Filtrer les événements liés aux données à l'aide de sélecteurs d'événements avancés

Cette section décrit comment utiliser les sélecteurs d'événements avancés pour créer des sélecteurs précis, qui vous aident à contrôler les coûts en enregistrant uniquement les événements de données spécifiques qui vous intéressent.

Par exemple :

Le tableau suivant fournit des informations supplémentaires sur les champs configurables pour les sélecteurs d'événements avancés.

Pour enregistrer les événements de données à l'aide de la CloudTrail console, vous choisissez l'option Événements de données, puis sélectionnez le type d'événement de données qui vous intéresse lorsque vous créez ou mettez à jour un journal ou un magasin de données d'événements. Le tableau des événements de données indique les types d'événements de données possibles que vous pouvez choisir sur la CloudTrail console.

Pour enregistrer les événements liés aux données à l'aide du AWS CLI, configurez le --advanced-event-selector paramètre pour définir la valeur eventCategory égale Data et la resources.type valeur égale à la valeur du type de ressource pour lequel vous souhaitez enregistrer les événements de données. Le tableau des événements de données répertorie les types de ressources disponibles.

Par exemple, si vous souhaitez enregistrer les événements de données pour tous les pools Cognito Identity, vous devez configurer le --advanced-event-selectors paramètre comme suit :

--advanced-event-selectors '[
    {
       "Name": "Log Cognito data events on Identity pools",
       "FieldSelectors": [
         { "Field": "eventCategory", "Equals": ["Data"] },
         { "Field": "resources.type", "Equals": ["AWS::Cognito::IdentityPool"] }
       ]
     }
]'

L'exemple précédent enregistre tous les événements de données Cognito sur les groupes d'identités. Vous pouvez affiner davantage les sélecteurs d'événements avancés pour filtrer les eventNamereadOnly, et les resources.ARN champs pour enregistrer des événements spécifiques présentant un intérêt ou exclure des événements qui ne présentent aucun intérêt.

Vous pouvez configurer des sélecteurs d'événements avancés pour filtrer les événements de données en fonction de plusieurs champs. Par exemple, vous pouvez configurer des sélecteurs d'événements avancés pour consigner tous les DeleteObject API appels PutObject et Amazon S3, mais exclure la journalisation des événements pour un compartiment S3 spécifique, comme illustré dans l'exemple suivant. Remplacez amzn-s3-demo-bucket avec le nom de votre compartiment.

--advanced-event-selectors
'[
  {
    "Name": "Log PutObject and DeleteObject events for all but one bucket",
    "FieldSelectors": [
      { "Field": "eventCategory", "Equals": ["Data"] },
      { "Field": "resources.type", "Equals": ["AWS::S3::Object"] },
      { "Field": "eventName", "Equals": ["PutObject","DeleteObject"] },
      { "Field": "resources.ARN", "NotStartsWith": ["arn:aws:s3:::amzn-s3-demo-bucket/"] }
    ]
  }
]'

Vous pouvez également inclure plusieurs conditions pour un champ. Pour plus d'informations sur la manière dont plusieurs conditions sont évaluées, voirComment CloudTrail évaluer plusieurs conditions pour un champ.

Vous pouvez utiliser des sélecteurs d'événements avancés pour enregistrer à la fois les événements de gestion et de données. Pour enregistrer des événements de données pour plusieurs types de ressources, ajoutez une instruction de sélection de champs pour chaque type de ressource pour lequel vous souhaitez enregistrer des événements de données.

Comment CloudTrail évaluer plusieurs conditions pour un champ

Pour les sélecteurs d'événements avancés, CloudTrail évalue plusieurs conditions pour un champ comme suit :

Exemple illustrant plusieurs conditions pour le resources.ARN champ

L'exemple d'instruction de sélection d'événements suivant collecte des événements de données pour le type de AWS::S3::Object ressource et applique plusieurs conditions sur le resources.ARN terrain.

{
    "Name": "S3Select",
    "FieldSelectors": [
      {
        "Field": "eventCategory",
        "Equals": [
          "Data"
        ]
      },
      {
        "Field": "resources.type",
        "Equals": [
          "AWS::S3::Object"
        ]
      },
      {
        "Field": "resources.ARN",
        "Equals": [
          "arn:aws:s3:::amzn-s3-demo-bucket/object1"
        ],
        "StartsWith": [
          "arn:aws:s3:::amzn-s3-demo-bucket/"
        ],
        "EndsWith": [
          "object3"
        ],
        "NotStartsWith": [
          "arn:aws:s3:::amzn-s3-demo-bucket/deselect"
        ],
        "NotEndsWith": [
          "object5"
        ],
        "NotEquals": [
          "arn:aws:s3:::amzn-s3-demo-bucket/object6"
        ]
      }
    ]
  }

Dans l'exemple précédent, les événements de données Amazon S3 relatifs à la AWS::S3::Object ressource seront fournis si :

Sur la base de la logique d'évaluation :

Filtrer les événements de données par eventName

À l'aide de sélecteurs d'événements avancés, vous pouvez inclure ou exclure des événements en fonction de la valeur du eventName champ. Le filtrage sur le eventName peut aider à contrôler les coûts, car vous évitez d'encourir des coûts lorsque Service AWS vous enregistrez des événements de données pour ajouter de la prise en charge des nouvelles donnéesAPIs.

Vous pouvez utiliser n'importe quel opérateur avec le eventName champ. Vous pouvez l'utiliser pour filtrer ou filtrer tout événement de données enregistré CloudTrail, tel que ou. PutBucket GetSnapshotBlock

Filtrer les événements liés aux données à eventName l'aide du AWS Management Console

Procédez comme suit pour filtrer sur le eventName terrain à l'aide de la CloudTrail console.

Filtrer les événements liés aux données à eventName l'aide du AWS CLI

Utilisation de AWS CLI, vous pouvez filtrer le eventName champ pour inclure ou exclure des événements spécifiques.

Si vous mettez à jour un magasin de données de suivi ou d'événement existant pour enregistrer des sélecteurs d'événements supplémentaires, obtenez les sélecteurs d'événements actuels en exécutant la get-event-selectorscommande pour un suivi ou la get-event-data-storecommande pour un magasin de données d'événements. Mettez ensuite à jour vos sélecteurs d'événements pour ajouter un sélecteur de champ pour chaque type de ressource de données que vous souhaitez enregistrer.

L'exemple suivant enregistre les événements liés aux données S3 sur un parcours. Ils --advanced-event-selectors sont configurés pour enregistrer uniquement les événements de données pour les DeleteObject API appels GetObjectPutObject, et.

aws cloudtrail put-event-selectors \
--trail-name trailName \
--advanced-event-selectors '[
  {
    "Name": "Log GetObject, PutObject and DeleteObject S3 data events",
    "FieldSelectors": [
      { "Field": "eventCategory", "Equals": ["Data"] },
      { "Field": "resources.type", "Equals": ["AWS::S3::Object"] },
      { "Field": "eventName", "Equals": ["GetObject","PutObject","DeleteObject"] }
    ]
  }
]'   

L'exemple suivant crée un nouveau magasin de données d'événements qui enregistre les événements de données pour EBS Direct APIs mais exclut les ListChangedBlocks API appels. Vous pouvez utiliser le update-event-data-storecommande pour mettre à jour un magasin de données d'événements existant.

aws cloudtrail create-event-data-store \
--name "eventDataStoreName"
--advanced-event-selectors '[
    {
        "Name": "Log all EBS Direct API data events except ListChangedBlocks",
        "FieldSelectors": [
            { "Field": "eventCategory", "Equals": ["Data"] },
            { "Field": "resources.type", "Equals": ["AWS::EC2::Snapshot"] },
            { "Field": "eventName", "NotEquals": ["ListChangedBlocks"] }
         ]
    }
]'        

Filtrer les événements de données par resources.ARN

À l'aide de sélecteurs d'événements avancés, vous pouvez filtrer en fonction de la valeur du resources.ARN champ.

Vous pouvez utiliser n'importe quel opérateurresources.ARN, mais si vous utilisez Equals ouNotEquals, la valeur doit correspondre exactement à celle ARN d'une ressource valide pour la resources.type valeur que vous avez spécifiée. Pour enregistrer tous les événements de données pour tous les objets d'un compartiment S3 spécifique, utilisez l'StartsWithopérateur et incluez uniquement le compartiment ARN comme valeur correspondante.

Le tableau suivant indique le ARN format valide pour chacun d'entre euxresources.type.

arn:partition:dynamodb:region:account_ID:table/table_name

arn:partition:lambda:region:account_ID:function:function_name

arn:partition:s3:::amzn-s3-demo-bucket/
arn:partition:s3:::amzn-s3-demo-bucket/object_or_file_name/

arn:partition:appconfig:region:account_ID:application/application_ID/environment/environment_ID/configuration/configuration_profile_ID

arn:partition:b2bi:region:account_ID:transformer/transformer_ID

arn:partition:bedrock:region:account_ID:agent-alias/agent_ID/alias_ID

arn:partition:bedrock:region:account_ID:flow/flow_ID/alias/alias_ID

arn:partition:bedrock:region:account_ID:guardrail/guardrail_ID

arn:partition:bedrock:region:account_ID:knowledge-base/knowledge_base_ID

arn:partition:cassandra:region:account_ID:keyspace/keyspace_name/table/table_name

arn:partition:cloudfront:region:account_ID:key-value-store/KVS_name

arn:partition:cloudtrail:region:account_ID:channel/channel_UUID

arn:partition:codewhisperer:region:account_ID:customization/customization_ID

arn:partition:codewhisperer:region:account_ID:profile/profile_ID

arn:partition:cognito-identity:region:account_ID:identitypool/identity_pool_ID

arn:partition:dynamodb:region:account_ID:table/table_name/stream/date_time

arn:partition:ec2:region::snapshot/snapshot_ID

arn:partition:emrwal:region:account_ID:workspace/workspace_name

arn:partition:finspace:region:account_ID:environment/environment_ID

arn:partition:glue:region:account_ID:table/database_name/table_name

arn:partition:greengrass:region:account_ID:components/component_name

arn:partition:greengrass:region:account_ID:deployments/deployment_ID

arn:partition:guardduty:region:account_ID:detector/detector_ID

arn:partition:iot:region:account_ID:cert/certificate_ID

arn:partition:iot:region:account_ID:thing/thing_ID

arn:partition:iotsitewise:region:account_ID:asset/asset_ID

arn:partition:iotsitewise:region:account_ID:timeseries/timeseries_ID

arn:partition:iottwinmaker:region:account_ID:workspace/workspace_ID/entity/entity_ID

arn:partition:iottwinmaker:region:account_ID:workspace/workspace_ID

arn:partition:kendra-ranking:region:account_ID:rescore-execution-plan/rescore_execution_plan_ID

arn:partition:kinesis:region:account_ID:stream/stream_name

arn:partition:kinesis:region:account_ID:stream_type/stream_name/consumer/consumer_name:consumer_creation_timestamp

arn:partition:kinesisvideo:region:account_ID:stream/stream_name/creation_time

arn:partition:machinelearning:region:account_ID:mlmodel/model_ID

arn:partition:managedblockchain:::networks/network_name

arn:partition:managedblockchain:region:account_ID:nodes/node_ID

arn:partition:medical-imaging:region:account_ID:datastore/data_store_ID

arn:partition:neptune-graph:region:account_ID:graph/graph_ID

arn:partition:one:region:account_ID:user/user_ID/u-key/u-key_ID

arn:partition:one:region:account_ID:user/user_ID

arn:partition:payment-cryptography:region:account_ID:alias/alias

arn:partition:payment-cryptography:region:account_ID:key/key_ID

arn:partition:pca-connector-ad:region:account_ID:connector/connector_ID

arn:partition:pca-connector-scep:region:account_ID:connector/connector_ID

arn:partition:qapps:region:account_ID:application/application_UUID/qapp/qapp_UUID

arn:partition:qbusiness:region:account_ID:application/application_ID

arn:partition:qbusiness:region:account_ID:application/application_ID/index/index_ID/data-source/datasource_ID

arn:partition:qbusiness:region:account_ID:application/application_ID/index/index_ID

arn:partition:qbusiness:region:account_ID:application/application_ID/web-experience/web_experienc_ID

arn:partition:rds:region:account_ID:cluster/cluster_name

arn:partition:rum:region:account_ID:appmonitor/app_monitor_name

arn:partition:s3:region:account_ID:accesspoint/access_point_name

arn:partition:s3express:region:account_ID:bucket/bucket_name

arn:partition:s3-object-lambda:region:account_ID:accesspoint/access_point_name

arn:partition:s3-outposts:region:account_ID:object_path

arn:partition:sagemaker:region:account_ID:endpoint/endpoint_name

arn:partition:sagemaker:region:account_ID:experiment-trial-component/experiment_trial_component_name

arn:partition:sagemaker:region:account_ID:feature-group/feature_group_name

arn:partition:scn:region:account_ID:instance/instance_ID

arn:partition:servicediscovery:region:account_ID:namespace/namespace_ID

arn:partition:servicediscovery:region:account_ID:service/service_ID

arn:partition:sns:region:account_ID:endpoint/endpoint_type/endpoint_name/endpoint_ID

arn:partition:sns:region:account_ID:topic_name

arn:partition:sqs:region:account_ID:queue_name

arn:partition:ssmmessages:region:account_ID:control-channel/control_channel_ID

arn:partition:swf:region:account_ID:/domain/domain_name

arn:partition:thinclient:region:account_ID:device/device_ID

arn:partition:thinclient:region:account_ID:environment/environment_ID

arn:partition:timestream:region:account_ID:database/database_name

arn:partition:timestream:region:account_ID:database/database_name/table/table_name

arn:partition:verifiedpermissions:region:account_ID:policy-store/policy_store_ID

¹ Pour les tables ayant les flux activés, le champ resources dans l’événement de plan de données contient à la fois AWS::DynamoDB::Stream et AWS::DynamoDB::Table. Si vous spécifiez AWS::DynamoDB::Table comme resources.type, les événements de table DynamoDB et les événements de flux DynamoDB sont journalisés par défaut. Pour exclure les événements de flux, ajoutez un filtre sur le eventName champ.

² Pour enregistrer tous les événements de données pour tous les objets d'un compartiment S3 spécifique, utilisez l'StartsWithopérateur et incluez uniquement le compartiment ARN comme valeur correspondante. La barre oblique de fin est intentionnelle ; ne l’excluez pas.

³ Pour consigner les événements relatifs à tous les objets d'un point d'accès S3, nous vous recommandons de n'utiliser que le point d'accèsARN, de ne pas inclure le chemin de l'objet et d'utiliser les NotStartsWith opérateurs StartsWith or.

Filtrer les événements liés aux données à resources.ARN l'aide du AWS Management Console

Procédez comme suit pour filtrer sur le resources.ARN terrain à l'aide de la CloudTrail console.

Filtrer les événements liés aux données à resources.ARN l'aide du AWS CLI

Utilisation de AWS CLI, vous pouvez filtrer le resources.ARN champ pour enregistrer les événements relatifs à un événement spécifique ARN ou exclure la journalisation pour un événement spécifiqueARN.

Si vous mettez à jour un magasin de données de suivi ou d'événement existant pour enregistrer des sélecteurs d'événements supplémentaires, obtenez les sélecteurs d'événements actuels en exécutant la get-event-selectorscommande pour un suivi ou la get-event-data-storecommande pour un magasin de données d'événements. Mettez ensuite à jour vos sélecteurs d'événements pour ajouter un sélecteur de champ pour chaque type de ressource de données que vous souhaitez enregistrer.

L’exemple suivant indique comment configurer votre journal de suivi pour inclure tous les événements de données pour tous les objets Amazon S3 dans un compartiment S3 spécifique. La valeur des événements S3 pour le champ resources.type est AWS::S3::Object. Les ARN valeurs des objets S3 et des compartiments S3 étant légèrement différentes, vous devez ajouter l'StartsWithopérateur for resources.ARN pour capturer tous les événements.

aws cloudtrail put-event-selectors \ 
--trail-name TrailName \ 
--region region \
--advanced-event-selectors \
'[
    {
        "Name": "S3EventSelector",
        "FieldSelectors": [
            { "Field": "eventCategory", "Equals": ["Data"] },
                { "Field": "resources.type", "Equals": ["AWS::S3::Object"] },
                { "Field": "resources.ARN", "StartsWith": ["arn:aws:s3:::amzn-s3-demo-bucket/"] }
            ]
    }
]'

Filtrer les événements de données par readOnly valeur

À l'aide de sélecteurs d'événements avancés, vous pouvez filtrer en fonction de la valeur du readOnly champ.

Vous ne pouvez utiliser l'Equalsopérateur qu'avec le readOnly champ. Vous pouvez définir la readOnly valeur sur true oufalse. Si vous n'ajoutez pas ce champ, CloudTrail enregistre les événements de lecture et d'écriture. Une valeur des true journaux ne lit que les événements. Une valeur de false logs n'écrit que des événements.

Filtrer les événements de données par readOnly valeur à l'aide du AWS Management Console

Procédez comme suit pour filtrer sur le readOnly terrain à l'aide de la CloudTrail console.

Filtrer les événements de données par readOnly valeur à l'aide du AWS CLI

Utilisation de AWS CLI, vous pouvez filtrer sur le readOnly terrain.

Vous ne pouvez utiliser l'Equalsopérateur qu'avec le readOnly champ. Vous pouvez définir la readOnly valeur sur true oufalse. Si vous n'ajoutez pas ce champ, CloudTrail enregistre les événements de lecture et d'écriture. Une valeur des true journaux ne lit que les événements. Une valeur de false logs n'écrit que des événements.

Si vous mettez à jour un magasin de données de suivi ou d'événement existant pour enregistrer des sélecteurs d'événements supplémentaires, obtenez les sélecteurs d'événements actuels en exécutant la get-event-selectorscommande pour un suivi ou la get-event-data-storecommande pour un magasin de données d'événements. Mettez ensuite à jour vos sélecteurs d'événements pour ajouter un sélecteur de champ pour chaque type de ressource de données que vous souhaitez enregistrer.

L'exemple suivant montre comment configurer votre journal pour consigner les événements de données en lecture seule pour tous les objets Amazon S3.

aws cloudtrail put-event-selectors \
--trail-name TrailName \
--region region \
--advanced-event-selectors '[
    {
            "Name": "Log read-only S3 data events",
            "FieldSelectors": [
                { "Field": "eventCategory", "Equals": ["Data"] },
                { "Field": "resources.type", "Equals": ["AWS::S3::Object"] },
                { "Field": "readOnly", "Equals": ["true"] }
            ]
    }
]'       

L'exemple suivant crée un nouveau magasin de données d'événements qui enregistre uniquement les événements de données en écriture uniquement pour EBS Direct. APIs Vous pouvez utiliser le update-event-data-storecommande pour mettre à jour un magasin de données d'événements existant.

aws cloudtrail create-event-data-store \
--name "eventDataStoreName" \
--advanced-event-selectors \
'[
    {
            "Name": "Log write-only EBS Direct API data events",
            "FieldSelectors": [
                { "Field": "eventCategory", "Equals": ["Data"] },
                { "Field": "resources.type", "Equals": ["AWS::EC2::Snapshot"] },
                { "Field": "readOnly", "Equals": ["false"] }
            ]
     }
]'