Enriquece CloudTrail los eventos añadiendo claves de etiquetas de recursos y claves de condición globales de IAM

Puede enriquecer los eventos CloudTrail de gestión y los eventos de datos añadiendo claves de etiquetas de recursos, claves de etiquetas principales y claves de estado globales de IAM al crear o actualizar un banco de datos de eventos. Esto le permite clasificar, buscar y analizar los CloudTrail eventos en función del contexto empresarial, como la asignación de costos y la administración financiera, las operaciones y los requisitos de seguridad de los datos. Puede analizar los eventos realizando consultas en CloudTrail Lake. También puede elegir federar su almacén de datos de eventos y ejecutar consultas en Amazon Athena. Puede agregar claves de etiquetas de recursos y claves de condición globales de IAM a un banco de datos de eventos mediante la CloudTrail consola y los SDK. AWS CLI

Al agregar claves de etiquetas de recursos a eventos enriquecidos, CloudTrail incluye las claves de etiqueta seleccionadas asociadas a los recursos que participaron en la llamada a la API.

Cuando añades claves de condición globales de IAM a un banco de datos de eventos, se CloudTrail incluye información sobre las claves de condición seleccionadas que se evaluaron durante el proceso de autorización, además de detalles adicionales sobre la entidad principal, la sesión y la propia solicitud.

Después de añadir las claves de etiquetas de recursos o las claves de condición de IAM, CloudTrail incluye un eventContext campo en CloudTrail los eventos que proporciona la información contextual seleccionada para la acción de la API.

Existen algunas excepciones en las que el evento no incluirá el campo eventContext, como las siguientes:

Servicios de AWS etiquetas de recursos de apoyo

Todas las etiquetas de recursos de Servicios de AWS soporte. Para obtener más información, consulte Servicios que admiten AWS Resource Groups Tagging API.

Las etiquetas de recursos se actualizan CloudTrail para los eventos enriquecidos

Cuando se configura para hacerlo, CloudTrail captura información sobre las etiquetas de recursos y la usa para proporcionar información en eventos enriquecidos. Al trabajar con etiquetas de recursos, existen ciertas condiciones en las que es posible que una etiqueta de recurso no se refleje con precisión en el momento en que el sistema solicita los eventos. Durante el funcionamiento estándar, las etiquetas aplicadas en el momento de la creación del recurso están siempre presentes y tendrán un retraso mínimo o nulo. Sin embargo, se espera que los siguientes servicios retrasen los cambios en las etiquetas de recursos que aparecen en CloudTrail los eventos:

Las interrupciones del servicio también pueden ocasionar demoras en las actualizaciones de la información de las etiquetas de recursos. En caso de que se produzca una interrupción del servicio, CloudTrail los eventos subsiguientes incluirán un addendum campo que incluye información sobre el cambio en la etiqueta del recurso. Esta información adicional se utilizará según lo especificado para proporcionar información enriquecidaCloudTrailevents.

Servicios de AWS claves de condición globales de IAM compatibles

Las siguientes son Servicios de AWS compatibles con las claves de condiciones globales de IAM para eventos enriquecidos:

Claves de condición global de IAM compatibles para los eventos enriquecidos

En la siguiente tabla se enumeran las claves de condición globales de IAM compatibles con los eventos CloudTrail enriquecidos, con valores de ejemplo:

Ejemplos de evento

En el siguiente ejemplo, el campo eventContext incluye la clave de condición global de IAM aws:ViaAWSService con un valor de false, lo que indica que la llamada a la API no la realizó un Servicio de AWS.

{
    "eventVersion": "1.11",
    "userIdentity": {
        "type": "AssumedRole",
        "principalId": "ASIAIOSFODNN7EXAMPLE",
        "arn": "arn:aws:sts::123456789012:assumed-role/admin",
        "accountId": "123456789012",
        "accessKeyId": "ASIAIOSFODNN7EXAMPLE",
        "sessionContext": {
            "sessionIssuer": {
                "type": "Role",
                "principalId": "ASIAIOSFODNN7EXAMPLE",
                "arn": "arn:aws:iam::123456789012:role/admin",
                "accountId": "123456789012",
                "userName": "admin"
            },
            "attributes": {
                "creationDate": "2025-01-22T22:05:56Z",
                "mfaAuthenticated": "false"
            }
        }
    },
    "eventTime": "2025-01-22T22:06:16Z",
    "eventSource": "cloudtrail.amazonaws.com",
    "eventName": "GetTrailStatus",
    "awsRegion": "us-east-1",
    "sourceIPAddress": "192.168.0.0",
    "userAgent": "Mozilla/5.0 (Macintosh; Intel Mac OS X 10.15; rv:133.0) Gecko/20100101 Firefox/133.0",
    "requestParameters": {
        "name": "arn:aws:cloudtrail:us-east-1:123456789012:trail/myTrail"
    },
    "responseElements": null,
    "requestID": "d09c4dd2-5698-412b-be7a-example1a23",
    "eventID": "9cb5f426-7806-46e5-9729-exampled135d",
    "readOnly": true,
    "eventType": "AwsApiCall",
    "managementEvent": true,
    "recipientAccountId": "123456789012",
    "eventCategory": "Management",
    "tlsDetails": {
        "tlsVersion": "TLSv1.3",
        "cipherSuite": "TLS_AES_128_GCM_SHA256",
        "clientProvidedHostHeader": "cloudtrail.us-east-1.amazonaws.com"
    },
    "sessionCredentialFromConsole": "true",
    "eventContext": {
        "requestContext": {
            "aws:ViaAWSService": "false"
        },
        "tagContext": {}
    }
}