Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.
Comprendre les CloudTrail événements
Un événement dans CloudTrail est l'enregistrement d'une activité sur un AWS compte. Cette activité peut être une action entreprise par une identité IAM ou un service contrôlable par. CloudTrail CloudTrail les événements fournissent un historique de l'activité des comptes API et non-API effectuée via AWS Management Console les outils de ligne de commande AWS SDKs, etc. Services AWS
CloudTrail les fichiers journaux ne constituent pas une trace ordonnée des appels d'API publics. Les événements n'apparaissent donc pas dans un ordre spécifique.
Il existe quatre types d' CloudTrail événements :
-
Événements liés à l'activité du réseau
Note
Les événements liés à l'activité réseau sont en version préliminaire CloudTrail et sont susceptibles d'être modifiés.
Par défaut, les données relatives aux parcours et aux événements stockent les événements de gestion des journaux, mais pas les événements liés aux données, les événements liés à l'activité du réseau ou les événements Insights.
Tous les types d'événements utilisent un format de journal CloudTrail JSON. Le journal contient des informations sur les demandes pour les ressources de votre compte, telles que l’auteur de la demande, les services utilisés, les actions réalisées et les paramètres pour l'action. Les données d’événement sont contenues dans un tableau Records
.
Pour plus d'informations sur les champs d'enregistrement d' CloudTrail événements, consultezCloudTrail enregistrer le contenu.
Événements de gestion
Les événements de gestion fournissent des informations sur les opérations de gestion effectuées sur les ressources de votre AWS compte. Ils sont également connus sous le nom opérations de plan de contrôle.
Les événements de gestion sont notamment les suivants :
-
Configuration de la sécurité (par exemple, les opérations d' AWS Identity and Access Management
AttachRolePolicy
API). -
Enregistrement des appareils (par exemple, opérations EC2
CreateDefaultVpc
d'API Amazon). -
Configuration des règles pour les données de routage (par exemple, les opérations EC2
CreateSubnet
d'API Amazon). -
Configuration de la journalisation (par exemple, les opérations d' AWS CloudTrail
CreateTrail
API).
Les événements de gestion peuvent aussi inclure les événements non API qui se produisent dans votre compte. Par exemple, lorsqu'un utilisateur se connecte à votre compte, CloudTrail enregistre l'ConsoleLogin
événement. Pour de plus amples informations, veuillez consulter APIÉvénements non capturés par CloudTrail.
Par défaut, les données relatives aux événements relatifs aux CloudTrail sentiers et aux CloudTrail lacs stockent les événements de gestion des journaux. Pour plus d'informations sur la journalisation des événements de gestion, consultezJournalisation des événements de gestion.
L'exemple suivant montre un enregistrement de journal unique d'un événement de gestion. Dans cet événement, un utilisateur IAM nommé Mary_Major
a exécuté la aws cloudtrail start-logging commande pour appeler l' CloudTrail StartLogging
action permettant de démarrer le processus de journalisation sur un parcours nommémyTrail
.
{ "eventVersion": "1.09", "userIdentity": { "type": "IAMUser", "principalId": "EXAMPLE6E4XEGITWATV6R", "arn": "arn:aws:iam::123456789012:user/Mary_Major", "accountId": "123456789012", "accessKeyId": "AKIAIOSFODNN7EXAMPLE", "userName": "Mary_Major", "sessionContext": { "attributes": { "creationDate": "2023-07-19T21:11:57Z", "mfaAuthenticated": "false" } } }, "eventTime": "2023-07-19T21:33:41Z", "eventSource": "cloudtrail.amazonaws.com", "eventName": "StartLogging", "awsRegion": "us-east-1", "sourceIPAddress": "192.0.2.0", "userAgent": "aws-cli/2.13.5 Python/3.11.4 Linux/4.14.255-314-253.539.amzn2.x86_64 exec-env/CloudShell exe/x86_64.amzn.2 prompt/off command/cloudtrail.start-logging", "requestParameters": { "name": "myTrail" }, "responseElements": null, "requestID": "9d478fc1-4f10-490f-a26b-EXAMPLE0e932", "eventID": "eae87c48-d421-4626-94f5-EXAMPLEac994", "readOnly": false, "eventType": "AwsApiCall", "managementEvent": true, "recipientAccountId": "123456789012", "eventCategory": "Management", "tlsDetails": { "tlsVersion": "TLSv1.2", "cipherSuite": "ECDHE-RSA-AES128-GCM-SHA256", "clientProvidedHostHeader": "cloudtrail.us-east-1.amazonaws.com" }, "sessionCredentialFromConsole": "true" }
Dans l'exemple suivant, un utilisateur IAM nommé Paulo_Santos
a exécuté la commande aws cloudtrail start-event-data-store-ingestion pour appeler l'action StartEventDataStoreIngestion
permettant de démarrer l'ingestion dans un entrepôt de données d'événement.
{ "eventVersion": "1.09", "userIdentity": { "type": "IAMUser", "principalId": "EXAMPLEPHCNW5EQV7NA54", "arn": "arn:aws:iam::123456789012:user/Paulo_Santos", "accountId": "123456789012", "accessKeyId": "(AKIAIOSFODNN7EXAMPLE", "userName": "Paulo_Santos", "sessionContext": { "attributes": { "creationDate": "2023-07-21T21:55:30Z", "mfaAuthenticated": "false" } } }, "eventTime": "2023-07-21T21:57:28Z", "eventSource": "cloudtrail.amazonaws.com", "eventName": "StartEventDataStoreIngestion", "awsRegion": "us-east-1", "sourceIPAddress": "192.0.2.0", "userAgent": "aws-cli/2.13.1 Python/3.11.4 Linux/4.14.255-314-253.539.amzn2.x86_64 exec-env/CloudShell exe/x86_64.amzn.2 prompt/off command/cloudtrail.start-event-data-store-ingestion", "requestParameters": { "eventDataStore": "arn:aws:cloudtrail:us-east-1:123456789012:eventdatastore/2a8f2138-0caa-46c8-a194-EXAMPLE87d41" }, "responseElements": null, "requestID": "f62a3494-ba4e-49ee-8e27-EXAMPLE4253f", "eventID": "d97ca7e2-04fe-45b4-882d-EXAMPLEa9b2c", "readOnly": false, "eventType": "AwsApiCall", "managementEvent": true, "recipientAccountId": "123456789012", "eventCategory": "Management", "tlsDetails": { "tlsVersion": "TLSv1.2", "cipherSuite": "ECDHE-RSA-AES128-GCM-SHA256", "clientProvidedHostHeader": "cloudtrail.us-east-1.amazonaws.com" }, "sessionCredentialFromConsole": "true" }
Événements de données
Les événements de données fournissent des informations sur les opérations de ressource exécutées sur ou dans une ressource. Ils sont également connus sous le nom opérations de plans de données. Les événements de données sont souvent des activités dont le volume est élevé.
Les événements de données incluent notamment :
-
Activité de l'API au niveau des objets Amazon S3 (par exemple,
GetObject
DeleteObject
, et opérations d'PutObject
API) sur des objets dans des compartiments S3. -
AWS Lambda activité d'exécution de fonctions (l'
Invoke
API). -
CloudTrail
PutAuditEvents
activité sur un chenal CloudTrail lacustre utilisé pour enregistrer des événements provenant de l'extérieur AWS. -
Opérations d'API
Publish
etPublishBatch
d'Amazon SNS sur des rubriques.
Le tableau suivant indique les types de ressources disponibles pour les sentiers et les magasins de données sur les événements. La colonne Type de ressource (console) indique la sélection appropriée dans la console. La colonne de valeur resources.type indique la resources.type
valeur que vous devez spécifier pour inclure les événements de données de ce type dans votre magasin de données de suivi ou d'événement à l'aide du ou. AWS CLI CloudTrail APIs
Pour les traces, vous pouvez utiliser des sélecteurs d'événements de base ou avancés pour enregistrer les événements de données relatifs aux objets Amazon S3 dans des compartiments à usage général, des fonctions Lambda et des tables DynamoDB (illustrés dans les trois premières lignes du tableau). Vous ne pouvez utiliser que des sélecteurs d'événements avancés pour enregistrer les types de ressources indiqués dans les lignes restantes.
Pour les entrepôts de données d'événement, vous ne pouvez utiliser que des sélecteurs d'événements avancés pour inclure les événements de données.
Service AWS | Description | Type de ressource (console) | valeur resources.type |
---|---|---|---|
Amazon DynamoDB | Activité de l'API au niveau des éléments Amazon DynamoDB sur les tables (par exemple NotePour les tables ayant les flux activés, le champ |
DynamoDB |
|
AWS Lambda | AWS Lambda activité d'exécution de fonctions (l' |
Lambda | AWS::Lambda::Function |
Amazon S3 | Activité d'API au niveau des objets Amazon S3 (par exemple, |
S3 | AWS::S3::Object |
AWS AppConfig | AWS AppConfig Activité de l'API pour les opérations de configuration telles que les appels vers |
AWS AppConfig | AWS::AppConfig::Configuration |
AWS AppSync | AWS AppSync Activité de l'API sur AppSync GraphQL APIs. |
AppSync GraphQL | AWS::AppSync::GraphQL |
AWS Échange de données B2B | Activité de l’API d’échange de données B2B pour les opérations du transformateur telles que les appels vers |
Échange de données B2B | AWS::B2BI::Transformer |
AWS Backup | AWS Backup Activité de l'API Search Data sur les tâches de recherche. |
AWS Backup Données de recherche APIs | AWS::Backup::SearchJob |
Amazon Bedrock | Activité de l’API Amazon Bedrock sur un alias d’agent. | Alias d’agent Bedrock | AWS::Bedrock::AgentAlias |
Amazon Bedrock | Activité de l'API Amazon Bedrock lors d'appels asynchrones. | Invocation asynchrone de Bedrock | AWS::Bedrock::AsyncInvoke |
Amazon Bedrock | Activité de l'API Amazon Bedrock sur un alias de flux. | Alias de Bedrock Flow | AWS::Bedrock::FlowAlias |
Amazon Bedrock | Activité de l'API Amazon Bedrock sur les rambardes. | Rambarde Bedrock | AWS::Bedrock::Guardrail |
Amazon Bedrock | Activité de l'API Amazon Bedrock sur les agents en ligne. | Agent en ligne Bedrock Invoke | AWS::Bedrock::InlineAgent |
Amazon Bedrock | Activité de l’API Amazon Bedrock sur une base de connaissances. | Base de connaissances Bedrock | AWS::Bedrock::KnowledgeBase |
Amazon Bedrock | Activité de l'API Amazon Bedrock sur les modèles. | Modèle Bedrock | AWS::Bedrock::Model |
Amazon Bedrock | Activité de l'API Amazon Bedrock sur demande. | Prompt Bedrock | AWS::Bedrock::PromptVersion |
Amazon CloudFront | CloudFront Activité de l'API sur un KeyValueStore. |
CloudFront KeyValueStore | AWS::CloudFront::KeyValueStore |
AWS Cloud Map | AWS Cloud Map Activité de l'API sur un espace de noms. | AWS Cloud Map espace de nom |
|
AWS Cloud Map | AWS Cloud Map Activité de l'API sur un service. | AWS Cloud Map web |
|
AWS CloudTrail | CloudTrail |
CloudTrail canal | AWS::CloudTrail::Channel |
Amazon CloudWatch | Activité de CloudWatch l'API Amazon sur les métriques. |
CloudWatch métrique | AWS::CloudWatch::Metric |
Amazon CloudWatch RUM | Activité de l'API Amazon CloudWatch RUM sur les moniteurs d'applications. |
Moniteur de l'application RUM | AWS::RUM::AppMonitor |
Amazon CodeGuru Profiler | CodeGuru Activité de l'API Profiler sur les groupes de profilage. | CodeGuru Groupe de profilage | AWS::CodeGuruProfiler::ProfilingGroup |
Amazon CodeWhisperer | Activité de CodeWhisperer l'API Amazon sur une personnalisation. | CodeWhisperer personnalisation | AWS::CodeWhisperer::Customization |
Amazon CodeWhisperer | Activité de CodeWhisperer l'API Amazon sur un profil. | CodeWhisperer | AWS::CodeWhisperer::Profile |
Amazon Cognito | Activité de l'API Amazon Cognito sur les réserves d'identités Amazon Cognito. |
Réserves d’identités Cognito | AWS::Cognito::IdentityPool |
AWS Data Exchange | AWS Data Exchange Activité de l'API sur les actifs. |
Actif Data Exchange |
|
AWS Deadline Cloud | Deadline CloudActivité des API sur les flottes. |
Deadline Cloud flotte |
|
AWS Deadline Cloud | Deadline CloudActivité de l'API sur les jobs. |
Deadline Cloud travail |
|
AWS Deadline Cloud | Deadline CloudActivité de l'API sur les files d'attente. |
Deadline Cloud queue |
|
AWS Deadline Cloud | Deadline CloudActivité de l'API sur les travailleurs. |
Deadline Cloud travailleur |
|
Amazon DynamoDB | Activité de l'API Amazon DynamoDB sur les flux. |
DynamoDB Streams | AWS::DynamoDB::Stream |
AWS Messagerie SMS à l'utilisateur final | AWS Activité de l'API de messagerie SMS de l'utilisateur final sur les identités d'origine. | Identité d'origine des SMS Voice | AWS::SMSVoice::OriginationIdentity |
AWS Messagerie SMS à l'utilisateur final | AWS Activité de l'API SMS de messagerie de l'utilisateur final sur les messages. | SMS (message vocal) | AWS::SMSVoice::Message |
AWS Messagerie sociale destinée aux utilisateurs finaux | AWS Activité de l'API sociale de messagerie de l'utilisateur final sur le numéro de téléphone IDs. | Numéro de téléphone de messagerie sociale | AWS::SocialMessaging::PhoneNumberId |
AWS Messagerie sociale destinée aux utilisateurs finaux | AWS Activité de l'API sociale de messagerie utilisateur final sur Waba IDs. | Messagerie sociale Waba ID | AWS::SocialMessaging::WabaId |
Amazon Elastic Block Store | Amazon EBS direct APIs | AWS::EC2::Snapshot |
|
Amazon EMR | Activité de l'API Amazon EMR sur un espace de travail de journalisation à écriture anticipée. | Espace de travail de journalisation à écriture anticipée EMR | AWS::EMRWAL::Workspace |
Amazon FinSpace | Activité de l'API Amazon FinSpace sur les environnements. |
FinSpace | AWS::FinSpace::Environment |
AWS Glue | AWS Glue Activité de l'API sur les tables créées par Lake Formation. |
Lake Formation | AWS::Glue::Table |
Amazon GuardDuty | Activité de GuardDuty l'API Amazon pour un détecteur. |
GuardDuty détecteur | AWS::GuardDuty::Detector |
AWS HealthImaging | AWS HealthImaging Activité de l'API sur les magasins de données. |
MedicalImaging magasin de données | AWS::MedicalImaging::Datastore |
AWS IoT | Certificat IoT | AWS::IoT::Certificate |
|
AWS IoT | Un truc lié à l'IoT | AWS::IoT::Thing |
|
AWS IoT Greengrass Version 2 | Activité de l'API Greengrass depuis un appareil principal de Greengrass sur une version de composant. NoteGreengrass n'enregistre pas les cas de refus d'accès. |
Version du composant IoT Greengrass | AWS::GreengrassV2::ComponentVersion |
AWS IoT Greengrass Version 2 | Activité de l'API Greengrass depuis un appareil principal de Greengrass lors d'un déploiement. NoteGreengrass n'enregistre pas les cas de refus d'accès. |
Déploiement de Greengrass pour l'IoT | AWS::GreengrassV2::Deployment |
AWS IoT SiteWise | SiteWise Actif IoT | AWS::IoTSiteWise::Asset |
|
AWS IoT SiteWise | Activité de SiteWise l'API IoT sur les séries chronologiques. |
Séries SiteWise chronologiques sur l'IoT | AWS::IoTSiteWise::TimeSeries |
AWS IoT SiteWise Assistante | Activité de l'API Sitewise Assistant sur les conversations. |
Conversation avec Sitewise Assistant | AWS::SitewiseAssistant::Conversation |
AWS IoT TwinMaker | Activité de TwinMaker l'API IoT sur une entité. |
TwinMaker Entité IoT | AWS::IoTTwinMaker::Entity |
AWS IoT TwinMaker | Activité de TwinMaker l'API IoT sur un espace de travail. |
Espace de TwinMaker travail IoT | AWS::IoTTwinMaker::Workspace |
Amazon Kendra Intelligent Ranking (Classement intelligent Amazon Kendra) | Activité de l'API de classement intelligent Amazon Kendra sur les plans d'exécution de réévaluation. |
Classement Kendra | AWS::KendraRanking::ExecutionPlan |
Amazon Keyspaces (pour Apache Cassandra) | Activité de l'API Amazon Keyspaces sur une table. | Table Cassandra | AWS::Cassandra::Table |
Amazon Kinesis Data Streams | Activité de l'API Kinesis Data Streams sur les flux. | Kinesis Stream | AWS::Kinesis::Stream |
Amazon Kinesis Data Streams | Activité de l'API Kinesis Data Streams sur les utilisateurs des streams. | Consommateur de Kinesis Stream | AWS::Kinesis::StreamConsumer |
Amazon Kinesis Video Streams | Activité de l'API Kinesis Video Streams sur les flux vidéo, tels que les appels GetMedia vers PutMedia et. |
Flux vidéo Kinesis | AWS::KinesisVideo::Stream |
Cartes de localisation Amazon | Activité de l'API Amazon Location Maps. | Cartes géographiques | AWS::GeoMaps::Provider |
Amazon Location Places | Activité de l'API Amazon Location Places. | Géolocalisations | AWS::GeoPlaces::Provider |
Itinéraires de localisation Amazon | Activité de l'API Amazon Location Routes. | Itinéraires géographiques | AWS::GeoRoutes::Provider |
Amazon Machine Learning | Activité de l'API Machine Learning sur les modèles ML. | Apprentissage automatique MlModel | AWS::MachineLearning::MlModel |
Amazon Managed Blockchain | Activité de l'API Amazon Managed Blockchain sur un réseau. |
Réseau Managed Blockchain | AWS::ManagedBlockchain::Network |
Amazon Managed Blockchain | Appels Amazon Managed Blockchain JSON-RPC sur les nœuds Ethereum, tels que |
Managed Blockchain | AWS::ManagedBlockchain::Node |
Amazon Managed Workflows for Apache Airflow | Activité de l'API Amazon MWAA sur les environnements. |
Apache Airflow géré | AWS::MWAA::Environment |
Graphe Amazon Neptune | Les activités de l’API de données, par exemple les requêtes, les algorithmes ou la recherche vectorielle, sur un graphe Neptune. |
Graphe Neptune | AWS::NeptuneGraph::Graph |
Amazon One Enterprise | Activité de l'API Amazon One Enterprise sur un UKey. |
Amazon One UKey | AWS::One::UKey |
Amazon One Enterprise | Activité de l'API Amazon One Enterprise sur les utilisateurs. |
Utilisateur d'Amazon One | AWS::One::User |
AWS Payment Cryptography | AWS Payment Cryptography Activité de l'API sur les alias. | Alias de cryptographie de paiement | AWS::PaymentCryptography::Alias |
AWS Payment Cryptography | AWS Payment Cryptography Activité de l'API sur les clés. | Clé de cryptographie de paiement | AWS::PaymentCryptography::Key |
AWS Private CA | AWS Private CA Connecteur pour l'activité de l'API Active Directory. |
AWS Private CA Connecteur pour Active Directory | AWS::PCAConnectorAD::Connector |
AWS Private CA | AWS Private CA Connecteur pour l'activité de l'API SCEP. |
AWS Private CA Connecteur pour SCEP | AWS::PCAConnectorSCEP::Connector |
Applications Amazon Q | Activité de l'API de données sur Amazon Q Apps. |
Applications Amazon Q | AWS::QApps::QApp |
Applications Amazon Q | Activité de l'API de données sur les sessions de l'application Amazon Q. |
Session de l'application Amazon Q | AWS::QApps::QAppSession |
Amazon Q Business | Activité de l’API Amazon Q Business sur une application. |
Application Amazon Q Business | AWS::QBusiness::Application |
Amazon Q Business | Activité de l’API Amazon Q Business sur une source de données. |
Source de données Amazon Q Business | AWS::QBusiness::DataSource |
Amazon Q Business | Activité de l’API Amazon Q Business sur un index. |
Indice Amazon Q Business | AWS::QBusiness::Index |
Amazon Q Business | Activité de l’API Amazon Q Business dans le cadre d’une expérience Web. |
Expérience Web Amazon Q Business | AWS::QBusiness::WebExperience |
Amazon Q Developer | Activité de l'API Amazon Q Developer sur une intégration. |
Q Intégration aux développeurs | AWS::QDeveloper::Integration |
Amazon Q Developer | Activité de l'API Amazon Q Developer dans le cadre d'enquêtes opérationnelles. |
AIOps Groupe d'enquête | AWS::AIOps::InvestigationGroup |
Amazon RDS | Activité de l'API Amazon RDS sur un cluster de base de données. |
API de données RDS - Cluster de bases de données | AWS::RDS::DBCluster |
Explorateur de ressources AWS | Activité de l'API Resource Explorer sur les vues gérées. |
Explorateur de ressources AWS vue gérée | AWS::ResourceExplorer2::ManagedView |
Explorateur de ressources AWS | Activité de l'API Resource Explorer sur les vues. |
Explorateur de ressources AWS vue | AWS::ResourceExplorer2::View |
Amazon S3 | Activité de l'API Amazon S3 sur les points d'accès. |
Points d’accès S3 | AWS::S3::AccessPoint |
Amazon S3 | Activité de l'API au niveau des objets Amazon S3 (par exemple, |
S3 Express | AWS::S3Express::Object |
Amazon S3 | Activité de l'API des points d'accès Amazon S3 Object Lambda, comme les appels vers |
S3 Object Lambda | AWS::S3ObjectLambda::AccessPoint |
Tables Amazon S3 | Activité de l'API Amazon S3 sur les tables. |
Tableau S3 | AWS::S3Tables::Table |
Tables Amazon S3 | Activité de l'API Amazon S3 sur les compartiments de table. |
seau de table S3 | AWS::S3Tables::TableBucket |
Amazon S3 sur Outposts | Activité de l'API au niveau de l'objet Amazon S3 on Outposts. |
S3 Outposts | AWS::S3Outposts::Object |
Amazon SageMaker AI | InvokeEndpointWithResponseStream Activité d'Amazon SageMaker AI sur les terminaux. |
SageMaker Point de terminaison IA | AWS::SageMaker::Endpoint |
Amazon SageMaker AI | Activité de l'API Amazon SageMaker AI sur les magasins de fonctionnalités. |
SageMaker feature store basé sur l'IA | AWS::SageMaker::FeatureGroup |
Amazon SageMaker AI | Activité de l'API Amazon SageMaker AI sur les composants des essais expérimentaux. |
SageMaker Composant d'essai expérimental sur les métriques de l'IA | AWS::SageMaker::ExperimentTrialComponent |
AWS Signer | Activité de l'API du signataire sur les tâches de signature. |
Job de signature de signataire | AWS::Signer::SigningJob |
AWS Signer | Activité de l'API des signataires sur les profils de signature. |
Profil de signature du signataire | AWS::Signer::SigningProfile |
Amazon SimpleDB | Activité de l'API Amazon SimpleDB sur les domaines. |
Domaine SimpleDB | AWS::SDB::Domain |
Amazon SNS | Opérations d'API |
Point de terminaison de la plateforme SNS | AWS::SNS::PlatformEndpoint |
Amazon SNS | Opérations d'API |
Rubrique SNS | AWS::SNS::Topic |
Amazon SQS | Activité de l’API Amazon SQS sur les messages. |
SQS | AWS::SQS::Queue |
AWS Step Functions | Activité de l'API Step Functions sur les activités. |
Step Functions | AWS::StepFunctions::Activity |
AWS Step Functions | Activité de l'API Step Functions sur les machines à états. |
Machine d’état Step Functions | AWS::StepFunctions::StateMachine |
AWS Supply Chain | AWS Supply Chain Activité de l'API sur une instance. |
Chaîne d'approvisionnement | AWS::SCN::Instance |
Amazon SWF | Domaine SWF | AWS::SWF::Domain |
|
AWS Systems Manager | Activité de l'API Systems Manager sur les canaux de contrôle. | Systems Manager | AWS::SSMMessages::ControlChannel |
AWS Systems Manager | Activité de l'API Systems Manager sur les nœuds gérés. | Nœud géré par Systems Manager | AWS::SSM::ManagedNode |
Amazon Timestream | Activité de l'API Query d'Amazon Timestream sur des bases de données. |
Base de données Timestream | AWS::Timestream::Database |
Amazon Timestream | Activité de l'API Amazon Timestream sur les points de terminaison régionaux. | Point de terminaison régional Timestream | AWS::Timestream::RegionalEndpoint |
Amazon Timestream | Activité de l'API Query d'Amazon Timestream sur des tables. |
Table Timestream | AWS::Timestream::Table |
Amazon Verified Permissions | Activité de l'API Amazon Verified Permissions sur un magasin de politiques. |
Amazon Verified Permissions | AWS::VerifiedPermissions::PolicyStore |
Amazon WorkSpaces Thin Client | WorkSpaces Activité de l'API Thin Client sur un appareil. | Appareil client léger | AWS::ThinClient::Device |
Amazon WorkSpaces Thin Client | WorkSpaces Activité de l'API Thin Client dans un environnement. | Client léger d’environnement | AWS::ThinClient::Environment |
AWS X-Ray | X-Ray Trace | AWS::XRay::Trace |
Les événements de données ne sont pas journalisés par défaut lorsque vous créez un magasin de données d’événement. Pour enregistrer CloudTrail les événements liés aux données, vous devez ajouter explicitement les ressources prises en charge ou les types de ressources pour lesquels vous souhaitez collecter des activités. Pour plus d’informations, consultez Création d'un parcours à l'aide de la CloudTrail console et Création d'un magasin de données d' CloudTrailévénements pour les événements à l'aide de la console.
Des frais supplémentaires s'appliquent pour la journalisation des événements de données. Pour les CloudTrail tarifs, voir AWS CloudTrail Tarification
L'exemple suivant montre un enregistrement de journal unique d'un événement de données pour l'action Amazon SNS. Publish
{ "eventVersion": "1.09", "userIdentity": { "type": "AssumedRole", "principalId": "EX_PRINCIPAL_ID", "arn": "arn:aws:iam::123456789012:user/Bob", "accountId": "123456789012", "accessKeyId": "AKIAIOSFODNN7EXAMPLE", "sessionContext": { "sessionIssuer": { "type": "Role", "principalId": "AKIAIOSFODNN7EXAMPLE", "arn": "arn:aws:iam::123456789012:role/Admin", "accountId": "123456789012", "userName": "ExampleUser" }, "attributes": { "creationDate": "2023-08-21T16:44:05Z", "mfaAuthenticated": "false" } } }, "eventTime": "2023-08-21T16:48:37Z", "eventSource": "sns.amazonaws.com", "eventName": "Publish", "awsRegion": "us-east-1", "sourceIPAddress": "192.0.2.0", "userAgent": "aws-cli/1.29.16 md/Botocore#1.31.16 ua/2.0 os/linux#5.4.250-173.369.amzn2int.x86_64 md/arch#x86_64 lang/python#3.8.17 md/pyimpl#CPython cfg/retry-mode#legacy botocore/1.31.16", "requestParameters": { "topicArn": "arn:aws:sns:us-east-1:123456789012:ExampleSNSTopic", "message": "HIDDEN_DUE_TO_SECURITY_REASONS", "subject": "HIDDEN_DUE_TO_SECURITY_REASONS", "messageStructure": "json", "messageAttributes": "HIDDEN_DUE_TO_SECURITY_REASONS" }, "responseElements": { "messageId": "0787cd1e-d92b-521c-a8b4-90434e8ef840" }, "requestID": "0a8ab208-11bf-5e01-bd2d-ef55861b545d", "eventID": "bb3496d4-5252-4660-9c28-3c6aebdb21c0", "readOnly": false, "resources": [{ "accountId": "123456789012", "type": "AWS::SNS::Topic", "ARN": "arn:aws:sns:us-east-1:123456789012:ExampleSNSTopic" }], "eventType": "AwsApiCall", "managementEvent": false, "recipientAccountId": "123456789012", "eventCategory": "Data", "tlsDetails": { "tlsVersion": "TLSv1.2", "cipherSuite": "ECDHE-RSA-AES128-GCM-SHA256", "clientProvidedHostHeader": "sns.us-east-1.amazonaws.com" } }
L'exemple suivant montre un enregistrement de journal unique d'un événement de données pour l'action Amazon CognitoGetCredentialsForIdentity
.
{ "eventVersion": "1.08", "userIdentity": { "type": "Unknown" }, "eventTime": "2023-01-19T16:55:08Z", "eventSource": "cognito-identity.amazonaws.com", "eventName": "GetCredentialsForIdentity", "awsRegion": "us-east-1", "sourceIPAddress": "192.0.2.4", "userAgent": "aws-cli/2.7.25 Python/3.9.11 Darwin/21.6.0 exe/x86_64 prompt/off command/cognito-identity.get-credentials-for-identity", "requestParameters": { "logins": { "cognito-idp.us-east-1.amazonaws.com/us-east-1_aaaaaaaaa": "HIDDEN_DUE_TO_SECURITY_REASONS" }, "identityId": "us-east-1:1cf667a2-49a6-454b-9e45-23199EXAMPLE" }, "responseElements": { "credentials": { "accessKeyId": "ASIAIOSFODNN7EXAMPLE", "sessionToken": "aAaAaAaAaAaAab1111111111EXAMPLE", "expiration": "Jan 19, 2023 5:55:08 PM" }, "identityId": "us-east-1:1cf667a2-49a6-454b-9e45-23199EXAMPLE" }, "requestID": "659dfc23-7c4e-4e7c-858a-1abce884d645", "eventID": "6ad1c766-5a41-4b28-b5ca-e223ccb00f0d", "readOnly": false, "resources": [{ "accountId": "111122223333", "type": "AWS::Cognito::IdentityPool", "ARN": "arn:aws:cognito-identity:us-east-1:111122223333:identitypool/us-east-1:2dg778b3-50b7-565c-0f56-34200EXAMPLE" }], "eventType": "AwsApiCall", "managementEvent": false, "recipientAccountId": "111122223333", "eventCategory": "Data" }
Événements liés à l'activité du réseau
Note
Les événements liés à l'activité réseau sont en version préliminaire CloudTrail et sont susceptibles d'être modifiés.
CloudTrail les événements d'activité réseau permettent aux propriétaires de points de terminaison VPC d'enregistrer les appels d' AWS API effectués à l'aide de leurs points de terminaison VPC depuis un VPC privé vers le. Service AWS Les événements d'activité réseau fournissent une visibilité sur les opérations sur les ressources effectuées au sein d'un VPC.
Vous pouvez enregistrer les événements liés à l'activité réseau pour les services suivants :
-
AWS CloudTrail
-
Amazon EC2
-
AWS KMS
-
AWS Secrets Manager
Les événements liés à l'activité réseau ne sont pas enregistrés par défaut lorsque vous créez un magasin de données de suivi ou d'événement. Pour enregistrer les événements liés à l'activité du CloudTrail réseau, vous devez définir explicitement la source d'événements pour laquelle vous souhaitez collecter l'activité. Pour de plus amples informations, veuillez consulter Enregistrement des événements liés à l'activité du réseau.
Des frais supplémentaires s'appliquent pour la journalisation des événements liés à l'activité du réseau. Pour les CloudTrail tarifs, voir AWS CloudTrail Tarification
L'exemple suivant montre un AWS KMS ListKeys
événement réussi qui a traversé un point de terminaison VPC. Le vpcEndpointId
champ indique l'ID du point de terminaison du VPC. Le vpcEndpointAccountId
champ indique l'ID de compte du propriétaire du point de terminaison VPC. Dans cet exemple, la demande a été faite par le propriétaire du point de terminaison VPC.
{ "eventVersion": "1.09", "userIdentity": { "type": "AssumedRole", "principalId": "ASIAIOSFODNN7EXAMPLE:role-name", "arn": "arn:aws:sts::123456789012:assumed-role/Admin/role-name", "accountId": "123456789012", "accessKeyId": "ASIAIOSFODNN7EXAMPLE", "sessionContext": { "sessionIssuer": { "type": "Role", "principalId": "ASIAIOSFODNN7EXAMPLE", "arn": "arn:aws:iam::123456789012:role/Admin", "accountId": "123456789012", "userName": "Admin" }, "attributes": { "creationDate": "2024-06-04T23:10:46Z", "mfaAuthenticated": "false" } } }, "eventTime": "2024-06-04T23:12:50Z", "eventSource": "kms.amazonaws.com", "eventName": "ListKeys", "awsRegion": "us-east-1", "sourceIPAddress": "192.0.2.0", "requestID": "16bcc089-ac49-43f1-9177-EXAMPLE23731", "eventID": "228ca3c8-5f95-4a8a-9732-EXAMPLE60ed9", "eventType": "AwsVpceEvent", "recipientAccountId": "123456789012", "sharedEventID": "a1f3720c-ef19-47e9-a5d5-EXAMPLE8099f", "vpcEndpointId": "vpce-EXAMPLE08c1b6b9b7", "vpcEndpointAccountId": "123456789012", "eventCategory": "NetworkActivity" }
L'exemple suivant montre un AWS KMS ListKeys
événement infructueux lié à une violation de la politique de point de terminaison du VPC. Comme une violation de la politique VPC s'est produite, les errorMessage
champs errorCode
et sont présents. L'ID de compte dans les vpcEndpointAccountId
champs recipientAccountId
et est le même, ce qui indique que l'événement a été envoyé au propriétaire du point de terminaison VPC. L'userIdentity
élément accountId
in n'est pas levpcEndpointAccountId
, ce qui indique que l'utilisateur qui fait la demande n'est pas le propriétaire du point de terminaison VPC.
{ "eventVersion": "1.09", "userIdentity": { "type": "AWSAccount", "principalId": "AKIAIOSFODNN7EXAMPLE", "accountId": "777788889999" }, "eventTime": "2024-07-15T23:57:12Z", "eventSource": "kms.amazonaws.com", "eventName": "ListKeys", "awsRegion": "us-east-1", "sourceIPAddress": "192.0.2.0", "errorCode": "VpceAccessDenied", "errorMessage": "The request was denied due to a VPC endpoint policy", "requestID": "899003b8-abc4-42bb-ad95-EXAMPLE0c374", "eventID": "7c6e3d04-0c3b-42f2-8589-EXAMPLE826c0", "eventType": "AwsVpceEvent", "recipientAccountId": "123456789012", "sharedEventID": "702f74c4-f692-4bfd-8491-EXAMPLEb1ac4", "vpcEndpointId": "vpce-EXAMPLE08c1b6b9b7", "vpcEndpointAccountId": "123456789012", "eventCategory": "NetworkActivity" }
Événements Insights
CloudTrail Les événements Insights capturent le taux d'appels d'API ou les taux d'erreur inhabituels de votre AWS compte en analysant les activités CloudTrail de gestion. Les événements Insights fournissent des informations pertinentes, telles que l’API associée, le code d’erreur, l’heure de l’incident et les statistiques, ce qui vous aide à comprendre et à agir par rapport à l’activité inhabituelle. Contrairement aux autres types d'événements enregistrés dans un CloudTrail magasin de données de suivi ou d'événements, les événements Insights sont enregistrés uniquement lorsque des modifications sont CloudTrail détectées dans l'utilisation de l'API de votre compte ou dans la journalisation du taux d'erreur qui diffèrent considérablement des modèles d'utilisation habituels du compte. Pour de plus amples informations, veuillez consulter Travailler avec CloudTrail Insights.
Voici des exemples d’activité susceptibles de générer des événements Insights :
-
Votre compte ne consigne généralement pas plus de 20 appels d'API
deleteBucket
Amazon S3 par minute, mais commence à consigner une moyenne de 100 appels d'APIdeleteBucket
par minute. Un événement Insights est enregistré au début de l’activité inhabituelle, et un autre événement Insights est enregistré pour marquer la fin de l’activité inhabituelle. -
Votre compte enregistre généralement 20 appels par minute vers l' EC2
AuthorizeSecurityGroupIngress
API Amazon, mais il commence à n'en enregistrer aucunAuthorizeSecurityGroupIngress
. Un événement Insights est enregistré au début de l'activité inhabituelle, et dix minutes plus tard, lorsque l'activité inhabituelle se termine, un autre événement Insights est journalisé pour marquer la fin de l'activité inhabituelle. -
En règle générale, votre compte se connecte à moins d'une erreur
AccessDeniedException
sur une période de sept jours sur AWS Identity and Access Management l’API,DeleteInstanceProfile
. Votre compte commence à journaliser en moyenne 12 erreursAccessDeniedException
par minute surDeleteInstanceProfile
l’appel API. Un événement Insights est journalisé au début de l'activité de taux d’erreur inhabituelle, et un autre événement Insights est journalisé pour marquer la fin de l'activité inhabituelle.
Ces exemples sont fournis à titre d’illustration seulement. Vos résultats peuvent varier en fonction de votre cas d’utilisation.
Pour enregistrer les événements CloudTrail Insights, vous devez activer explicitement les événements Insights sur un magasin de données de parcours ou d'événements nouveau ou existant. Pour plus d’informations sur la création d’un journal de suivi, consultez Création d'un parcours à l'aide de la CloudTrail console. Pour plus d'informations concernant la création d'un entrepôt de données d'événement, veuillez consulter Créez un magasin de données d'événements pour les événements Insights avec la console.
Des frais supplémentaires s'appliquent pour les événements Insights. Vous serez facturé séparément si vous activez Insights à la fois pour les journaux de suivi et les entrepôts de données d'événement. Pour plus d'informations, consultez AWS CloudTrail Pricing
Deux événements sont enregistrés pour signaler une activité inhabituelle dans CloudTrail Insights : un événement de début et un événement de fin. L’exemple suivant présente un enregistrement de journal d’un événement Insights qui s’est produit lorsque l’API CompleteLifecycleAction
de la scalabilité automatique des applications a été appelée un nombre inhabituel de fois. Pour les événements Insights, la valeur de eventCategory
est Insight
. Un bloc insightDetails
identifie l’état, la source, le nom, le type Insights et le contexte de l’événement, ainsi que des statistiques et attributions. Pour plus d’informations sur le bloc insightDetails
, consultez CloudTrail insightDetailsÉlément Insights.
{ "eventVersion": "1.08", "eventTime": "2023-07-10T01:42:00Z", "awsRegion": "us-east-1", "eventID": "55ed45c5-0b0c-4228-9fe5-EXAMPLEc3f4d", "eventType": "AwsCloudTrailInsight", "recipientAccountId": "123456789012", "sharedEventID": "979c82fe-14d4-4e4c-aa01-EXAMPLE3acee", "insightDetails": { "state": "Start", "eventSource": "autoscaling.amazonaws.com", "eventName": "CompleteLifecycleAction", "insightType": "ApiCallRateInsight", "insightContext": { "statistics": { "baseline": { "average": 9.82222E-5 }, "insight": { "average": 5.0 }, "insightDuration": 1, "baselineDuration": 10181 }, "attributions": [{ "attribute": "userIdentityArn", "insight": [{ "value": "arn:aws:sts::123456789012:assumed-role/CodeDeployRole1", "average": 5.0 }, { "value": "arn:aws:sts::123456789012:assumed-role/CodeDeployRole2", "average": 5.0 }, { "value": "arn:aws:sts::123456789012:assumed-role/CodeDeployRole3", "average": 5.0 }], "baseline": [{ "value": "arn:aws:sts::123456789012:assumed-role/CodeDeployRole1", "average": 9.82222E-5 }] }, { "attribute": "userAgent", "insight": [{ "value": "codedeploy.amazonaws.com", "average": 5.0 }], "baseline": [{ "value": "codedeploy.amazonaws.com", "average": 9.82222E-5 }] }, { "attribute": "errorCode", "insight": [{ "value": "null", "average": 5.0 }], "baseline": [{ "value": "null", "average": 9.82222E-5 }] }] } }, "eventCategory": "Insight" }