrem Event-Datenspeicher eine ressourcenbasierte Richtlinie hinzuzufügen. Resource-based Mithilfe von Richtlinien können Sie steuern, welche Principals Aktionen in Ihrem Event-Datenspeicher ausführen können. Sie können beispielsweise eine ressourcenbasierte Richtlinie hinzufügen, die es Root-Benutzern in anderen Konten ermöglicht, diesen Event-Datenspeicher abzufragen und die Abfrageergebnisse anzuzeigen. Beispiele für Richtlinien finden Sie unter Resource-based Beispiele für Richtlinien für Event-Datenspeicher.

   Eine ressourcenbasierte Richtlinie umfasst eine oder mehrere Anweisungen. Jede Anweisung in der Richtlinie definiert die Principals, denen der Zugriff auf den Event-Datenspeicher gewährt oder verweigert wird, sowie die Aktionen, die die Principals mit der Event-Datenspeicher-Ressource ausführen können.

   Die folgenden Aktionen werden in ressourcenbasierten Richtlinien für Event-Datenspeicher unterstützt:

   • cloudtrail:StartQuery

   • cloudtrail:CancelQuery

   • cloudtrail:ListQueries

   • cloudtrail:DescribeQuery

   • cloudtrail:GetQueryResults

   • cloudtrail:GenerateQuery

   • cloudtrail:GenerateQueryResultsSummary

   • cloudtrail:GetEventDataStore

   CloudTrail Erstellt für Event-Datenspeicher der Organisation eine ressourcenbasierte Standardrichtlinie, die die Aktionen auflistet, die die delegierten Administratorkonten in den Event-Datenspeichern der Organisation ausführen dürfen. Die Berechtigungen in dieser Richtlinie werden von den delegierten Administratorberechtigungen in abgeleitet. AWS Organizations Diese Richtlinie wird automatisch aktualisiert, wenn Änderungen am Event-Datenspeicher der Organisation oder an der Organisation vorgenommen werden (z. B. wenn ein CloudTrail delegiertes Administratorkonto registriert oder entfernt wird).

10. (Optional) Fügen Sie unter Tags ein oder mehrere benutzerdefinierte Tags (Schlüssel-Wert-Paare) zu Ihrem Ereignisdatenspeicher hinzu. Mithilfe von Stichwörtern können Sie Ihre CloudTrail Event-Datenspeicher identifizieren. Sie könnten beispielsweise ein Tag mit dem Namen stage und dem Wert prod anfügen. Sie können Tags verwenden, um den Zugriff auf Ihren Ereignisdatenspeicher einzuschränken. Sie können Tags auch verwenden, um die Abfrage- und Aufnahmekosten für Ihren Ereignisdatenspeicher zu verfolgen.

    Informationen dazu, wie Sie mithilfe von Tags Kosten nachverfolgen, finden Sie unter Erstellen von benutzerdefinierten Kostenzuweisungs-Tags für CloudTrail Lake-Event-Datenspeicher. Informationen darüber, wie Sie IAM-Richtlinien verwenden, um den Zugriff auf einen Ereignisdatenspeicher basierend auf Tags zu autorisieren, finden Sie unter Beispiele: Verweigern des Zugriffs zum Erstellen oder Löschen von Ereignisdatenspeichern basierend auf Tags. Informationen darüber, wie Sie Tags verwenden können AWS, finden Sie unter Tagging Your AWS Resources im Tagging AWS Resources User Guide.

11. Wählen Sie Next (Weiter) aus, um den Ereignisdatenspeicher zu konfigurieren.

12. Behalten Sie auf der Seite Ereignisse auswählen die Standardauswahl für den Ereignistyp bei.

    

13. Wählen Sie für CloudTrail Ereignisse die Option Datenereignisse und deaktivieren Sie Verwaltungsereignisse. Weitere Informationen zu Datenereignissen finden Sie unter Protokollieren von Datenereignissen.

    

14. Behalten Sie die Standardeinstellung für Trail-Ereignisse kopieren bei. Sie würden diese Option verwenden, um vorhandene Trail-Ereignisse in Ihren Ereignisdatenspeicher zu kopieren. Weitere Informationen finden Sie unter Kopieren von Trail-Ereignissen in einen Ereignisdatenspeicher.

15. Wählen Sie Für alle Konten in meiner Organisation aktivieren aus, wenn es sich um einen Ereignisdatenspeicher für eine Organisation handelt. Diese Option kann nur geändert werden, wenn Sie Konten in AWS Organizations konfiguriert haben.

16. Behalten Sie für Zusätzliche Einstellungen die Standardauswahl bei. Standardmäßig sammelt ein Event-Datenspeicher Ereignisse für alle AWS-Regionen und beginnt mit der Erfassung von Ereignissen, sobald er erstellt wird.

17. Treffen Sie für Datenereignisse die folgenden Auswahlen:

    1. Wählen Sie unter Ressourcentyp die Option S3 aus. Der Ressourcentyp identifiziert die Ressource AWS-Service und, auf der Datenereignisse protokolliert werden.

    2. Wählen Sie unter Protokoll-Selektorvorlage Benutzerdefiniert aus. Wenn Sie Benutzerdefiniert wählen, können Sie einen benutzerdefinierten Ereignisselektor festlegen, um nach den Feldern eventName, resources.ARN und readOnly zu filtern. Informationen zu diesen Feldern finden Sie AdvancedFieldSelector in der AWS CloudTrail API-Referenz.

    3. (Optional) Geben Sie unter Selektorname einen Namen ein, um Ihre Auswahl zu identifizieren. Der Selektorname ist ein beschreibender Name für einen erweiterten Event-Selektor, z. B. „ DeleteObject API-Aufrufe für einen bestimmten S3-Bucket protokollieren“. Der Name des Selektors wird als Name in der erweiterten Ereignisauswahl aufgeführt und ist sichtbar, wenn Sie die JSON-Ansicht erweitern.

       

    4. In den erweiterten Event-Selektoren erstellen wir den benutzerdefinierten Event-Selektor, um nach den Feldern und zu filtern. eventName resources.ARN Erweiterte Ereignisselektoren für einen Ereignisdatenspeicher funktionieren genauso wie erweiterte Ereignisselektoren, die Sie auf einen Trail anwenden. Weitere Informationen zum Erstellen von erweiterten Ereignisauswahlen finden Sie unter Protokollieren von Datenereignissen mit erweiterten Ereignisauswahlen.

       1. Wählen Sie für Feld die Option EventName. Wählen Sie für Operator die Option Equals aus. Geben Sie für Wert DeleteObject ein. Wählen Sie + Feld, um nach einem anderen Feld zu filtern.

       2. Wählen Sie für Feld resources.ARN aus. Wählen Sie für Operator StartsWith. Geben Sie für Value den ARN für Ihren Bucket ein (z. B. arn:aws:s3:::). amzn-s3-demo-bucket Informationen zum Abrufen des ARN finden Sie unter Amazon-S3-Ressourcen im Benutzerhandbuch von Amazon Simple Storage Service.

    

18. Wählen Sie Next (Weiter) aus, um Ihre Auswahl zu überprüfen.

19. Überprüfen Sie auf der Seite Prüfen und erstellen Ihre Auswahl. Wählen Sie Bearbeiten aus, um Änderungen am Schema vorzunehmen. Wenn Sie bereit sind, den Ereignisdatenspeicher zu erstellen, wählen Sie Ereignisdatenspeicher erstellen aus.

20. Der neue Ereignisdatenspeicher ist in der Tabelle Ereignisdatenspeicher auf der Seite Ereignisdatenspeicher sichtbar.

    Ab diesem Zeitpunkt erfasst der Ereignisdatenspeicher Ereignisse, die mit seinen erweiterten Ereignisselektoren übereinstimmen. Ereignisse, die aufgetreten sind, bevor Sie den Ereignisdatenspeicher erstellt haben, befinden sich nicht im Ereignisdatenspeicher, es sei denn Sie haben sich für das Kopieren der bestehenden Trail-Ereignissen entschieden.