Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Copier des événements de journal de suivi dans un magasin de données d'événement

Vous pouvez copier les événements du sentier dans un magasin de données d'événements CloudTrail Lake pour créer un point-in-time instantané des événements enregistrés sur le sentier. La copie des événements d’un journal de suivi n’interfère pas avec la capacité du journal de suivi à journaliser des événements et ne modifie en aucune façon le journal.

Vous pouvez copier les événements de suivi dans un magasin de données d'événements existant configuré pour les CloudTrail événements, ou vous pouvez créer un nouveau magasin de données d' CloudTrail événements et choisir l'option Copier les événements de suivi dans le cadre de la création du magasin de données d'événements. Pour plus d'informations sur la copie des événements de suivi dans un entrepôt de données d'événement existant, veuillez consulter Copiez les événements de suivi dans un magasin de données d'événements existant à l'aide de la console. Pour plus d'informations sur la création d'un entrepôt de données d'événement, veuillez consulter Création d'un magasin de données d' CloudTrailévénements pour les événements à l'aide de la console.

Si vous copiez des événements de journal de suivi vers le magasin de données d’événement d’une organisation, vous devez utiliser le compte de gestion de l’organisation. Vous ne pouvez pas copier les événements de journal de suivi en utilisant le compte administrateur délégué d’une organisation.

CloudTrail Les magasins de données sur les événements de Lake sont payants. Lorsque vous créez un magasin de données d’événement, vous choisissez l’option de tarification que vous voulez utiliser pour le magasin de données d’événement. L’option de tarification détermine le coût d’ingestion et de stockage des événements, ainsi que les périodes de conservation par défaut et maximale pour le magasin de données d’événement. Pour plus d'informations sur la CloudTrail tarification et la gestion des coûts du lac, voir AWS CloudTrail Tarification etGestion des coûts CloudTrail du lac.

Lorsque vous copiez des événements de parcours dans un magasin de données d'événements CloudTrail Lake, vous êtes facturé en fonction de la quantité de données non compressées ingérée par le magasin de données d'événements.

Lorsque vous copiez des événements de suivi dans CloudTrail Lake, CloudTrail décompressez les journaux stockés au format gzip (compressé), puis copie les événements contenus dans les journaux dans votre magasin de données d'événements. La taille des données non compressées peut être supérieure à la taille réelle du stockage S3. Pour obtenir une estimation générale de la taille des données non compressées, vous pouvez multiplier par 10 la taille des journaux du compartiment S3.

Vous pouvez réduire les coûts en spécifiant une plage de temps plus restreinte pour les événements copiés. Si vous prévoyez de n'utiliser l'entrepôt de données d'événement que pour interroger vos événements copiés, vous pouvez désactiver l'ingestion des événements afin d'éviter d'encourir des frais lors d'événements futurs. Pour plus d'informations, veuillez consulter Tarification AWS CloudTrail et Gestion des coûts CloudTrail du lac.

Scénarios

Le tableau suivant décrit certains scénarios courants de copie d'événements de suivi et explique comment réaliser chaque scénario à l'aide de la console.

Considérations pour copier les événements de journal de suivi

Tenez compte des facteurs suivants lors de la copie d’événements du journal de suivi.

Autorisations requises pour copier les événements de journal de suivi

Avant de copier les événements du trail, assurez-vous de disposer de toutes les autorisations requises pour votre IAM rôle. Vous ne devez mettre à jour les autorisations des IAM rôles que si vous choisissez un IAM rôle existant pour copier les événements de suivi. Si vous choisissez de créer un nouveau IAM rôle, CloudTrail fournit toutes les autorisations nécessaires pour ce rôle.

Si le compartiment S3 source utilise une KMS clé pour le chiffrement des données, assurez-vous que la politique en matière de KMS clés CloudTrail permet de déchiffrer les données du compartiment. Si le compartiment S3 source utilise plusieurs KMS clés, vous devez mettre à jour la politique de chaque clé CloudTrail pour autoriser le déchiffrement des données du compartiment.

IAMautorisations pour copier les événements du trail

Lorsque vous copiez des événements de parcours, vous avez la possibilité de créer un nouveau IAM rôle ou d'utiliser un IAM rôle existant. Lorsque vous choisissez un nouveau IAM rôle, vous CloudTrail créez un IAM rôle avec les autorisations requises et aucune autre action n'est requise de votre part.

Si vous choisissez un rôle existant, assurez-vous que les politiques du IAM rôle autorisent CloudTrail la copie des événements de suivi depuis le compartiment S3 source. Cette section fournit des exemples des politiques d'autorisation et de confiance requises pour les IAM rôles.

L'exemple suivant fournit la politique d'autorisation, qui permet CloudTrail de copier les événements de suivi depuis le compartiment S3 source. Remplacez amzn-s3-demo-bucket, myAccountID, region, prefix, et eventDataStoreId avec les valeurs appropriées à votre configuration. Le myAccountID est l'ID de AWS compte utilisé pour CloudTrail Lake, qui peut être différent de AWS celui du compartiment S3.

Remplacez key-region, keyAccountID, et keyID avec les valeurs de la KMS clé utilisée pour chiffrer le compartiment S3 source. Vous pouvez omettre l'AWSCloudTrailImportKeyAccessinstruction si le compartiment S3 source n'utilise pas de KMS clé pour le chiffrement.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AWSCloudTrailImportBucketAccess",
      "Effect": "Allow",
      "Action": ["s3:ListBucket", "s3:GetBucketAcl"],
      "Resource": [
        "arn:aws:s3:::amzn-s3-demo-bucket"
      ],
      "Condition": {
        "StringEquals": {
          "aws:SourceAccount": "myAccountID",
          "aws:SourceArn": "arn:aws:cloudtrail:region:myAccountID:eventdataStore/eventDataStoreId"
         }
       }
    },
    {
      "Sid": "AWSCloudTrailImportObjectAccess",
      "Effect": "Allow",
      "Action": ["s3:GetObject"],
      "Resource": [
        "arn:aws:s3:::amzn-s3-demo-bucket/prefix",
        "arn:aws:s3:::amzn-s3-demo-bucket/prefix/*"
      ],
      "Condition": {
        "StringEquals": {
          "aws:SourceAccount": "myAccountID",
          "aws:SourceArn": "arn:aws:cloudtrail:region:myAccountID:eventdataStore/eventDataStoreId"
         }
       }
    },
    {
      "Sid": "AWSCloudTrailImportKeyAccess",
      "Effect": "Allow",
      "Action": ["kms:GenerateDataKey","kms:Decrypt"],
      "Resource": [
        "arn:aws:kms:key-region:keyAccountID:key/keyID"
      ]
    }
  ]
}

L'exemple suivant fournit la politique de IAM confiance, qui permet d' CloudTrail assumer un IAM rôle pour copier les événements de suivi depuis le compartiment S3 source. Remplacez myAccountID, region, et eventDataStoreArn avec les valeurs appropriées à votre configuration. Le myAccountID est l' Compte AWS ID utilisé pour CloudTrail Lake, qui peut être différent de l'ID de AWS compte pour le compartiment S3.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "cloudtrail.amazonaws.com"
      },
      "Action": "sts:AssumeRole",
      "Condition": {
        "StringEquals": {
          "aws:SourceAccount": "myAccountID",
          "aws:SourceArn": "arn:aws:cloudtrail:region:myAccountID:eventdataStore/eventDataStoreId"
        }
      }
    }
  ]
}
                

Politique de compartiment Amazon S3 pour la copie d'événements de journal de suivi

Par défaut, les objets et les compartiments Amazon S3 sont privés. Seul le propriétaire de la ressource (le compte AWS qui a créé le compartiment) peut accéder au compartiment et aux objets qu’il contient. Le propriétaire de la ressource peut accorder des autorisations d’accès à d’autres ressources et à d’autres utilisateurs en créant une stratégie d’accès.

Avant de copier les événements de suivi, vous devez mettre à jour la politique du compartiment S3 CloudTrail pour autoriser la copie des événements de suivi depuis le compartiment S3 source.

Vous pouvez ajouter l'instruction suivante à la politique du compartiment S3 pour accorder ces autorisations. Remplacez roleArn and amzn-s3-demo-bucket avec les valeurs appropriées à votre configuration.

{
  "Sid": "AWSCloudTrailImportBucketAccess",
  "Effect": "Allow",
  "Action": [
    "s3:ListBucket",
    "s3:GetBucketAcl",
    "s3:GetObject"
  ],
  "Principal": {
    "AWS": "roleArn"
  },
  "Resource": [
    "arn:aws:s3:::amzn-s3-demo-bucket",
    "arn:aws:s3:::amzn-s3-demo-bucket/*"
  ]
},

KMSpolitique clé pour le déchiffrement des données dans le compartiment S3 source

Si le compartiment S3 source utilise une KMS clé pour le chiffrement des données, assurez-vous que la politique des KMS clés prévoit CloudTrail les kms:GenerateDataKey autorisations kms:Decrypt et les autorisations requises pour copier les événements de suivi depuis un compartiment S3 avec SSE KMS le chiffrement activé. Si votre compartiment S3 source utilise plusieurs KMS clés, vous devez mettre à jour la politique de chaque clé. La mise à jour de la politique KMS clé permet CloudTrail de déchiffrer les données dans le compartiment S3 source, d'exécuter des contrôles de validation pour s'assurer que les événements sont conformes aux CloudTrail normes et de copier les événements dans le magasin de données d'événements CloudTrail Lake.

L'exemple suivant fournit la politique de KMS clé, qui permet CloudTrail de déchiffrer les données dans le compartiment S3 source. Remplacez roleArn, amzn-s3-demo-bucket, myAccountID, region, et eventDataStoreId avec les valeurs appropriées à votre configuration. Le myAccountID est l'ID de AWS compte utilisé pour CloudTrail Lake, qui peut être différent de AWS celui du compartiment S3.

{
  "Sid": "AWSCloudTrailImportDecrypt",
  "Effect": "Allow",
  "Action": [
          "kms:Decrypt",
          "kms:GenerateDataKey"
  ],
  "Principal": {
    "AWS": "roleArn"
  },
  "Resource": "*",
  "Condition": {
    "StringLike": {
      "kms:EncryptionContext:aws:s3:arn": "arn:aws:s3:::amzn-s3-demo-bucket/*"
    },
    "StringEquals": {
      "aws:SourceAccount": "myAccountID",
      "aws:SourceArn": "arn:aws:cloudtrail:region:myAccountID:eventdataStore/eventDataStoreId"
    }
  }
}