Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

Trabajando con AWS CloudTrail Lago

AWS CloudTrail Lake te permite realizar SQL-based consultas sobre tus eventos. CloudTrail Lake convierte los eventos existentes en formato JSON basado en filas al formato Apache ORC. ORC es un formato de almacenamiento en columnas optimizado para una recuperación rápida de datos. Los eventos se agregan en almacenes de datos de eventos, que son colecciones inmutables de eventos en función de criterios que se seleccionan aplicando selectores de eventos avanzados. Puedes conservar los datos de los eventos en un almacén de datos de eventos durante un máximo de 3.653 días (unos 10 años) si eliges la opción de precios de retención One-year ampliables, o hasta 2.557 días (unos 7 años) si eliges la opción de precios de retención. Seven-year Los selectores que aplicas a un banco de datos de eventos controlan qué eventos persisten y qué eventos están disponibles para que los consultes. CloudTrail Lake es una solución de auditoría que puede complementar su paquete de cumplimiento y ayudarlo a solucionar problemas casi en tiempo real.

CloudTrail Almacenes de datos de eventos de Lake

Cuando crea un almacén de datos de eventos, elige el tipo de eventos que desea incluir en él. Puede crear un almacén de datos de eventos para incluir CloudTrail eventos (eventos de administración, eventos de datos, eventos de actividad de red), eventos de CloudTrail Insights, elementos de AWS Config configuración, AWS Audit Manager pruebas o eventos externos AWS. Cada banco de datos de eventos solo puede contener una categoría de eventos específica (por ejemplo, elementos de AWS Config configuración), porque el esquema de eventos es exclusivo de la categoría de eventos. Puedes almacenar los eventos de una organización AWS Organizations en un banco de datos de eventos de la organización, incluidos los eventos de varias regiones y cuentas. También puede ejecutar consultas SQL en varios almacenes de datos de eventos mediante las palabras clave compatibles con SQL JOIN. Para obtener información acerca de cómo ejecutar consultas en varios almacenes de datos de eventos, consulte Soporte avanzado de consultas en varias tablas.

Puede copiar los eventos de registro de seguimiento en un almacén de datos de eventos nuevo o existente para crear una instantánea puntual de los eventos registrados en el registro de seguimiento. Para obtener más información, consulte Copiar eventos de registro de seguimiento en un almacén de datos de eventos.

Puede federar un almacén de datos de eventos para ver los metadatos asociados al almacén de datos de eventos en el Catálogo de datos de AWS Glue y ejecutar consultas de SQL sobre los datos de eventos con Amazon Athena. Los metadatos de la tabla almacenados en el catálogo de AWS Glue datos permiten al motor de consultas de Athena saber cómo buscar, leer y procesar los datos que desea consultar. Para obtener más información, consulte Federar un almacén de datos de eventos.

Puede asociar una política basada en recursos a su almacén de datos de eventos para ofrecer acceso entre cuentas a las entidades principales seleccionadas. Puede añadir una política basada en los recursos al crear o actualizar un almacén de datos de eventos en la CloudTrail consola o al ejecutar el comando. AWS CLI put-resource-policy Para obtener más información, consulte Resource-based ejemplos de políticas para almacenes de datos de eventos.

De forma predeterminada, todos los eventos de un almacén de datos de eventos se cifran mediante. CloudTrail Al configurar un almacén de datos de eventos, puede elegir usar su propia AWS Key Management Service clave. El uso de su propia clave de KMS implica AWS KMS costos de cifrado y descifrado. Después de asociar un almacén de datos de eventos a una clave de KMS, esta no se podrá eliminar ni cambiar.

Puede controlar el acceso a las acciones en los almacenes de datos de eventos mediante el uso de una autorización en función de etiquetas. Para obtener más información y ejemplos, consulte Ejemplos: Denegación de acceso para crear o eliminar almacenes de datos de eventos en función de etiquetas en esta guía.

CloudTrail Los almacenes de datos de eventos de Lake incurren en cargos. Cuando crea un almacén de datos de eventos, debe elegir la opción de precios que desee utilizar para él. La opción de precios determina el costo de la incorporación y el almacenamiento de los eventos, así como el período de retención predeterminado y máximo del almacén de datos de eventos. Para obtener información sobre CloudTrail los precios y la administración de los costos de Lake, consulte AWS CloudTrail Precios yGestión de los costos de los CloudTrail lagos.

CloudTrail Lake es compatible con CloudWatch las métricas de Amazon, que proporcionan información sobre los datos ingeridos y los bytes de almacenamiento. Para obtener más información sobre CloudWatch las métricas compatibles, consulteCloudWatch Métricas compatibles.

CloudTrail Consultas sobre Lake

CloudTrail Las consultas de Lake ofrecen una visión más profunda y personalizable de los eventos que las simples búsquedas de claves y valores en el historial de eventos o en ejecución. LookupEvents La búsqueda en el historial de eventos se limita a uno Cuenta de AWS, solo devuelve los eventos de uno Región de AWS y no puede consultar varios atributos. Por el contrario, los usuarios de CloudTrail Lake pueden ejecutar consultas SQL complejas en varios campos de eventos. CloudTrail Lake admite todas las SELECT sentencias y funciones válidas de Trino. Para obtener más información acerca de los operadores y las funciones SQL compatibles, consulte Funciones y operadores en el sitio web de documentación de Trino.

Para crear una consulta en la pestaña del Editor de CloudTrail Lake, escriba la consulta en SQL desde cero, abra una consulta guardada o de muestra y la edite, o utilice el generador de consultas para generar una consulta a partir de una línea de comandos en inglés. Para obtener más información, consulte Cree o edite una consulta con la consola CloudTrail y Cree consultas de CloudTrail Lake a partir de mensajes en lenguaje natural.

Puede guardar las consultas de CloudTrail Lake para usarlas en el futuro y ver los resultados de las consultas durante un máximo de siete días. Al ejecutar consultas, puede guardar los resultados de las consultas en un bucket de Amazon S3.

La CloudTrail consola proporciona varios ejemplos de consultas que pueden ayudarle a empezar a escribir sus propias consultas. Para obtener más información, consulte Consulta ejemplos de consultas con la consola CloudTrail.

CloudTrail Las consultas de Lake conllevan cargos. Cuando ejecuta consultas en Lake, paga según la cantidad de datos escaneados. Para obtener información sobre CloudTrail los precios y la administración de los costos de Lake, consulte AWS CloudTrail Precios yGestión de los costos de los CloudTrail lagos.

CloudTrail Paneles de Lake

Puede usar los paneles de CloudTrail Lake para ver las tendencias de los eventos en los almacenes de datos de eventos de su cuenta. CloudTrail Lake ofrece los siguientes tipos de paneles:

Cada panel consta de uno o más widgets y cada uno representa una consulta SQL.

Para obtener más información, consulte CloudTrail Paneles de control de Lake.

CloudTrail Integraciones de Lake

Puede usar las integraciones de CloudTrail Lake para registrar y almacenar los datos de actividad de AWS los usuarios desde fuera o desde cualquier fuente en sus entornos híbridos, como aplicaciones internas o de SaaS alojadas en las instalaciones o en la nube, máquinas virtuales o contenedores. Después de crear almacenes de datos de eventos en CloudTrail Lake y crear un canal para registrar los eventos de actividad, llama a la PutAuditEvents API para incorporar la actividad de la aplicación en ella. CloudTrail Luego, puedes usar CloudTrail Lake para buscar, consultar y analizar los datos que se registran en tus aplicaciones.

Las integraciones también pueden registrar los eventos de más de una docena de CloudTrail socios en sus almacenes de datos de eventos. En una integración de socios, crea almacenes de datos de eventos de destino, un canal y una política de recursos. Después de crear la integración, proporciona el ARN del canal al socio. Existen dos tipos de integraciones: directas y de solución. En el caso de las integraciones directas, el socio llama a la PutAuditEvents API para enviar los eventos al almacén de datos de eventos de tu AWS cuenta. En el caso de las integraciones de soluciones, la aplicación se ejecuta en tu AWS cuenta y la aplicación llama a la PutAuditEvents API para enviar los eventos al almacén de datos de eventos de tu AWS cuenta.

Para obtener más información sobre las integraciones, consulta Cómo crear una integración con una fuente de eventos externa a. AWS

Recursos adicionales

Los siguientes recursos pueden ayudarte a entender mejor qué es CloudTrail Lake y cómo puedes usarlo.