Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Copier des événements de journal de suivi dans un magasin de données d'événement

Vous pouvez copier les événements du sentier dans un magasin de données d'événements CloudTrail Lake pour créer un point-in-time instantané des événements enregistrés sur le sentier. La copie des événements d’un journal de suivi n’interfère pas avec la capacité du journal de suivi à journaliser des événements et ne modifie en aucune façon le journal.

Vous pouvez copier les événements de suivi dans un magasin de données d'événements existant configuré pour les CloudTrail événements, ou vous pouvez créer un nouveau magasin de données d' CloudTrail événements et choisir l'option Copier les événements de suivi dans le cadre de la création du magasin de données d'événements. Pour plus d'informations sur la copie des événements de suivi dans un entrepôt de données d'événement existant, veuillez consulter Copiez les événements de suivi dans un magasin de données d'événements existant à l'aide de la console. Pour plus d'informations sur la création d'un entrepôt de données d'événement, veuillez consulter Création d'un magasin de données d' CloudTrailévénements pour les événements à l'aide de la console.

Si vous copiez des événements de journal de suivi vers le magasin de données d’événement d’une organisation, vous devez utiliser le compte de gestion de l’organisation. Vous ne pouvez pas copier les événements de journal de suivi en utilisant le compte administrateur délégué d’une organisation.

CloudTrail Les magasins de données sur les événements de Lake sont payants. Lorsque vous créez un magasin de données d’événement, vous choisissez l’option de tarification que vous voulez utiliser pour le magasin de données d’événement. L’option de tarification détermine le coût d’ingestion et de stockage des événements, ainsi que les périodes de conservation par défaut et maximale pour le magasin de données d’événement. Pour plus d'informations sur la CloudTrail tarification et la gestion des coûts du lac, voir AWS CloudTrail Tarification etGestion des coûts CloudTrail du lac.

Lorsque vous copiez des événements de parcours dans un magasin de données d'événements CloudTrail Lake, vous êtes facturé en fonction de la quantité de données non compressées ingérée par le magasin de données d'événements.

Lorsque vous copiez des événements de suivi dans CloudTrail Lake, CloudTrail décompressez les journaux stockés au format gzip (compressé), puis copie les événements contenus dans les journaux dans votre magasin de données d'événements. La taille des données non compressées peut être supérieure à la taille réelle du stockage S3. Pour obtenir une estimation générale de la taille des données non compressées, vous pouvez multiplier par 10 la taille des journaux du compartiment S3.

Vous pouvez réduire les coûts en spécifiant une plage de temps plus restreinte pour les événements copiés. Si vous prévoyez de n'utiliser l'entrepôt de données d'événement que pour interroger vos événements copiés, vous pouvez désactiver l'ingestion des événements afin d'éviter d'encourir des frais lors d'événements futurs. Pour plus d'informations, veuillez consulter Tarification AWS CloudTrail et Gestion des coûts CloudTrail du lac.

Scénarios

Le tableau suivant décrit certains scénarios courants de copie d'événements de suivi et explique comment réaliser chaque scénario à l'aide de la console.

Considérations pour copier les événements de journal de suivi

Tenez compte des facteurs suivants lors de la copie d’événements du journal de suivi.

Autorisations requises pour copier les événements de journal de suivi

Avant de copier des événements de suivi, assurez-vous de disposer de toutes les autorisations requises pour votre rôle IAM. Vous devez uniquement mettre à jour les autorisations du rôle IAM si vous choisissez un rôle IAM existant pour copier les événements de journal de suivi. Si vous choisissez de créer un nouveau rôle IAM, CloudTrail fournit toutes les autorisations nécessaires pour ce rôle.

Si le compartiment S3 source utilise une clé KMS pour le chiffrement des données, assurez-vous que la politique de clé KMS autorise CloudTrail le déchiffrement des données du compartiment. Si le compartiment S3 source utilise plusieurs clés KMS, vous devez mettre à jour la politique de chaque clé CloudTrail pour autoriser le déchiffrement des données du compartiment.

Autorisations IAM pour copier les événements de journal de suivi

Lorsque vous copiez des événements de journal de suivi, vous pouvez créer un nouveau rôle IAM ou utiliser un rôle IAM existant. Lorsque vous choisissez un nouveau rôle IAM, vous CloudTrail créez un rôle IAM avec les autorisations requises et aucune autre action n'est requise de votre part.

Si vous choisissez un rôle existant, assurez-vous que les politiques du rôle IAM autorisent la copie CloudTrail des événements de suivi depuis le compartiment S3 source. Cette section fournit des exemples de politiques d’approbation et d’autorisation requises du rôle IAM.

L'exemple suivant fournit la politique d'autorisation, qui permet CloudTrail de copier les événements de suivi depuis le compartiment S3 source. Remplacez DOC-EXAMPLE-BUCKET, eventDataStoreMyAccountID, region, prefix et Id par les valeurs appropriées à votre configuration. Le MyAccountID est l'ID de AWS compte utilisé pour CloudTrail Lake, qui peut être différent de l'ID de AWS compte du compartiment S3.

Remplacez key-region, keyAccountID et keyID par les valeurs de la clé KMS utilisée pour chiffrer le compartiment S3 source. Vous pouvez omettre l'instruction AWSCloudTrailImportKeyAccess si le compartiment S3 source n'utilise pas de clé KMS pour le chiffrement.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AWSCloudTrailImportBucketAccess",
      "Effect": "Allow",
      "Action": ["s3:ListBucket", "s3:GetBucketAcl"],
      "Resource": [
        "arn:aws:s3:::DOC-EXAMPLE-BUCKET"
      ],
      "Condition": {
        "StringEquals": {
          "aws:SourceAccount": "myAccountID",
          "aws:SourceArn": "arn:aws:cloudtrail:region:myAccountID:eventdataStore/eventDataStoreId"
         }
       }
    },
    {
      "Sid": "AWSCloudTrailImportObjectAccess",
      "Effect": "Allow",
      "Action": ["s3:GetObject"],
      "Resource": [
        "arn:aws:s3:::DOC-EXAMPLE-BUCKET/prefix",
        "arn:aws:s3:::DOC-EXAMPLE-BUCKET/prefix/*"
      ],
      "Condition": {
        "StringEquals": {
          "aws:SourceAccount": "myAccountID",
          "aws:SourceArn": "arn:aws:cloudtrail:region:myAccountID:eventdataStore/eventDataStoreId"
         }
       }
    },
    {
      "Sid": "AWSCloudTrailImportKeyAccess",
      "Effect": "Allow",
      "Action": ["kms:GenerateDataKey","kms:Decrypt"],
      "Resource": [
        "arn:aws:kms:key-region:keyAccountID:key/keyID"
      ]
    }
  ]
}

L'exemple suivant fournit la politique de confiance IAM, qui permet d' CloudTrail assumer un rôle IAM pour copier les événements de suivi depuis le compartiment S3 source. Remplacez MyAccountId, region et eventDataStoreArn par les valeurs appropriées à votre configuration. Le MyAccountID est l' Compte AWS ID utilisé pour CloudTrail Lake, qui peut être différent de l'ID de AWS compte pour le compartiment S3.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "cloudtrail.amazonaws.com"
      },
      "Action": "sts:AssumeRole",
      "Condition": {
        "StringEquals": {
          "aws:SourceAccount": "myAccountID",
          "aws:SourceArn": "arn:aws:cloudtrail:region:myAccountID:eventdataStore/eventDataStoreId"
        }
      }
    }
  ]
}
                

Politique de compartiment Amazon S3 pour la copie d'événements de journal de suivi

Par défaut, les objets et les compartiments Amazon S3 sont privés. Seul le propriétaire de la ressource (le compte AWS qui a créé le compartiment) peut accéder au compartiment et aux objets qu’il contient. Le propriétaire de la ressource peut accorder des autorisations d’accès à d’autres ressources et à d’autres utilisateurs en créant une stratégie d’accès.

Avant de copier les événements de suivi, vous devez mettre à jour la politique du compartiment S3 CloudTrail pour autoriser la copie des événements de suivi depuis le compartiment S3 source.

Vous pouvez ajouter l'instruction suivante à la politique du compartiment S3 pour accorder ces autorisations. Remplacez roLearn et DOC-EXAMPLE-BUCKET par les valeurs appropriées à votre configuration.

{
  "Sid": "AWSCloudTrailImportBucketAccess",
  "Effect": "Allow",
  "Action": [
    "s3:ListBucket",
    "s3:GetBucketAcl",
    "s3:GetObject"
  ],
  "Principal": {
    "AWS": "roleArn"
  },
  "Resource": [
    "arn:aws:s3:::DOC-EXAMPLE-BUCKET",
    "arn:aws:s3:::DOC-EXAMPLE-BUCKET/*"
  ]
},

Stratégie de clé KMS pour le déchiffrement des données dans le compartiment S3 source

Si le compartiment S3 source utilise une clé KMS pour le chiffrement des données, assurez-vous que la politique de clé KMS fournit CloudTrail les kms:GenerateDataKey autorisations kms:Decrypt et les autorisations nécessaires pour copier les événements de suivi depuis un compartiment S3 avec le chiffrement SSE-KMS activé. Si votre compartiment S3 source utilise plusieurs clés KMS, vous devez mettre à jour la stratégie de chaque clé. La mise à jour de la politique des clés KMS permet CloudTrail de déchiffrer les données dans le compartiment S3 source, d'exécuter des contrôles de validation pour s'assurer que les événements sont conformes aux CloudTrail normes et de copier les événements dans le magasin de données d'événements CloudTrail Lake.

L'exemple suivant fournit la politique de clé KMS, qui permet CloudTrail de déchiffrer les données dans le compartiment S3 source. Remplacez roLearn, DOC-EXAMPLE-BUCKET, MyAccountId, region et eventDataStore Id par les valeurs appropriées à votre configuration. Le MyAccountID est l'ID de AWS compte utilisé pour CloudTrail Lake, qui peut être différent de l'ID de AWS compte du compartiment S3.

{
  "Sid": "AWSCloudTrailImportDecrypt",
  "Effect": "Allow",
  "Action": [
          "kms:Decrypt",
          "kms:GenerateDataKey"
  ],
  "Principal": {
    "AWS": "roleArn"
  },
  "Resource": "*",
  "Condition": {
    "StringLike": {
      "kms:EncryptionContext:aws:s3:arn": "arn:aws:s3:::DOC-EXAMPLE-BUCKET/*"
    },
    "StringEquals": {
      "aws:SourceAccount": "myAccountID",
      "aws:SourceArn": "arn:aws:cloudtrail:region:myAccountID:eventdataStore/eventDataStoreId"
    }
  }
}