Enrichissez les CloudTrail événements en ajoutant des clés de balise de ressource et des clés de condition globales IAM

Vous pouvez enrichir les événements CloudTrail de gestion et les événements de données en ajoutant des clés de balise de ressource, des clés de balise principales et des clés de condition globales IAM lorsque vous créez ou mettez à jour un magasin de données d'événements. Cela vous permet de classer, de rechercher et d'analyser les CloudTrail événements en fonction du contexte commercial, comme la répartition des coûts et la gestion financière, les opérations et les exigences en matière de sécurité des données. Vous pouvez analyser les événements en exécutant des requêtes dans CloudTrail Lake. Vous pouvez également choisir de fédérer la banque de données de votre événement et d'exécuter des requêtes dans Amazon Athena. Vous pouvez ajouter des clés de balise de ressource et des clés de condition globales IAM à un magasin de données d'événements à l'aide de la CloudTrail console et AWS CLI des kits SDK.

Lorsque vous ajoutez des clés de balise de ressources à des événements enrichis, CloudTrail inclut les clés de balise sélectionnées associées aux ressources impliquées dans l'appel d'API.

Lorsque vous ajoutez des clés de condition globales IAM à un magasin de données d'événements, cela CloudTrail inclut des informations sur les clés de condition sélectionnées qui ont été évaluées au cours du processus d'autorisation, y compris des informations supplémentaires sur le principal, la session et la demande elle-même.

Une fois que vous avez ajouté des clés de balise de ressource ou des clés de condition IAM, CloudTrail inclut un eventContext champ dans les CloudTrail événements qui fournit les informations contextuelles sélectionnées pour l'action d'API.

Il existe quelques exceptions lorsque l'événement n'inclut pas le eventContext champ, notamment les suivantes :

Services AWS balises de ressources de support

Toutes les balises de ressources de Services AWS support. Pour plus d'informations, consultez la section Services prenant en charge le AWS Resource Groups Tagging API.

Mises à jour des balises de ressources CloudTrail pour des événements enrichis

Lorsqu'il est configuré pour cela, CloudTrail capture les informations relatives aux balises de ressources et les utilise pour fournir des informations dans le cadre d'événements enrichis. Lorsque vous travaillez avec des balises de ressources, il se peut qu'une étiquette de ressource ne soit pas reflétée avec précision au moment de la demande d'événements par le système. Pendant le fonctionnement standard, les balises appliquées au moment de la création de la ressource sont toujours présentes et ne connaîtront que des retards minimes, voire aucun. Cependant, les services suivants devraient connaître des retards dans l'affichage des modifications des balises de ressources dans les CloudTrail événements :

Les interruptions de service peuvent également entraîner des retards dans la mise à jour des informations relatives aux balises de ressources. En cas de retard d'interruption de service, les CloudTrail événements suivants incluront un addendum champ contenant des informations sur le changement de balise de ressource. Ces informations supplémentaires seront utilisées comme indiqué pour fournir des informations enrichiesCloudTrailevents.

Services AWS prise en charge des clés de condition globales IAM

Les clés de condition globales de Services AWS support IAM suivantes pour les événements enrichis sont les suivantes :

Clés de condition globales IAM prises en charge pour des événements enrichis

Le tableau suivant répertorie les clés de condition globales IAM prises en charge pour les événements CloudTrail enrichis, avec des exemples de valeurs :

Exemples d'événements

Dans l'exemple suivant, le eventContext champ inclut une clé de condition globale IAM aws:ViaAWSService d'une valeur defalse, ce qui indique que l'appel d'API n'a pas été effectué par un Service AWS.

{
    "eventVersion": "1.11",
    "userIdentity": {
        "type": "AssumedRole",
        "principalId": "ASIAIOSFODNN7EXAMPLE",
        "arn": "arn:aws:sts::123456789012:assumed-role/admin",
        "accountId": "123456789012",
        "accessKeyId": "ASIAIOSFODNN7EXAMPLE",
        "sessionContext": {
            "sessionIssuer": {
                "type": "Role",
                "principalId": "ASIAIOSFODNN7EXAMPLE",
                "arn": "arn:aws:iam::123456789012:role/admin",
                "accountId": "123456789012",
                "userName": "admin"
            },
            "attributes": {
                "creationDate": "2025-01-22T22:05:56Z",
                "mfaAuthenticated": "false"
            }
        }
    },
    "eventTime": "2025-01-22T22:06:16Z",
    "eventSource": "cloudtrail.amazonaws.com",
    "eventName": "GetTrailStatus",
    "awsRegion": "us-east-1",
    "sourceIPAddress": "192.168.0.0",
    "userAgent": "Mozilla/5.0 (Macintosh; Intel Mac OS X 10.15; rv:133.0) Gecko/20100101 Firefox/133.0",
    "requestParameters": {
        "name": "arn:aws:cloudtrail:us-east-1:123456789012:trail/myTrail"
    },
    "responseElements": null,
    "requestID": "d09c4dd2-5698-412b-be7a-example1a23",
    "eventID": "9cb5f426-7806-46e5-9729-exampled135d",
    "readOnly": true,
    "eventType": "AwsApiCall",
    "managementEvent": true,
    "recipientAccountId": "123456789012",
    "eventCategory": "Management",
    "tlsDetails": {
        "tlsVersion": "TLSv1.3",
        "cipherSuite": "TLS_AES_128_GCM_SHA256",
        "clientProvidedHostHeader": "cloudtrail.us-east-1.amazonaws.com"
    },
    "sessionCredentialFromConsole": "true",
    "eventContext": {
        "requestContext": {
            "aws:ViaAWSService": "false"
        },
        "tagContext": {}
    }
}