Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.
Journalisation des appels d'API Amazon S3 à l'aide AWS CloudTrail
AWS CloudTrailest un service qui fournit un enregistrement des actions entreprises par un utilisateur, un rôle ou un Service AWS. CloudTrail capture tous les appels d'API pour Amazon S3 sous forme d'événements. Ces captures incluent les appels de la console Amazon S3 et les appels de code vers les opérations d’API Amazon S3. À l'aide des informations collectées par CloudTrail, vous pouvez déterminer la demande qui a été faite à Amazon S3, l'adresse IP à partir de laquelle la demande a été faite, la date à laquelle elle a été faite et des informations supplémentaires.
Chaque événement ou entrée de journal contient des informations sur la personne ayant initié la demande. Les informations relatives à l’identité permettent de déterminer :
-
Si la demande a été effectuée avec des informations d’identification d’utilisateur root ou d’utilisateur root.
-
Si la demande a été faite au nom d'un utilisateur du centre d'identité IAM.
-
Si la demande a été effectuée avec les informations d’identification de sécurité temporaires d’un rôle ou d’un utilisateur fédéré.
-
Si la requête a été effectuée par un autre Service AWS.
CloudTrail est actif dans votre compte Compte AWS lorsque vous créez votre compte et vous avez automatiquement accès à l'historique des CloudTrail événements. L'historique des CloudTrail événements fournit un enregistrement consultable, consultable, téléchargeable et immuable des 90 derniers jours des événements de gestion enregistrés dans un fichier. Région AWS Pour plus d'informations, consultez la section Utilisation de l'historique des CloudTrail événements dans le Guide de AWS CloudTrail l'utilisateur. L'affichage de CloudTrail l'historique des événements est gratuit.
Pour un enregistrement continu des événements survenus au cours de vos 90 Compte AWS derniers jours, créez un sentier ou une banque de données sur les événements CloudTrail Lake.
- CloudTrail sentiers
-
Un journal permet CloudTrail de transmettre des fichiers journaux à un compartiment Amazon S3. Tous les sentiers créés à l'aide du Console de gestion AWS sont multirégionaux. Vous ne pouvez créer un journal de suivi en une ou plusieurs régions à l'aide de l' AWS CLI. Il est recommandé de créer un historique multirégional, car vous pouvez enregistrer l'activité dans l'ensemble Régions AWS de votre compte. Si vous créez un journal de suivi pour une seule région, il convient de n'afficher que les événements enregistrés dans le journal de suivi pour une seule région Région AWS. Pour plus d'informations sur les journaux de suivi, consultez Créez un journal de suivi dans vos Compte AWS et Création d'un journal de suivi pour une organisation dans le AWS CloudTrail Guide de l'utilisateur.
Vous pouvez envoyer gratuitement une copie de vos événements de gestion en cours dans votre compartiment Amazon S3 CloudTrail en créant un historique, mais des frais de stockage Amazon S3 sont facturés. Pour plus d'informations sur la CloudTrail tarification, consultez la section AWS CloudTrail Tarification
. Pour obtenir des informations sur la tarification Amazon S3, consultez Tarification Amazon S3 . - CloudTrail Magasins de données sur les événements liés
-
CloudTrail Lake vous permet de lancer SQL-based des requêtes sur vos événements. CloudTrail Lake convertit les événements existants au format JSON basé sur les lignes au format Apache
ORC. ORC est un format de stockage en colonnes qui est optimisé pour une récupération rapide des données. Les événements sont agrégés dans des magasins de données d’événement. Ceux-ci constituent des collections immuables d’événements basées sur des critères que vous sélectionnez en appliquant des sélecteurs d’événements avancés. Les sélecteurs que vous appliquez à un magasin de données d’événement contrôlent les événements qui persistent et que vous pouvez interroger. Pour plus d'informations sur CloudTrail Lake, consultez la section Utilisation de AWS CloudTrail Lake dans le Guide de AWS CloudTrail l'utilisateur. CloudTrail Les stockages et les requêtes de données sur les événements liés aux lacs entraînent des coûts. Lorsque vous créez un magasin de données d’événement, vous choisissez l’option de tarification que vous voulez utiliser pour le magasin de données d’événement. L’option de tarification détermine le coût d’ingestion et de stockage des événements, ainsi que les périodes de conservation par défaut et maximale pour le magasin de données d’événement. Pour plus d'informations sur la CloudTrail tarification, consultez la section AWS CloudTrail Tarification
.
Vous pouvez stocker vos fichiers journaux dans votre compartiment aussi longtemps que vous le souhaitez, ou bien définir des règles de cycle de vie Amazon S3 afin de les archiver ou de les supprimer automatiquement. Par défaut, vos fichiers journaux sont chiffrés à l’aide du chiffrement côté serveur (SSE) d’Amazon S3.
Utilisation CloudTrail des journaux avec les journaux d'accès au serveur Amazon S3 et CloudWatch les journaux
AWS CloudTrail les journaux fournissent un enregistrement des actions entreprises par un utilisateur, un rôle ou un AWS service dans Amazon S3, tandis que les journaux d'accès au serveur Amazon S3 fournissent des enregistrements détaillés des demandes adressées à un compartiment S3. Pour plus d’informations sur le fonctionnement des différents journaux ainsi que sur leurs propriétés, performances et coûts, consultez Options de journalisation pour Amazon S3.
Vous pouvez utiliser AWS CloudTrail les journaux conjointement avec les journaux d'accès au serveur pour Amazon S3. CloudTrail les journaux vous fournissent un suivi détaillé des API pour les opérations au niveau du compartiment et au niveau de l'objet Amazon S3. Les journaux d’accès au serveur pour Amazon S3 vous donnent la visibilité nécessaire sur les opérations d’objet au niveau de vos données dans Amazon S3. Pour plus d’informations sur les journaux d’accès au serveur, consultez Enregistrement de demandes avec journalisation des accès au serveur.
Vous pouvez également utiliser CloudTrail les journaux avec Amazon CloudWatch pour Amazon S3. CloudTrail l'intégration à CloudWatch Logs permet de capturer l'activité de l'API au niveau du bucket S3 dans un flux de CloudWatch journaux dans le groupe de CloudWatch journaux que vous spécifiez. CloudTrail Vous pouvez créer des CloudWatch alarmes pour surveiller une activité d'API spécifique et recevoir des notifications par e-mail lorsque cette activité d'API spécifique se produit. Pour plus d'informations sur CloudWatch les alarmes destinées à surveiller une activité spécifique de l'API, consultez le Guide de AWS CloudTrail l'utilisateur. Pour plus d'informations sur l'utilisation CloudWatch avec Amazon S3, consultezSurveillance des métriques avec Amazon CloudWatch.
Note
S3 ne prend pas en charge la remise de CloudTrail journaux au demandeur ou au propriétaire du compartiment pour les demandes de terminaux VPC lorsque la politique des terminaux VPC les refuse.
CloudTrail suivi à l'aide des appels d'API SOAP Amazon S3
CloudTrail suit les appels d'API SOAP Amazon S3. La prise en charge de SOAP par Amazon S3 via HTTP est obsolète, mais continue d’être disponible via HTTPS. Pour plus d’informations sur la prise en charge d’Amazon S3 SOAP, consultez Annexe : API SOAP dans la Référence des API Amazon S3.
Important
Les nouvelles fonctions Amazon S3 ne sont pas prises en charge pour SOAP. Nous vous recommandons d'utiliser l'API REST ou les kits de AWS développement logiciel (SDK).
Le tableau suivant présente les actions SOAP d'Amazon S3 suivies par CloudTrail journalisation.
| Nom d’API SOAP | Nom de l'événement d'API utilisé dans le CloudTrail journal |
|---|---|
ListBuckets |
|
CreateBucket |
|
DeleteBucket |
|
GetBucketAcl |
|
PutBucketAcl |
|
GetBucketLogging |
|
PutBucketLogging |
Pour plus d'informations sur Amazon S3 CloudTrail et Amazon S3, consultez les rubriques suivantes :
Rubriques
