CloudTrail conceptos

Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

En esta sección se resumen los conceptos básicos relacionados CloudTrail con.

CloudTrail eventos

Un evento en CloudTrail es el registro de una actividad en una AWS cuenta. Esta actividad puede ser una acción realizada por una identidad de IAM o un servicio que pueda supervisarse. CloudTrail CloudTraillos eventos proporcionan un historial de la actividad de las cuentas API y ajenas a la API realizada a través de las AWS Management Console herramientas de línea de comandos y otros servicios. AWS SDKs AWS

CloudTrail Los archivos de registro no son un registro ordenado de las llamadas a las API públicas, por lo que los eventos no aparecen en ningún orden específico.

CloudTrail registra cuatro tipos de eventos:

Todos los tipos de eventos utilizan un formato de registro CloudTrail JSON.

De forma predeterminada, los registros de seguimiento y los almacenes de datos de eventos registran los eventos de administración, pero no los eventos de datos o de Insights.

Para obtener información sobre cómo Servicios de AWS integrarse con CloudTrail, consulteAWS temas de servicio para CloudTrail.

Eventos de administración

Los eventos de administración proporcionan información sobre las operaciones de administración que se realizan en los recursos de su AWS cuenta. Se denominan también operaciones del plano de control.

Algunos ejemplos de eventos de administración son los siguientes:

Los eventos de administración también pueden incluir eventos no generados por la API que se producen en su cuenta. Por ejemplo, cuando un usuario inicia sesión en tu cuenta, CloudTrail registra el ConsoleLogin evento. Para obtener más información, consulte Eventos ajenos a la API capturados por CloudTrail.

De forma predeterminada, los datos de eventos de CloudTrail Trails and CloudTrail Lake almacenan los eventos de gestión de registros. Para obtener más información sobre el registro de eventos de administración, consulte Registro de eventos de administración.

Eventos de datos

Los eventos de datos proporcionan información sobre las operaciones realizadas en un recurso o dentro de él. Se denominan también operaciones del plano de datos. Los eventos de datos suelen ser actividades de gran volumen.

Algunos ejemplos de eventos de datos son los siguientes:

La siguiente tabla muestra los tipos de recursos disponibles para los almacenes de datos de senderos y eventos. La columna Tipo de recurso (consola) muestra la selección adecuada en la consola. La columna de valores resources.type muestra el resources.type valor que usted especificaría para incluir eventos de datos de ese tipo en su almacén de datos de rutas o eventos mediante la tecla o. AWS CLI CloudTrail APIs

En el caso de los registros de seguimiento, puede utilizar selectores de eventos básicos o avanzados para registrar eventos de datos de objetos de Amazon S3 en buckets, funciones de Lambda y tablas de DynamoDB de uso general (se muestran en las tres primeras filas de la tabla). Solo puede usar selectores de eventos avanzados para registrar los tipos de recursos que se muestran en las filas restantes.

En el caso de los almacenes de datos de eventos, puede utilizar selectores de eventos avanzados para que se incluyan eventos de datos únicamente.

El registro de los eventos de datos está deshabilitado de forma predeterminada cuando crea un registro de seguimiento o un almacén de datos de eventos. Para registrar CloudTrail los eventos de datos, debe agregar de forma explícita cada tipo de recurso para el que desee recopilar la actividad. Para obtener más información sobre el registro de eventos de datos, consulte Registro de eventos de datos.

Se aplican cargos adicionales para registrar eventos de datos. Para CloudTrail conocer los precios, consulte AWS CloudTrail Precios.

Eventos de actividad de la red

CloudTrail los eventos de actividad de red permiten a los propietarios de puntos finales de VPC grabar las llamadas a la AWS API realizadas con sus puntos de enlace de VPC desde una VPC privada a. Servicio de AWS Los eventos de actividad de la red muestran información sobre las operaciones de recursos realizadas dentro de una VPC.

Puede registrar los eventos de actividad de la red para los siguientes servicios:

El registro de los eventos de actividad de la red está deshabilitado de forma predeterminada cuando crea un registro de seguimiento o un almacén de datos de eventos. Para registrar los eventos de actividad de la CloudTrail red, debe establecer de forma explícita el origen del evento para el que desea recopilar la actividad. Para obtener más información, consulte Registro de eventos de actividad de la red.

Se aplican cargos adicionales por el registro de eventos de actividad de la red. Para CloudTrail conocer los precios, consulte AWS CloudTrail Precios.

Eventos de Insights

CloudTrail Los eventos de Insights capturan la actividad inusual de la tasa de llamadas a la API o la tasa de errores en su AWS cuenta mediante el análisis CloudTrail de la actividad de administración. Los eventos de Insights proporcionan información relevante, como la API asociada, el código de error, la hora del incidente y las estadísticas, que lo ayuda a conocer la actividad inusual y actuar en consecuencia. A diferencia de otros tipos de eventos que se capturan en un CloudTrail registro o un banco de datos de eventos, los eventos de Insights solo se registran cuando CloudTrail detecta cambios en el uso de la API de su cuenta o en el registro de la tasa de errores que difieren significativamente de los patrones de uso típicos de la cuenta. Para obtener más información, consulte Trabajar con CloudTrail Insights.

Entre los ejemplos de actividad que podrían generar los eventos de Insights se incluyen los siguientes:

Estos ejemplos se ofrecen únicamente con fines ilustrativos. Sus resultados pueden variar según su caso de uso.

Para registrar los eventos de CloudTrail Insights, debes habilitar explícitamente los eventos de Insights en un almacén de datos de eventos o rutas nuevo o existente. Para obtener más información acerca de la creación de un registro de seguimiento, consulte Crear un sendero con la CloudTrail consola. Para obtener más información acerca de la creación de un almacén de datos de eventos, consulte Creación de un almacén de datos de eventos para los eventos de Insights con la consola.

Se aplican cargos adicionales por los eventos de Insights. Se le cobrará por separado si habilita Insights para los registros de seguimiento y almacenes de datos de eventos. Para obtener más información, consulte AWS CloudTrail Precios.

Historial de eventos

CloudTrail el historial de eventos proporciona un registro visible, consultable, descargable e inmutable de los últimos 90 días de eventos de CloudTrail gestión en un. Región de AWS Puedes usar este historial para obtener visibilidad de las acciones realizadas en tu AWS cuenta en las AWS Management Console herramientas de línea de comandos y otros servicios. AWS SDKs AWS Puedes personalizar la vista del historial de eventos en la CloudTrail consola seleccionando las columnas que se muestran. Para obtener más información, consulte Trabajar con el historial de CloudTrail eventos.

Registros de seguimiento

Una ruta es una configuración que permite la entrega de CloudTrail eventos a un bucket de S3, con la entrega opcional a CloudWatch Logs y Amazon EventBridge. Puede utilizar una ruta para elegir los CloudTrail eventos que quiere que se envíen, cifrar los archivos de registro de CloudTrail eventos con una AWS KMS clave y configurar las notificaciones de Amazon SNS para la entrega de los archivos de registro. Para obtener más información acerca de cómo crear y administrar un registro de seguimiento, consulte Creando un sendero para tu Cuenta de AWS.

Registros de seguimiento multirregión y de una sola región

Puede crear registros de seguimiento multirregión y de una sola región para su Cuenta de AWS.

Los registros de seguimiento multirregión tienen las siguientes ventajas:

La creación de un sendero multirregional tiene los siguientes efectos:

Independientemente de si una ruta es multirregional o de una sola región, los eventos que se envían a Amazon EventBridge se reciben en el bus de eventos de cada región, en lugar de en un único bus de eventos.

Varios registros de seguimiento por región

Si tiene diferentes grupos de usuarios, pero que están relacionados, como desarrolladores, personal de seguridad y auditores de TI, puede crear varios registros de seguimiento en cada región. De este modo, cada grupo recibe su propia copia de los archivos de registro.

CloudTrail admite cinco rutas por región. Un registro de seguimiento multirregión cuenta como un registro de seguimiento por región.

Este es un ejemplo de una región con cinco registros de seguimiento:

Puedes ver una lista de rutas Región de AWS en la página Rutas de la CloudTrail consola. Para obtener más información, consulte Actualización de una ruta con la CloudTrail consola. Para ver CloudTrail los precios, consulta AWS CloudTrail los precios.

Registros de seguimiento de la organización

Un registro de la organización es una configuración que permite enviar CloudTrail eventos de la cuenta de administración y de todas las cuentas de los miembros de una AWS Organizations organización al mismo bucket de Amazon S3, CloudWatch Logs y Amazon EventBridge. La creación de un registro de seguimiento de organización lo ayuda a definir una estrategia uniforme de registro de eventos para su organización.

Todos los registros organizativos creados con la consola son registros organizativos multirregionales que registran los eventos de las cuentas Regiones de AWS habilitadas de cada miembro de la organización. Para registrar los eventos en todas las AWS particiones de su organización, cree un registro de organización multirregional en cada partición. Puede crear un registro de seguimiento de la organización de una sola región o de varias regiones mediante la AWS CLI. Si crea un registro de una sola región, registrará la actividad únicamente en el registro Región de AWS (también denominado región de origen).

Aunque la mayoría Regiones de AWS están habilitadas de forma predeterminada Cuenta de AWS, debes habilitar manualmente determinadas regiones (también denominadas regiones de suscripción). Para obtener información sobre qué regiones están habilitadas por defecto, consulte Considerations before enabling and disabling Regions en la Guía de referencia de AWS Account Management . Para ver la lista de regiones CloudTrail compatibles, consulteCloudTrail regiones compatibles.

Al crear un registro de seguimiento de la organización, se creará una copia con el nombre que le asigne en las cuentas de miembros que pertenezcan a su organización.

Los usuarios con CloudTrail permisos en las cuentas de los miembros podrán ver los registros de la organización (incluido el ARN de la ruta) cuando inicien sesión en la CloudTrail consola desde sus AWS cuentas o cuando ejecuten AWS CLI comandos como describe-trails (aunque las cuentas de los miembros deben usar el ARN para el registro de la organización y no el nombre cuando usen el). AWS CLI Sin embargo, los usuarios de las cuentas de miembros no tendrán permisos suficientes para eliminar el registro de seguimiento de la organización, activar o desactivar el registro, cambiar los tipos de eventos registrados o alterar el registro de seguimiento de la organización. Para obtener más información sobre AWS Organizations, consulte Terminología y conceptos de Organizations. Para obtener más información acerca de la creación y el uso de registros de seguimiento de organización, consulte Creación de un registro de seguimiento para una organización.

CloudTrail Almacenes de datos de lagos y eventos

CloudTrail Lake le permite ejecutar consultas detalladas basadas en SQL sobre sus eventos y registrar los eventos de fuentes externas AWS, incluidas las de sus propias aplicaciones y de los socios con los que están integrados. CloudTrail No necesita tener una ruta configurada en su cuenta para usar Lake. CloudTrail

Los eventos se agregan en almacenes de datos de eventos, que son colecciones inmutables de eventos en función de criterios que se seleccionan aplicando selectores de eventos avanzados. Puede conservar los datos de eventos en un almacén de datos de eventos durante un máximo de 3653 días (unos 10 años) si elige la opción Precio de retención ampliable por un año, o hasta 2557 días (unos 7 años) si elige la opción Precio de retención de siete años. Puede guardar las consultas de Lake para utilizarlas en el futuro y ver los resultados de las consultas durante un máximo de siete días. También puede guardar los resultados de las consultas en un bucket de S3. CloudTrail Lake también puede almacenar eventos de una organización AWS Organizations en un almacén de datos de eventos o eventos de varias regiones y cuentas. CloudTrail Lake forma parte de una solución de auditoría que le ayuda a realizar investigaciones de seguridad y solucionar problemas. Para obtener más información, consulte Trabajando con AWS CloudTrail Lake y CloudTrail Conceptos y terminología del lago.

CloudTrail Perspectivas

CloudTrail Los conocimientos ayudan a AWS los usuarios a identificar y responder a volúmenes inusuales de llamadas a la API o a los errores registrados en las llamadas a la API mediante el análisis continuo CloudTrail de los eventos de administración. Un evento de Insights es un registro de niveles inusuales de actividad de API de administración write o niveles inusuales de errores devueltos en la actividad de la API de administración. De forma predeterminada, los registros y los almacenes de datos de eventos no registran los eventos de CloudTrail Insights. En la consola, puede elegir registrar eventos de Insights cuando cree o actualice un registro de seguimiento o un almacén de datos de eventos. Cuando utilizas la CloudTrail API, puedes registrar los eventos de Insights editando la configuración de un banco de datos de senderos o eventos existente con la PutInsightSelectorsAPI. Se aplican cargos adicionales por registrar los eventos de CloudTrail Insights. Se le cobrará por separado si habilita Insights para los registros de seguimiento y almacenes de datos de eventos. Para obtener más información, consulte Trabajar con CloudTrail Insights y Precios de AWS CloudTrail.

Etiquetas

Una etiqueta es una clave definida por el cliente y un valor opcional que se puede asignar a AWS recursos, como CloudTrail rutas, almacenes de datos de eventos y canales, depósitos de S3 que se utilizan para almacenar archivos de CloudTrail registro, AWS Organizations organizaciones y unidades organizativas, y muchos más. Si agrega las mismas etiquetas a los registros de seguimiento y a los buckets de S3 que utiliza para almacenar los archivos de registro de los registros de seguimiento, puede hacer que sea más sencillo administrar, buscar y filtrar estos recursos con AWS Resource Groups. Puede implementar estrategias de etiquetado que le ayuden a encontrar y administrar los recursos de forma sencilla, coherente y eficaz. Para obtener más información, consulte Prácticas recomendadas para etiquetar recursos. AWS

AWS Security Token Service y CloudTrail

AWS Security Token Service (AWS STS) es un servicio que tiene un punto final global y también es compatible con puntos finales específicos de la región. Un punto de enlace es una dirección URL que funciona como punto de entrada para solicitudes de servicios web. Por ejemplo, https://cloudtrail.us-west-2.amazonaws.com es el punto de entrada regional de EE. UU. Oeste (Oregón) para el servicio. AWS CloudTrail Los puntos de enlace regionales ayudan a reducir la latencia en sus aplicaciones.

Cuando se utiliza un punto final AWS STS específico de una región, el recorrido de esa región muestra solo los AWS STS eventos que se producen en esa región. Por ejemplo, si utiliza el punto de enlace sts.us-west-2.amazonaws.com, el registro de seguimiento en us-west-2 envía solamente los eventos de AWS STS que se originan en us-west-2. Para obtener más información sobre los puntos finales AWS STS regionales, consulte Activación y desactivación AWS STS en una AWS región en la Guía del usuario de IAM.

Para obtener una lista completa de los puntos de enlace AWS regionales, consulte AWS Regiones y puntos de enlace en la. Referencia general de AWS Para obtener información detallada sobre los puntos de enlace de AWS STS , consulte Eventos de servicios globales.

Eventos de servicios globales

En la mayoría de los servicios, los eventos se registran en la región en la que se produjo la acción. En el caso de servicios globales como AWS Identity and Access Management (IAM) y Amazon CloudFront, los eventos se entregan en cualquier ruta que incluya servicios globales. AWS STS

En el caso de la mayoría de los servicios globales, los eventos se registran como si se produjeran en la región Este de EE. UU. (Norte de Virginia), pero algunos eventos de servicio globales se registran como si se produjeran en otras regiones, como las regiones Este de EE. UU. (Ohio) u Oeste de EE. UU. (Oregón).

Para evitar recibir eventos de servicios globales duplicados, recuerde lo siguiente:

Ejemplo: