Registro de llamadas a la API de Amazon S3 mediante AWS CloudTrail
Amazon S3 está integrado con AWS CloudTrail, un servicio que proporciona un registro de las acciones realizadas por un usuario, un rol o un Servicio de AWS. CloudTrail captura todas las llamadas a la API para Amazon S3 como eventos. Las llamadas capturadas incluyen las llamadas desde la consola de Amazon S3 y las llamadas de código hacia las operaciones de la API de Amazon S3. Mediante la información recopilada por CloudTrail, puede determinar la solicitud que se realizó a Amazon S3, la dirección IP desde la que se realizó, cuándo se realizó y detalles adicionales.
Cada entrada de registro o evento contiene información sobre quién generó la solicitud. La información de identidad del usuario lo ayuda a determinar lo siguiente:
-
Si la solicitud se realizó con las credenciales del usuario raíz o del usuario.
-
Si la solicitud se realizó en nombre de un usuario de IAM Identity Center.
-
Si la solicitud se realizó con credenciales de seguridad temporales de un rol o fue un usuario federado.
-
Si la solicitud la realizó otro Servicio de AWS.
CloudTrail está activado en la Cuenta de AWS cuando usted crea la cuenta y tiene acceso automático al Historial de eventos de CloudTrail. El Historial de eventos de CloudTrail proporciona un registro visible e inmutable, que se puede buscar y descargar, de los últimos 90 días de eventos de gestión registrados en una Región de AWS. Para obtener más información, consulte Trabajar con el historial de eventos de CloudTrail en la Guía del usuario de AWS CloudTrail. No se cobran cargos de CloudTrail por ver el Historial de eventos.
Para mantener un registro permanente de los eventos en su Cuenta de AWS más allá de los 90 días, cree un registro de seguimiento o un almacén de datos de eventos de CloudTrail Lake.
- Registros de seguimiento de CloudTrail
-
Un registro de seguimiento permite a CloudTrail enviar archivos de registro a un bucket de Amazon S3. Todos los registros de seguimiento que cree con la AWS Management Console son de varias regiones. Puede crear un registro de seguimiento de una sola región o de varias regiones mediante la AWS CLI. Se recomienda crear un registro de seguimiento de varias regiones, ya que registra actividad en todas las Regiones de AWS de su cuenta. Si crea un registro de seguimiento de una sola región, solo podrá ver los eventos registrados en la Región de AWS del registro de seguimiento. Para obtener más información acerca de los registros de seguimiento, consulte Creación de un registro de seguimiento para su Cuenta de AWS y Creación de un registro de seguimiento para una organización en la Guía del usuario de AWS CloudTrail.
Puede crear un registro de seguimiento para enviar una copia de los eventos de administración en curso en su bucket de Amazon S3 sin costo alguno desde CloudTrail; sin embargo, hay cargos por almacenamiento en Amazon S3. Para obtener más información sobre los precios de CloudTrail, consulte Precios de AWS CloudTrail
. Para obtener información acerca de los precios de Amazon S3, consulte Precios de Amazon S3 . - Almacenes de datos de eventos de CloudTrail Lake
-
CloudTrail Lake le permite ejecutar consultas basadas en SQL sobre los eventos. CloudTrail Lake convierte los eventos existentes en formato JSON basado en filas al formato ORC de Apache
. ORC es un formato de almacenamiento en columnas optimizado para una recuperación rápida de datos. Los eventos se agregan en almacenes de datos de eventos, que son recopilaciones inmutables de eventos en función de criterios que se seleccionan aplicando selectores de eventos avanzados. Los selectores que se aplican a un almacén de datos de eventos controlan los eventos que perduran y están disponibles para la consulta. Para obtener más información acerca de CloudTrail Lake, consulte Trabajar con AWS CloudTrail Lake en la Guía del usuario de AWS CloudTrail. Los almacenes de datos de eventos de CloudTrail Lake y las consultas generan costos adicionales. Cuando crea un almacén de datos de eventos, elige la opción de precios que desea utilizar para él. La opción de precios determina el costo de la incorporación y el almacenamiento de los eventos, así como el periodo de retención predeterminado y máximo del almacén de datos de eventos. Para obtener más información sobre los precios de CloudTrail, consulte Precios de AWS CloudTrail
.
Puede almacenar los archivos de registro en el bucket durante el tiempo que desee, pero también puede definir reglas de ciclo de vida de Amazon S3 para archivar o eliminar archivos de registro automáticamente. De forma predeterminada, los archivos de registro se cifran mediante cifrado en el lado de servidor (SSE) de Amazon S3;.
Uso de registros de CloudTrail con los registros de acceso al servidor de Amazon S3 y CloudWatch Logs
Los registros de AWS CloudTrail contienen las acciones realizadas por un usuario, un rol o un servicio de AWS en Amazon S3, mientras que los registros de acceso al servidor de Amazon S3 contienen los detalles de las solicitudes que se realizan a un bucket de S3. Para obtener más información acerca del funcionamiento de los distintos registros y sus propiedades, rendimiento y costos, consulte Opciones de registro para Amazon S3.
Puede utilizar los registros de AWS CloudTrail junto con los registros de acceso al servidor para Amazon S3. Los registros de CloudTrail le proporcionan un seguimiento detallado de la API para las operaciones de bucket y de objeto de Amazon S3. Los registros de acceso al servidor de Amazon S3 le proporcionan visibilidad de las operaciones de nivel de objeto realizadas en sus datos en Amazon S3. Para obtener más información sobre los registros de acceso al servidor, consulte Registro de solicitudes con registro de acceso al servidor.
También puede utilizar registros de CloudTrail junto con Amazon CloudWatch para Amazon S3. La integración de CloudTrail con CloudWatch Logs envía la actividad de API de bucket de S3 obtenido por CloudTrail a una secuencia de registros de CloudWatch en el grupo de registros de CloudWatch que se especifique. Puede crear alarmas de CloudWatch para monitorear actividades específicas de la API y recibir notificaciones por correo electrónico cuando se producen las actividades de la API en cuestión. Para obtener más información acerca de las alarmas de CloudWatch para monitorear actividades específicas de la API, consulte la Guía del usuario de AWS CloudTrail. Para obtener más información acerca del uso de CloudWatch con Amazon S3, consulte Monitorización de métricas con Amazon CloudWatch.
nota
S3 no admite la entrega de registros de CloudTrail al solicitante ni al propietario del bucket para las solicitudes de puntos de conexión de VPC cuando la política de puntos de conexión de VPC las deniega.
Seguimiento de CloudTrail con llamadas a la API de SOAP de Amazon S3
CloudTrail realiza el seguimiento de las llamadas a la API de SOAP de Amazon S3 La compatibilidad con SOAP de Amazon S3 por HTTP está obsoleta, pero aún se encuentra disponible con HTTPS. Para obtener más información sobre la compatibilidad de SOAP en Amazon S3, consulte Appendix: SOAP API en la Amazon S3 API Reference.
importante
Las características más recientes de Amazon S3 no son compatibles con SOAP. Le recomendamos que utilice la API de REST o los SDK de AWS.
La siguiente tabla muestra acciones de SOAP de Amazon S3 seguidas por el registro de CloudTrail.
| Nombre de la API SOAP | Nombre de evento de API utilizado en el registro de CloudTrail |
|---|---|
ListBuckets |
|
CreateBucket |
|
DeleteBucket |
|
GetBucketAcl |
|
PutBucketAcl |
|
GetBucketLogging |
|
PutBucketLogging |
Para obtener más información acerca de CloudTrail y Amazon S3, consulte los siguientes temas:
Temas
