Filtrar eventos de datos mediante selectores de eventos avanzados - AWS CloudTrail
¿Cómo CloudTrail evalúa varias condiciones de un campoFiltrar los eventos de datos por eventNameFiltrar eventos de datos por resources.ARNFiltrar los eventos de datos por valor readOnly

Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

Filtrar eventos de datos mediante selectores de eventos avanzados

En esta sección se describe cómo puede utilizar los selectores de eventos avanzados para crear selectores detallados que le ayuden a controlar los costes al registrar únicamente los eventos de datos específicos que le interesen.

Por ejemplo:

  • Puedes incluir o excluir API llamadas específicas añadiendo un filtro en el campo. eventName

  • Puede incluir o excluir el registro de recursos específicos añadiendo un filtro en el resources.ARN campo. Por ejemplo, si estuvieras registrando eventos de datos de S3, podrías excluir el registro del bucket de S3 de tu ruta.

  • Puede elegir registrar solo los eventos de solo escritura o los eventos de solo lectura añadiendo un filtro en el campo. readOnly

La siguiente tabla proporciona información adicional sobre los campos configurables para los selectores de eventos avanzados.

Campo Obligatoria Operadores válidos Descripción

eventCategory

Sí

Equals

Este campo está configurado Data para registrar eventos de datos.

resources.type

Sí

Equals

Este campo se utiliza para seleccionar el tipo de recurso para el que desea registrar los eventos de datos. La tabla de eventos de datos muestra los valores posibles.

readOnly

No

Equals

Se trata de un campo opcional que se utiliza para incluir o excluir eventos de datos en función del readOnly valor. Un valor de true registros solo lee eventos. Un valor de false registros solo escribe eventos. Si no agrega este campo, CloudTrail registra los eventos de lectura y escritura.

eventName

No

EndsWith

Equals

NotEndsWith

NotEquals

NotStartsWith

StartsWith

Se trata de un campo opcional que se utiliza para filtrar o filtrar cualquier evento de datos registrado CloudTrail, como o. PutBucket GetSnapshotBlock

Si utiliza el AWS CLI, puede especificar varios valores separando cada valor con una coma.

Si utilizas la consola, puedes especificar varios valores creando una condición para cada uno de ellos por los eventName que desees filtrar.

resources.ARN

No

EndsWith

Equals

NotEndsWith

NotEquals

NotStartsWith

StartsWith

Se trata de un campo opcional que se utiliza para excluir o incluir eventos de datos de un recurso específico al proporcionar elresources.ARN. Puedes usar cualquier operador conresources.ARN, pero si usas Equals oNotEquals, el valor debe coincidir exactamente con el ARN de un recurso válido para el resoureces.type que hayas especificado. Para registrar todos los eventos de datos de todos los objetos de un bucket de S3 específico, utilice el StartsWith operador e incluya solo el bucket ARN como valor coincidente.

Si utiliza el AWS CLI, puede especificar varios valores separando cada valor con una coma.

Si utilizas la consola, puedes especificar varios valores creando una condición para cada uno de ellos por los resources.ARN que desees filtrar.

Para registrar eventos de datos mediante la CloudTrail consola, elija la opción Eventos de datos y, a continuación, seleccione el tipo de evento de datos que le interese al crear o actualizar un banco de datos de rutas o eventos. La tabla de eventos de datos muestra los posibles tipos de eventos de datos que puede elegir en la CloudTrail consola.

Selección del tipo de evento de datos del SNStema en la consola.

Para registrar eventos de datos con el AWS CLI, configure el --advanced-event-selector parámetro para establecer el valor eventCategory igual Data y el resources.type valor igual al valor del tipo de recurso para el que desea registrar los eventos de datos. La tabla de eventos de datos muestra los tipos de recursos disponibles.

Por ejemplo, si desea registrar los eventos de datos de todos los grupos de Cognito Identity, debe configurar el --advanced-event-selectors parámetro para que tenga este aspecto:

--advanced-event-selectors '[
    {
       "Name": "Log Cognito data events on Identity pools",
       "FieldSelectors": [
         { "Field": "eventCategory", "Equals": ["Data"] },
         { "Field": "resources.type", "Equals": ["AWS::Cognito::IdentityPool"] }
       ]
     }
]'

El ejemplo anterior registra todos los eventos de datos de Cognito en los grupos de identidades. Puede refinar aún más los selectores de eventos avanzados para filtrar los resources.ARN campos eventNamereadOnly, y para registrar eventos específicos de interés o excluir eventos que no son de interés.

Puede configurar selectores de eventos avanzados para filtrar eventos de datos en función de varios campos. Por ejemplo, puede configurar selectores de eventos avanzados para registrar todas las DeleteObject API llamadas PutObject y llamadas de Amazon S3, pero excluir el registro de eventos de un bucket de S3 específico, como se muestra en el siguiente ejemplo. Reemplazar amzn-s3-demo-bucket con el nombre de tu bucket.

--advanced-event-selectors
'[
  {
    "Name": "Log PutObject and DeleteObject events for all but one bucket",
    "FieldSelectors": [
      { "Field": "eventCategory", "Equals": ["Data"] },
      { "Field": "resources.type", "Equals": ["AWS::S3::Object"] },
      { "Field": "eventName", "Equals": ["PutObject","DeleteObject"] },
      { "Field": "resources.ARN", "NotStartsWith": ["arn:aws:s3:::amzn-s3-demo-bucket/"] }
    ]
  }
]'

También puedes incluir varias condiciones para un campo. Para obtener información sobre cómo se evalúan varias condiciones, consulte¿Cómo CloudTrail evalúa varias condiciones de un campo.

Puede utilizar selectores de eventos avanzados para registrar los eventos de administración y de datos. Para registrar los eventos de datos de varios tipos de recursos, añada una instrucción de selector de campo para cada tipo de recurso para el que desee registrar los eventos de datos.

nota

Los senderos pueden usar selectores de eventos básicos o selectores de eventos avanzados, pero no ambos. Si aplica selectores de eventos avanzados a un registro de seguimiento, se sobrescriben todos los selectores de eventos básicos existentes.

¿Cómo CloudTrail evalúa varias condiciones de un campo

En el caso de los selectores de eventos avanzados, CloudTrail evalúa varias condiciones de un campo de la siguiente manera:

  • DESELECTlos operadores están juntosAND. Si se cumple alguna de las condiciones del DESELECT operador, el evento no se entrega. Estos son los DESELECT operadores válidos para los selectores de eventos avanzados:

    • NotEndsWith

    • NotEquals

    • NotStartsWith

  • SELECTlos operadores están agrupados en OR juntos. Estos son los SELECT operadores válidos para los selectores de eventos avanzados:

    • EndsWith

    • Equals

    • StartsWith

  • Las combinaciones de DESELECT operadores SELECT y siguen las reglas anteriores y ambos grupos se AND agrupan.

Ejemplo que muestra varias condiciones para el resources.ARN campo

El siguiente ejemplo de sentencia selectora de eventos recopila eventos de datos para el tipo de AWS::S3::Object recurso y aplica varias condiciones en el resources.ARN campo.

{
    "Name": "S3Select",
    "FieldSelectors": [
      {
        "Field": "eventCategory",
        "Equals": [
          "Data"
        ]
      },
      {
        "Field": "resources.type",
        "Equals": [
          "AWS::S3::Object"
        ]
      },
      {
        "Field": "resources.ARN",
        "Equals": [
          "arn:aws:s3:::amzn-s3-demo-bucket/object1"
        ],
        "StartsWith": [
          "arn:aws:s3:::amzn-s3-demo-bucket/"
        ],
        "EndsWith": [
          "object3"
        ],
        "NotStartsWith": [
          "arn:aws:s3:::amzn-s3-demo-bucket/deselect"
        ],
        "NotEndsWith": [
          "object5"
        ],
        "NotEquals": [
          "arn:aws:s3:::amzn-s3-demo-bucket/object6"
        ]
      }
    ]
  }

En el ejemplo anterior, los eventos de datos de Amazon S3 para el AWS::S3::Object recurso se entregarán si:

  1. No se cumple ninguna de estas condiciones DESELECT del operador:

    • el resources.ARN campoNotStartsWith, el valor arn:aws:s3:::amzn-s3-demo-bucket/deselect

    • el resources.ARN campoNotEndsWith, el valor object5

    • el resources.ARN campoNotEquals, el valor arn:aws:s3:::amzn-s3-demo-bucket/object6

  2. Se cumple al menos una de las siguientes condiciones SELECT del operador:

    • el resources.ARN campoEquals, el valor arn:aws:s3:::amzn-s3-demo-bucket/object1

    • el resources.ARN campoStartsWith, el valor arn:aws:s3:::amzn-s3-demo-bucket/

    • el resources.ARN campoEndsWith, el valor object3

Según la lógica de evaluación:

  1. Los eventos de datos de los operadores se amzn-s3-demo-bucket/object1 entregarán porque coinciden con el valor del Equals operador y no coinciden con ninguno de los valores de los NotEquals operadores NotStartsWithNotEndsWith, y.

  2. El evento de datos para amzn-s3-demo-bucket/object2 se entregará porque coincide con el valor del StartsWith operador y no coincide con ninguno de los valores de los NotEquals operadores NotStartsWithNotEndsWith, y.

  3. Los eventos de datos para amzn-s3-demo-bucket1/object3 se entregarán porque coinciden con el EndsWith operador y no coinciden con ninguno de los valores de los NotEquals operadores NotStartsWithNotEndsWith, y.

  4. Los eventos de arn:aws:s3:::amzn-s3-demo-bucket/deselectObject4 datos de no se entregarán porque coincidan con la condición del operador, NotStartsWith aunque coincidan con la condición del StartsWith operador.

  5. Los eventos de arn:aws:s3:::amzn-s3-demo-bucket/object5 datos de no se entregarán porque coincidan con la condición del operador, NotEndsWith aunque coincidan con la condición del StartsWith operador.

  6. Los eventos de datos para el arn:aws:s3:::amzn-s3-demo-bucket/object6 no se entregarán porque coinciden con la condición del NotEquals operador, aunque coincidan con la condición del StartsWith operador.

Filtrar los eventos de datos por eventName

Con los selectores de eventos avanzados, puede incluir o excluir eventos en función del valor del eventName campo. Filtrar por eventName ellos puede ayudar a controlar los costos, ya que evita incurrir en costos cuando se Servicio de AWS registran eventos de datos, lo que añade soporte para nuevos datos. APIs

Puede utilizar cualquier operador con el eventName campo. Puede usarlo para filtrar o filtrar cualquier evento de datos registrado CloudTrail, como o. PutBucket GetSnapshotBlock

Filtrar eventos de datos mediante el eventNameAWS Management Console

Realice los siguientes pasos para filtrar en el eventName campo mediante la CloudTrail consola.

  1. Siga los pasos del procedimiento de creación de un registro o siga los pasos del procedimiento de creación de un almacén de datos de eventos.

  2. A medida que siga los pasos para crear el banco de datos de senderos o eventos, realice las siguientes selecciones:

    1. Elija Eventos de datos.

    2. Elija el tipo de evento de datos para el que desea registrar los eventos de datos.

    3. En la plantilla de selector de registros, elija Personalizada.

    4. (Opcional) En Nombre del selector, escriba un nombre para identificar el selector. El nombre del selector es un nombre descriptivo opcional para un selector de eventos avanzado, como “Registrar eventos de datos para solo dos buckets de S3”. El nombre del selector aparece como Name en el selector de eventos avanzado y se puede ver si amplía la JSONvista.

    5. En los selectores de eventos avanzados, haga lo siguiente para filtrar por: eventName

      1. En Campo, elija eventName.

      2. En Operador, elija el operador de condición. En este ejemplo, elegiremos equals porque queremos registrar una API llamada específica.

      3. En Value, introduce el nombre del evento por el que quieres filtrar.

      4. Para filtrar por otroeventName, selecciona + Condición. Para obtener información sobre cómo CloudTrail se evalúan varias condiciones, consulte¿Cómo CloudTrail evalúa varias condiciones de un campo.

      Filtre los eventos de datos de S3 por eventName

    6. Elija +Campo para añadir filtros a otros campos.

Filtrar eventos de datos eventName mediante el AWS CLI

Con el AWS CLI, puede filtrar el eventName campo para incluir o excluir eventos específicos.

Si vas a actualizar un banco de datos de seguimiento o evento existente para registrar selectores de eventos adicionales, obtén los selectores de eventos actuales ejecutando el get-event-selectorscomando de un registro o el get-event-data-storecomando de un banco de datos de eventos. A continuación, actualice los selectores de eventos para añadir un selector de campos para cada tipo de recurso de datos que desee registrar.

En el siguiente ejemplo, se registran los eventos de datos de S3 en una ruta. --advanced-event-selectorsEstán configurados para registrar solo los eventos de datos GetObject de PutObject las DeleteObject API llamadas y.

aws cloudtrail put-event-selectors \
--trail-name trailName \
--advanced-event-selectors '[
  {
    "Name": "Log GetObject, PutObject and DeleteObject S3 data events",
    "FieldSelectors": [
      { "Field": "eventCategory", "Equals": ["Data"] },
      { "Field": "resources.type", "Equals": ["AWS::S3::Object"] },
      { "Field": "eventName", "Equals": ["GetObject","PutObject","DeleteObject"] }
    ]
  }
]'

El siguiente ejemplo crea un nuevo almacén de datos de eventos que registra los eventos de datos de EBS DirectAPIs, pero excluye las ListChangedBlocks API llamadas. Puede usar el update-event-data-storecomando para actualizar un banco de datos de eventos existente.

aws cloudtrail create-event-data-store \
--name "eventDataStoreName"
--advanced-event-selectors '[
    {
        "Name": "Log all EBS Direct API data events except ListChangedBlocks",
        "FieldSelectors": [
            { "Field": "eventCategory", "Equals": ["Data"] },
            { "Field": "resources.type", "Equals": ["AWS::EC2::Snapshot"] },
            { "Field": "eventName", "NotEquals": ["ListChangedBlocks"] }
         ]
    }
]'

Filtrar eventos de datos por resources.ARN

Con selectores de eventos avanzados, puede filtrar por el valor del resources.ARN campo.

Puede usar cualquier operador conresources.ARN, pero si usa Equals oNotEquals, el valor debe coincidir exactamente con el ARN de un recurso válido para el resources.type valor que haya especificado. Para registrar todos los eventos de datos de todos los objetos de un bucket de S3 específico, utilice el StartsWith operador e incluya solo el bucket ARN como valor coincidente.

La siguiente tabla muestra el ARN formato válido para cada unoresources.type.

nota

No puede usar el resources.ARN campo para filtrar los tipos de recursos que no lo tienenARNs.

resources.type recursos. ARN
AWS::DynamoDB::Table1 
arn:partition:dynamodb:region:account_ID:table/table_name
AWS::Lambda::Function 
arn:partition:lambda:region:account_ID:function:function_name

AWS::S3::Object2

 
arn:partition:s3:::amzn-s3-demo-bucket/
arn:partition:s3:::amzn-s3-demo-bucket/object_or_file_name/
AWS::AppConfig::Configuration 
arn:partition:appconfig:region:account_ID:application/application_ID/environment/environment_ID/configuration/configuration_profile_ID
AWS::B2BI::Transformer 
arn:partition:b2bi:region:account_ID:transformer/transformer_ID
AWS::Bedrock::AgentAlias 
arn:partition:bedrock:region:account_ID:agent-alias/agent_ID/alias_ID
AWS::Bedrock::FlowAlias 
arn:partition:bedrock:region:account_ID:flow/flow_ID/alias/alias_ID
AWS::Bedrock::Guardrail 
arn:partition:bedrock:region:account_ID:guardrail/guardrail_ID
AWS::Bedrock::KnowledgeBase 
arn:partition:bedrock:region:account_ID:knowledge-base/knowledge_base_ID
AWS::Bedrock::Model

ARNDebe estar en uno de los siguientes formatos:

  • arn:partition:bedrock:region::foundation-model/resource_ID

  • arn:partition:bedrock:region:account_ID:provisioned-model/resource_ID

  • arn:partition:bedrock:region:account_ID:custom-model/resource_ID
AWS::Cassandra::Table 
arn:partition:cassandra:region:account_ID:keyspace/keyspace_name/table/table_name
AWS::CloudFront::KeyValueStore 
arn:partition:cloudfront:region:account_ID:key-value-store/KVS_name
AWS::CloudTrail::Channel 
arn:partition:cloudtrail:region:account_ID:channel/channel_UUID
AWS::CodeWhisperer::Customization 
arn:partition:codewhisperer:region:account_ID:customization/customization_ID
AWS::CodeWhisperer::Profile 
arn:partition:codewhisperer:region:account_ID:profile/profile_ID
AWS::Cognito::IdentityPool 
arn:partition:cognito-identity:region:account_ID:identitypool/identity_pool_ID
AWS::DataExchange::Asset 
arn:partition:dataexchange:region:account_ID:data-sets/data_set_ID/revisions/revision_ID/assets/asset_ID
AWS::Deadline::Fleet 
arn:partition:deadline:region:account_ID:farm/farm_ID/fleet/fleet_ID
AWS::Deadline::Job 
arn:partition:deadline:region:account_ID:farm/farm_ID/queue/queue_ID/job/job_ID
AWS::Deadline::Queue 
arn:partition:deadline:region:account_ID:farm/farm_ID/queue/queue_ID
AWS::Deadline::Worker 
arn:partition:deadline:region:account_ID:farm/farm_ID/fleet/fleet_ID/worker/worker_ID
AWS::DynamoDB::Stream 
arn:partition:dynamodb:region:account_ID:table/table_name/stream/date_time
AWS::EC2::Snapshot 
arn:partition:ec2:region::snapshot/snapshot_ID
AWS::EMRWAL::Workspace 
arn:partition:emrwal:region:account_ID:workspace/workspace_name
AWS::FinSpace::Environment 
arn:partition:finspace:region:account_ID:environment/environment_ID
AWS::Glue::Table 
arn:partition:glue:region:account_ID:table/database_name/table_name
AWS::GreengrassV2::ComponentVersion 
arn:partition:greengrass:region:account_ID:components/component_name
AWS::GreengrassV2::Deployment 
arn:partition:greengrass:region:account_ID:deployments/deployment_ID
AWS::GuardDuty::Detector 
arn:partition:guardduty:region:account_ID:detector/detector_ID
AWS::IoT::Certificate 
arn:partition:iot:region:account_ID:cert/certificate_ID
AWS::IoT::Thing 
arn:partition:iot:region:account_ID:thing/thing_ID
AWS::IoTSiteWise::Asset 
arn:partition:iotsitewise:region:account_ID:asset/asset_ID
AWS::IoTSiteWise::TimeSeries 
arn:partition:iotsitewise:region:account_ID:timeseries/timeseries_ID
AWS::IoTTwinMaker::Entity 
arn:partition:iottwinmaker:region:account_ID:workspace/workspace_ID/entity/entity_ID
AWS::IoTTwinMaker::Workspace 
arn:partition:iottwinmaker:region:account_ID:workspace/workspace_ID
AWS::KendraRanking::ExecutionPlan 
arn:partition:kendra-ranking:region:account_ID:rescore-execution-plan/rescore_execution_plan_ID
AWS::Kinesis::Stream 
arn:partition:kinesis:region:account_ID:stream/stream_name
AWS::Kinesis::StreamConsumer 
arn:partition:kinesis:region:account_ID:stream_type/stream_name/consumer/consumer_name:consumer_creation_timestamp
AWS::KinesisVideo::Stream 
arn:partition:kinesisvideo:region:account_ID:stream/stream_name/creation_time
AWS::MachineLearning::MlModel 
arn:partition:machinelearning:region:account_ID:mlmodel/model_ID
AWS::ManagedBlockchain::Network 
arn:partition:managedblockchain:::networks/network_name
AWS::ManagedBlockchain::Node 
arn:partition:managedblockchain:region:account_ID:nodes/node_ID
AWS::MedicalImaging::Datastore 
arn:partition:medical-imaging:region:account_ID:datastore/data_store_ID
AWS::NeptuneGraph::Graph 
arn:partition:neptune-graph:region:account_ID:graph/graph_ID
AWS::One::UKey 
arn:partition:one:region:account_ID:user/user_ID/u-key/u-key_ID
AWS::One::User 
arn:partition:one:region:account_ID:user/user_ID
AWS::PaymentCryptography::Alias 
arn:partition:payment-cryptography:region:account_ID:alias/alias
AWS::PaymentCryptography::Key 
arn:partition:payment-cryptography:region:account_ID:key/key_ID
AWS::PCAConnectorAD::Connector 
arn:partition:pca-connector-ad:region:account_ID:connector/connector_ID
AWS::PCAConnectorSCEP::Connector 
arn:partition:pca-connector-scep:region:account_ID:connector/connector_ID
AWS::QApps:QApp 
arn:partition:qapps:region:account_ID:application/application_UUID/qapp/qapp_UUID
AWS::QBusiness::Application 
arn:partition:qbusiness:region:account_ID:application/application_ID
AWS::QBusiness::DataSource 
arn:partition:qbusiness:region:account_ID:application/application_ID/index/index_ID/data-source/datasource_ID
AWS::QBusiness::Index 
arn:partition:qbusiness:region:account_ID:application/application_ID/index/index_ID
AWS::QBusiness::WebExperience 
arn:partition:qbusiness:region:account_ID:application/application_ID/web-experience/web_experienc_ID
AWS::RDS::DBCluster 
arn:partition:rds:region:account_ID:cluster/cluster_name
AWS::RUM::AppMonitor 
arn:partition:rum:region:account_ID:appmonitor/app_monitor_name

AWS::S3::AccessPoint3

 
arn:partition:s3:region:account_ID:accesspoint/access_point_name

AWS::S3Express::Object

 
arn:partition:s3express:region:account_ID:bucket/bucket_name
AWS::S3ObjectLambda::AccessPoint 
arn:partition:s3-object-lambda:region:account_ID:accesspoint/access_point_name
AWS::S3Outposts::Object 
arn:partition:s3-outposts:region:account_ID:object_path
AWS::SageMaker::Endpoint 
arn:partition:sagemaker:region:account_ID:endpoint/endpoint_name
AWS::SageMaker::ExperimentTrialComponent 
arn:partition:sagemaker:region:account_ID:experiment-trial-component/experiment_trial_component_name
AWS::SageMaker::FeatureGroup 
arn:partition:sagemaker:region:account_ID:feature-group/feature_group_name
AWS::SCN::Instance 
arn:partition:scn:region:account_ID:instance/instance_ID
AWS::ServiceDiscovery::Namespace 
arn:partition:servicediscovery:region:account_ID:namespace/namespace_ID
AWS::ServiceDiscovery::Service 
arn:partition:servicediscovery:region:account_ID:service/service_ID
AWS::SNS::PlatformEndpoint 
arn:partition:sns:region:account_ID:endpoint/endpoint_type/endpoint_name/endpoint_ID
AWS::SNS::Topic 
arn:partition:sns:region:account_ID:topic_name
AWS::SocialMessaging::PhoneNumberId

arn:partition:social-messaging:region:account_ID:phone-number-id/phone_number_ID
AWS::SQS::Queue 
arn:partition:sqs:region:account_ID:queue_name
AWS::SSM::ManagedNode

ARNDebe estar en uno de los siguientes formatos:

  • arn:partition:ssm:region:account_ID:managed-instance/instance_ID

  • arn:partition:ec2:region:account_ID:instance/instance_ID
AWS::SSMMessages::ControlChannel 
arn:partition:ssmmessages:region:account_ID:control-channel/control_channel_ID
AWS::StepFunctions::StateMachine

ARNDebe estar en uno de los siguientes formatos:

  • arn:partition:states:region:account_ID:stateMachine:stateMachine_name

  • arn:partition:states:region:account_ID:stateMachine:stateMachine_name/label_name
AWS::SWF::Domain 
arn:partition:swf:region:account_ID:/domain/domain_name
AWS::ThinClient::Device 
arn:partition:thinclient:region:account_ID:device/device_ID
AWS::ThinClient::Environment 
arn:partition:thinclient:region:account_ID:environment/environment_ID
AWS::Timestream::Database 
arn:partition:timestream:region:account_ID:database/database_name
AWS::Timestream::Table 
arn:partition:timestream:region:account_ID:database/database_name/table/table_name
AWS::VerifiedPermissions::PolicyStore 
arn:partition:verifiedpermissions:region:account_ID:policy-store/policy_store_ID

1 Para las tablas con flujos habilitados, el campo resources del evento de datos contiene AWS::DynamoDB::Stream y AWS::DynamoDB::Table. Si especifica AWS::DynamoDB::Table como resources.type, registrará tanto los eventos de la tabla de DynamoDB como los de los flujos de DynamoDB de forma predeterminada. Para excluir los eventos de streaming, añada un filtro en el eventName campo.

2 Para registrar todos los eventos de datos de todos los objetos de un depósito de S3 específico, utilice el StartsWith operador e incluya solo el depósito ARN como valor coincidente. La barra diagonal final es intencional; no la excluya.

3 Para registrar los eventos de todos los objetos de un punto de acceso S3, le recomendamos que utilice solo el punto de accesoARN, no incluya la ruta del objeto y utilice los NotStartsWith operadores StartsWith o.

Filtrar los eventos de datos resources.ARN mediante el AWS Management Console

Realice los siguientes pasos para filtrar en el resources.ARN campo mediante la CloudTrail consola.

  1. Siga los pasos del procedimiento de creación de un registro o siga los pasos del procedimiento de creación de un almacén de datos de eventos.

  2. A medida que siga los pasos para crear el banco de datos de senderos o eventos, realice las siguientes selecciones:

    1. Elija Eventos de datos.

    2. Elija el tipo de evento de datos para el que desea registrar los eventos de datos.

    3. En la plantilla de selector de registros, elija Personalizada.

    4. (Opcional) En Nombre del selector, escriba un nombre para identificar el selector. El nombre del selector es un nombre descriptivo opcional para un selector de eventos avanzado, como “Registrar eventos de datos para solo dos buckets de S3”. El nombre del selector aparece como Name en el selector de eventos avanzado y se puede ver si amplía la JSONvista.

    5. En los selectores de eventos avanzados, haga lo siguiente para filtrar por: resources.ARN

      1. En Field, selecciona los recursos. ARN.

      2. En Operador, elija el operador de condición. En este ejemplo, seleccionaremos Starts with porque queremos registrar los eventos de datos de un bucket de S3 específico.

      3. En Valor, introduce el valor ARN para tu tipo de recurso (por ejemplo, arn:aws:s3:::amzn-s3-demo-bucket).

      4. Para filtrar otroresources.ARN, elija + Condición. Para obtener información sobre cómo CloudTrail se evalúan varias condiciones, consulte¿Cómo CloudTrail evalúa varias condiciones de un campo.

      Filtre los eventos de datos de S3 por resources.ARN

    6. Elija +Campo para añadir filtros a otros campos.

Filtrar eventos de datos resources.ARN mediante el AWS CLI

Con el AWS CLI, puede filtrar el resources.ARN campo para registrar los eventos de un campo específico ARN o excluir el registro de uno específicoARN.

Si está actualizando un banco de datos de seguimiento o evento existente para registrar selectores de eventos adicionales, obtenga los selectores de eventos actuales ejecutando el get-event-selectorscomando de un registro o el get-event-data-storecomando de un banco de datos de eventos. A continuación, actualice los selectores de eventos para añadir un selector de campos para cada tipo de recurso de datos que desee registrar.

El ejemplo siguiente muestra cómo configurar su registro de seguimiento para que incluya eventos de datos para todos los objetos de Amazon S3 en un bucket de S3 específico. El valor de los eventos de S3 para el campo resources.type es AWS::S3::Object. Como los ARN valores de los objetos de S3 y los cubos de S3 son ligeramente diferentes, debe añadir el StartsWith operador resources.ARN para capturar todos los eventos.

aws cloudtrail put-event-selectors \ 
--trail-name TrailName \ 
--region region \
--advanced-event-selectors \
'[
    {
        "Name": "S3EventSelector",
        "FieldSelectors": [
            { "Field": "eventCategory", "Equals": ["Data"] },
                { "Field": "resources.type", "Equals": ["AWS::S3::Object"] },
                { "Field": "resources.ARN", "StartsWith": ["arn:aws:s3:::amzn-s3-demo-bucket/"] }
            ]
    }
]'

Filtrar los eventos de datos por valor readOnly

Con selectores de eventos avanzados, puede filtrar en función del valor del readOnly campo.

Solo puede usar el Equals operador con el readOnly campo. Puede establecer el readOnly valor en true ofalse. Si no agrega este campo, CloudTrail registra los eventos de lectura y escritura. Un valor de true registra solo los eventos de lectura. Un valor de false registros solo escribe eventos.

Filtrar los eventos de datos por readOnly valor mediante el AWS Management Console

Realice los siguientes pasos para filtrar en el readOnly campo mediante la CloudTrail consola.

  1. Siga los pasos del procedimiento de creación de un registro o siga los pasos del procedimiento de creación de un almacén de datos de eventos.

  2. A medida que siga los pasos para crear el banco de datos de senderos o eventos, realice las siguientes selecciones:

    1. Elija Eventos de datos.

    2. Elija el tipo de evento de datos para el que desea registrar los eventos de datos.

    3. En la plantilla de selección de registros, elija la plantilla adecuada para su caso de uso.

      Elija la plantilla de selector de registros para los eventos de datos
      Si planea hacer esto Elija esta plantilla de selector de registros

      Registre únicamente los eventos de lectura y no aplique ningún otro filtro (por ejemplo, al resources.ARN valor).

      Registra readOnly eventos

      Registre únicamente los eventos de escritura y no aplique ningún otro filtro (por ejemplo, al resources.ARN valor).

      Registra writeOnly los eventos

      Filtre por el readOnly valor y aplique filtros adicionales (por ejemplo, sobre el resources.ARN valor).

      Personalizada

      En los selectores de eventos avanzados, haga lo siguiente para filtrar por el readOnly valor:

      Para registrar eventos de escritura

      1. Para Field, elija readOnly.

      2. En Operador, seleccione equals.

      3. En Valor, introduzca false.

      4. Seleccione +Campo para añadir filtros a otros campos.

      Para registrar eventos de lectura

      1. Para Campo, elija readOnly.

      2. En Operador, seleccione equals.

      3. En Valor, introduzca true.

      4. Seleccione +Campo para añadir filtros a otros campos.

Filtrar los eventos de datos por readOnly valor mediante el AWS CLI

Con el AWS CLI, puede filtrar en el readOnly campo.

Solo puede usar el Equals operador con el readOnly campo. Puede establecer el readOnly valor en true ofalse. Si no agrega este campo, CloudTrail registra los eventos de lectura y escritura. Un valor de true registra solo los eventos de lectura. Un valor de false registros solo escribe eventos.

Si está actualizando un banco de datos de seguimiento o evento existente para registrar selectores de eventos adicionales, obtenga los selectores de eventos actuales ejecutando el get-event-selectorscomando de un registro o el get-event-data-storecomando de un banco de datos de eventos. A continuación, actualice los selectores de eventos para añadir un selector de campos para cada tipo de recurso de datos que desee registrar.

El siguiente ejemplo muestra cómo configurar su ruta para registrar eventos de datos de solo lectura para todos los objetos de Amazon S3.

aws cloudtrail put-event-selectors \
--trail-name TrailName \
--region region \
--advanced-event-selectors '[
    {
            "Name": "Log read-only S3 data events",
            "FieldSelectors": [
                { "Field": "eventCategory", "Equals": ["Data"] },
                { "Field": "resources.type", "Equals": ["AWS::S3::Object"] },
                { "Field": "readOnly", "Equals": ["true"] }
            ]
    }
]'

El siguiente ejemplo crea un nuevo almacén de datos de eventos que registra solo los eventos de datos de solo escritura para Direct. EBS APIs Puede usar el update-event-data-storecomando para actualizar un banco de datos de eventos existente.

aws cloudtrail create-event-data-store \
--name "eventDataStoreName" \
--advanced-event-selectors \
'[
    {
            "Name": "Log write-only EBS Direct API data events",
            "FieldSelectors": [
                { "Field": "eventCategory", "Equals": ["Data"] },
                { "Field": "resources.type", "Equals": ["AWS::EC2::Snapshot"] },
                { "Field": "readOnly", "Equals": ["false"] }
            ]
     }
]'