Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

CloudTrail concepts

Cette section résume les concepts de base liés à. CloudTrail

CloudTrail événements

Un événement dans CloudTrail est l'enregistrement d'une activité sur un AWS compte. Cette activité peut être une action entreprise par une identité IAM ou un service contrôlable par. CloudTrail CloudTrailles événements fournissent un historique de l'activité des comptes API et non-API effectuée via les AWS SDK AWS Management Console, les outils de ligne de commande et d'autres AWS services.

CloudTrail les fichiers journaux ne constituent pas une trace ordonnée des appels d'API publics. Les événements n'apparaissent donc pas dans un ordre spécifique.

CloudTrail enregistre trois types d'événements :

Tous les types d'événements utilisent un format de journal CloudTrail JSON.

Par défaut, les journaux de suivi et les entrepôts de données d'événement consignent les événements de gestion, mais pas les événements de données ou les événements Insights.

Pour plus d'informations sur le mode Services AWS d'intégration avec CloudTrail, consultezAWS sujets de service pour CloudTrail.

Événements de gestion

Les événements de gestion fournissent des informations sur les opérations de gestion effectuées sur les ressources de votre AWS compte. Ils sont également connus sous le nom opérations de plan de contrôle.

Les événements de gestion sont notamment les suivants :

Les événements de gestion peuvent aussi inclure les événements non API qui se produisent dans votre compte. Par exemple, lorsqu'un utilisateur se connecte à votre compte, CloudTrail enregistre l'ConsoleLoginévénement. Pour plus d’informations, consultez Événements non liés à l'API capturés par CloudTrail.

Par défaut, les données relatives aux événements relatifs aux CloudTrail sentiers et aux CloudTrail lacs stockent les événements de gestion des journaux. Pour plus d'informations sur la journalisation des événements de gestion, consultezJournalisation des événements de gestion.

Événements de données

Les événements de données fournissent des informations sur les opérations de ressource exécutées sur ou dans une ressource. Ils sont également connus sous le nom opérations de plans de données. Les événements de données sont souvent des activités dont le volume est élevé.

Les événements de données incluent notamment :

Le tableau suivant indique les types d'événements de données disponibles pour les journaux de suivi et les entrepôts de données d'événement. La colonne Type d’événement de données (console) indique la sélection appropriée dans la console. La colonne de valeur resources.type indique la resources.type valeur que vous devez spécifier pour inclure les événements de données de ce type dans votre magasin de données de suivi ou d'événement à l' AWS CLI aide des API or. CloudTrail

Pour les traces, vous pouvez utiliser des sélecteurs d'événements de base ou avancés pour enregistrer les événements de données relatifs aux objets Amazon S3 dans des compartiments à usage général, des fonctions Lambda et des tables DynamoDB (illustrés dans les trois premières lignes du tableau). Vous ne pouvez utiliser que des sélecteurs d'événements avancés pour enregistrer les types d'événements de données indiqués dans les lignes restantes.

Pour les entrepôts de données d'événement, vous ne pouvez utiliser que des sélecteurs d'événements avancés pour inclure les événements de données.

Les événements de données ne sont pas journalisés par défaut lorsque vous créez un magasin de données d’événement. Pour enregistrer CloudTrail les événements liés aux données, vous devez ajouter explicitement les ressources prises en charge ou les types de ressources pour lesquels vous souhaitez collecter des activités. Pour plus d'informations sur la journalisation des événements de données, veuillez consulter Journalisation des événements de données.

Des frais supplémentaires s'appliquent pour la journalisation des événements de données. Pour les CloudTrail tarifs, voir AWS CloudTrail Tarification.

Événements Insights

CloudTrail Les événements Insights capturent le taux d'appels d'API ou les taux d'erreur inhabituels de votre AWS compte en analysant les activités CloudTrail de gestion. Les événements Insights fournissent des informations pertinentes, telles que l’API associée, le code d’erreur, l’heure de l’incident et les statistiques, ce qui vous aide à comprendre et à agir par rapport à l’activité inhabituelle. Contrairement aux autres types d'événements enregistrés dans un CloudTrail magasin de données de suivi ou d'événements, les événements Insights sont enregistrés uniquement lorsque des modifications sont CloudTrail détectées dans l'utilisation de l'API de votre compte ou dans la journalisation du taux d'erreur qui diffèrent considérablement des modèles d'utilisation habituels du compte.

Voici des exemples d’activité susceptibles de générer des événements Insights :

Ces exemples sont fournis à titre d’illustration seulement. Vos résultats peuvent varier en fonction de votre cas d’utilisation.

Pour enregistrer les événements CloudTrail Insights, vous devez activer explicitement les événements Insights sur un magasin de données de parcours ou d'événements nouveau ou existant. Pour plus d’informations sur la création d’un journal de suivi, consultez Création d'un parcours à l'aide de la CloudTrail console. Pour plus d'informations concernant la création d'un entrepôt de données d'événement, veuillez consulter Créez un magasin de données d'événements pour les événements Insights à l'aide de la console.

Des frais supplémentaires s'appliquent pour les événements Insights. Vous serez facturé séparément si vous activez Insights à la fois pour les journaux de suivi et les entrepôts de données d'événement. Pour plus d’informations, consultez Tarification d’AWS CloudTrail.

Historique des événements

CloudTrail l'historique des événements fournit un enregistrement consultable, consultable, téléchargeable et immuable des 90 derniers jours d'événements de CloudTrail gestion dans un. Région AWS Vous pouvez utiliser cet historique pour obtenir de la visibilité sur les actions effectuées dans votre AWS compte dans les AWS SDK AWS Management Console, les outils de ligne de commande et d'autres AWS services. Vous pouvez personnaliser l'affichage de l'historique des événements dans la CloudTrail console en sélectionnant les colonnes à afficher. Pour plus d’informations, consultez Utilisation de l'historique des CloudTrail événements.

Journaux de suivi

Un suivi est une configuration qui permet de transmettre des CloudTrail événements à un compartiment S3, avec une livraison facultative à CloudWatch Logs et Amazon EventBridge. Vous pouvez utiliser un suivi pour choisir les CloudTrail événements que vous souhaitez diffuser, chiffrer vos fichiers journaux d' CloudTrail événements à l'aide d'une AWS KMS clé et configurer les notifications Amazon SNS pour la livraison des fichiers journaux. Pour plus d'informations sur la création et la gestion d'un journal de suivi, consultez Création d'un parcours pour votre Compte AWS.

Sentiers multirégionaux et monorégionaux

Vous pouvez créer deux types de sentiers pour un Compte AWS : les sentiers multirégionaux et les sentiers monorégionaux.

Un sentier multirégional présente les avantages suivants :

Lorsque vous appliquez une piste à toutes les AWS régions, CloudTrail utilisez la piste que vous créez dans une région particulière pour créer des pistes avec des configurations identiques dans toutes les autres régions de la AWS partition dans laquelle vous travaillez.

Cela a les effets suivants :

Qu'il s'agisse d'un parcours multirégional ou mono-régional, les événements envoyés à Amazon EventBridge sont reçus dans le bus d'événements de chaque région, plutôt que dans un seul bus d'événements.

Plusieurs journaux de suivi par région

Si vous avez des groupes d'utilisateurs différents mais associés, comme des développeurs, du personnel de sécurité et des auditeurs informatiques, vous pouvez créer plusieurs journaux de suivi par région. Cela permet à chaque groupe de recevoir son propre exemplaire des fichiers journaux.

CloudTrail prend en charge cinq sentiers par région. Un sentier multirégional compte pour un sentier par région.

Voici un exemple de région comportant cinq sentiers :

Vous pouvez consulter la liste des sentiers Région AWS dans une page des sentiers de la CloudTrail console. Pour plus d’informations, consultez Mettre à jour un parcours avec la CloudTrail console. Pour les CloudTrail tarifs, voir AWS CloudTrail Tarification.

Sentiers d'organisation

Un suivi d'organisation est une configuration qui permet de transférer les CloudTrail événements du compte de gestion et de tous les comptes membres d'une AWS Organizations organisation vers le même compartiment Amazon S3, CloudWatch les mêmes journaux et Amazon EventBridge. La création d’un journal de suivi d’organisation vous permet de définir une stratégie de journalisation des événements uniforme pour votre organisation.

Tous les parcours d'organisation créés à l'aide de la console sont des journaux d'organisation multirégionaux qui enregistrent les événements associés aux comptes activés Régions AWS dans chaque compte membre de l'organisation. Pour enregistrer les événements dans toutes les AWS partitions de votre organisation, créez un journal d'organisation multirégional dans chaque partition. Vous pouvez créer un journal d'organisation à région unique ou multirégionale à l'aide du. AWS CLI Si vous créez un sentier à région unique, vous enregistrez l'activité uniquement dans le sentier Région AWS (également appelé région d'origine).

Bien que la plupart Régions AWS soient activées par défaut pour vous Compte AWS, vous devez activer manuellement certaines régions (également appelées régions optionnelles). Pour plus d'informations sur les régions activées par défaut, consultez la section Considérations relatives à l'activation et à la désactivation des régions dans le Guide de AWS Account Management référence. Pour la liste des régions prises CloudTrail en charge, voirCloudTrail Régions prises en charge.

Lorsque vous créez un historique d'organisation, une copie du journal portant le nom que vous lui donnez est créée dans les comptes des membres appartenant à votre organisation.

Les utilisateurs autorisés CloudTrail à accéder aux comptes membres pourront consulter le parcours de l'organisation (y compris l'ARN du journal) lorsqu'ils se connectent à la AWS CloudTrail console depuis leur AWS compte ou lorsqu'ils exécutent des AWS CLI commandes telles que describe-trails (bien que les comptes membres doivent utiliser l'ARN pour le suivi de l'organisation, et non le nom, lorsqu'ils utilisent le AWS CLI). Toutefois, les utilisateurs des comptes membres ne disposeront pas des autorisations suffisantes pour supprimer les traces de l'organisation, activer ou désactiver la connexion, modifier les types d'événements enregistrés ou modifier de quelque manière que ce soit les traces de l'organisation. Pour plus d’informations sur AWS Organizations, consultez Terminologie et concepts Organizations. Pour plus d'informations sur la création et l'utilisation de journaux de suivi de l'organisation, consultez Création d'un journal de suivi pour une organisation.

CloudTrail Magasins de données sur les lacs et les événements

CloudTrail Lake vous permet d'exécuter des requêtes SQL précises sur vos événements et de consigner les événements provenant de sources extérieures AWS, notamment de vos propres applications et de partenaires intégrés à ces derniers. CloudTrail Il n'est pas nécessaire de configurer un sentier dans votre compte pour utiliser CloudTrail Lake.

Les événements sont agrégés dans des magasins de données d’événement, qui sont des ensembles inaltérables d’événements basés sur des critères que vous sélectionnez en appliquant les sélecteurs d’événements avancés. Vous pouvez conserver les données d’événement dans une banque de données d’événement jusqu’à 3 653 jours (environ 10 ans) si vous choisissez l’option de tarification de rétention extensible d’un an, ou jusqu’à 2 557 jours (environ 7 ans) si vous choisissez l’option de tarification de rétention de sept ans. Vous pouvez enregistrer les requêtes Lake pour une utilisation ultérieure et afficher les résultats des requêtes pendant sept jours au maximum. Vous pouvez également enregistrer les résultats des requêtes dans un compartiment S3. CloudTrail Lake peut également stocker les événements d'une organisation AWS Organizations dans un magasin de données d'événements, ou les événements provenant de plusieurs régions et comptes. CloudTrail Lake fait partie d'une solution d'audit qui vous aide à effectuer des enquêtes de sécurité et à résoudre des problèmes. Pour plus d’informations, consultez Travailler avec AWS CloudTrail Lake et CloudTrail Concepts et terminologie relatifs aux lacs.

CloudTrail Perspectives

CloudTrail Insights aide AWS les utilisateurs à identifier et à répondre aux volumes inhabituels d'appels d'API ou aux erreurs enregistrées lors des appels d'API en analysant en permanence les événements CloudTrail de gestion. Un événement Insights est un registre de niveaux inhabituels de l’activité de l’API de gestion write ou niveaux inhabituels d’erreurs renvoyés lors de l’activité de l’API de gestion. Par défaut, les magasins de données de parcours et d'événements n'enregistrent pas les événements CloudTrail Insights. Dans la console, vous pouvez choisir de journaliser les événements Insights lorsque vous créez ou mettez à jour un journal de suivi ou un entrepôt de données d'événement. Lorsque vous utilisez l' CloudTrail API, vous pouvez enregistrer les événements Insights en modifiant les paramètres d'un magasin de données de suivi ou d'événement existant à l'aide de l'PutInsightSelectorsAPI. Des frais supplémentaires s'appliquent pour la journalisation CloudTrail des événements Insights. Vous serez facturé séparément si vous activez Insights à la fois pour les journaux de suivi et les entrepôts de données d'événement. Pour plus d'informations, veuillez consulter les sections Journalisation des événements Insights et Tarification d'AWS CloudTrail.

Balises

Une balise est une clé définie par le client et une valeur facultative qui peuvent être attribuées à AWS des ressources, telles que les CloudTrail parcours, les magasins de données d'événements et les canaux, les compartiments S3 utilisés pour stocker les fichiers CloudTrail journaux, les AWS Organizations organisations et les unités organisationnelles, etc. En ajoutant les mêmes balises aux sentiers et aux compartiments S3 que vous utilisez pour stocker les fichiers journaux des sentiers, vous pouvez faciliter la gestion, la recherche et le filtrage de ces ressources. AWS Resource Groups Vous pouvez mettre en œuvre des stratégies d'étiquette pour vous aider à trouver et gérer vos ressources uniformément, efficacement et facilement. Pour plus d'informations, consultez la section Meilleures pratiques en matière de balisage AWS des ressources.

AWS Security Token Service et CloudTrail

AWS Security Token Service (AWS STS) est un service doté d'un point de terminaison global et prenant également en charge les points de terminaison spécifiques à une région. Un point de terminaison est une URL qui constitue le point d’entrée des demandes de service Web. Par exemple, https://cloudtrail.us-west-2.amazonaws.com est le point d'entrée régional du AWS CloudTrail service dans l'ouest des États-Unis (Oregon). Les points de terminaison régionaux aident à réduire la latence dans vos applications.

Lorsque vous utilisez un point de AWS STS terminaison spécifique à une région, le parcours de cette région fournit uniquement les AWS STS événements qui se produisent dans cette région. Par exemple, si vous utilisez le point de terminaison sts.us-west-2.amazonaws.com, le journal de suivi de la région us-west-2 fournit uniquement les événements AWS STS provenant de la région us-west-2. Pour plus d'informations sur les points de terminaison AWS STS régionaux, consultez la section Activation et désactivation AWS STS dans une AWS région dans le guide de l'utilisateur IAM.

Pour une liste complète des points de terminaison AWS régionaux, voir AWS Régions et points de terminaison dans le. Références générales AWS Pour plus de détails sur les événements de points de terminaison AWS STS mondiaux, consultez Événements de services mondiaux.

Événements de services mondiaux

Pour la plupart des services, les événements sont enregistrés dans la région où l’action s’est produite. Pour les services internationaux tels que AWS Identity and Access Management (IAM) et Amazon AWS STS CloudFront, les événements sont organisés sur n'importe quel parcours incluant des services mondiaux.

Pour la plupart des services mondiaux, les événements sont journalisés comme s'ils se produisaient dans la région USA Est (Virginie du Nord), mais certains événements de service mondiaux sont journalisés comme s'ils se produisaient dans d'autres régions, comme la région USA Est (Ohio) ou la région USA Ouest (Oregon).

Pour éviter de recevoir des doublons d'événements de services globaux, n'oubliez pas les points suivants :

Exemple :