Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

CloudTrail Tableaux de bord du lac

Vous pouvez utiliser les tableaux de bord CloudTrail Lake pour voir les tendances des événements dans les magasins de données d'événements de votre compte. CloudTrail Lake propose les types de tableaux de bord suivants :

Chaque tableau de bord comprend un ou plusieurs widgets et chaque widget fournit une représentation graphique des résultats d'une SQL requête. Pour afficher la requête d'un widget, choisissez Afficher et modifier la requête pour ouvrir l'éditeur de requêtes.

Lorsqu'un tableau de bord est actualisé, CloudTrail Lake exécute des requêtes pour remplir les widgets du tableau de bord. Étant donné que l'exécution de requêtes entraîne des coûts, vous CloudTrail demande de confirmer les coûts associés à l'exécution de requêtes. Pour plus d'informations sur la CloudTrail tarification, consultez la section CloudTrail Tarification.

Prérequis

Les prérequis suivants s'appliquent aux tableaux de bord CloudTrail Lake :

Limites

Les limites suivantes s'appliquent aux tableaux de bord CloudTrail Lake :

Prise en charge de la région

Les tableaux de bord CloudTrail Lake sont pris en charge partout Régions AWS où CloudTrail Lake est pris en charge.

Le widget Récapitulatif des activités du tableau de bord Highlights est pris en charge dans les régions suivantes :

Tous les autres widgets sont pris en charge partout Régions AWS où CloudTrail Lake est pris en charge.

Pour plus d'informations sur les régions prises en charge par CloudTrail Lake, consultezCloudTrail Régions soutenues par les lacs.

Autorisations nécessaires

Cette section décrit les autorisations requises pour les tableaux de bord CloudTrail Lake et décrit deux types de IAM politiques :

Exigences en matière de politiques basées sur l'identité

Les politiques basées sur l'identité sont JSON des documents de politique d'autorisation que vous pouvez joindre à une identité, telle qu'un IAM utilisateur, un groupe d'utilisateurs ou un rôle. Ces politiques contrôlent quel type d’actions des utilisateurs et des rôles peuvent exécuter, sur quelles ressources et dans quelles conditions. Pour savoir comment créer une politique basée sur l'identité, voir Définir des IAM autorisations personnalisées avec des politiques gérées par le client dans le Guide de l'IAMutilisateur.

Pour afficher et gérer les tableaux de bord de CloudTrail Lake, vous avez besoin de l'une des politiques suivantes :

Autorisations requises pour créer des tableaux de bord

L'exemple de politique suivant fournit les autorisations minimales requises pour créer des tableaux de bord. Remplacez partitionregion,account-id, et eds-id par les valeurs de votre configuration.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "Statement1",
            "Effect": "Allow",
            "Action": [
                "cloudtrail:CreateDashboard",
                "cloudtrail:StartDashboardRefresh",
                "cloudtrail:StartQuery"
            ],
            "Resource": [
                "arn:partition:cloudtrail:region:account-id:dashboard/*",
                "arn:partition:cloudtrail:region:account-id:eventdatastore/eds-id"
            ]
        }
    ]
}

Autorisations requises pour mettre à jour les tableaux de bord

L'exemple de politique suivant fournit les autorisations minimales requises pour la mise à jour des tableaux de bord. Remplacez partitionregion,account-id, et eds-id par les valeurs de votre configuration.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "Statement1",
            "Effect": "Allow",
            "Action": [
                "cloudtrail:UpdateDashboard",
                "cloudtrail:StartDashboardRefresh",
                "cloudtrail:StartQuery"
            ],
            "Resource": [
                "arn:partition:cloudtrail:region:account-id:dashboard/*",
                "arn:partition:cloudtrail:region:account-id:eventdatastore/eds-id"
            ]
        }
    ]
}

Autorisations requises pour actualiser les tableaux de bord

L'exemple de politique suivant fournit les autorisations minimales requises pour actualiser les tableaux de bord. Remplacez partitionregion,account-id,dashboard-name, et eds-id par les valeurs de votre configuration.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "Statement1",
            "Effect": "Allow",
            "Action": [
                "cloudtrail:StartDashboardRefresh",
                "cloudtrail:StartQuery"
            ],
            "Resource": [
                "arn:partition:cloudtrail:region:account-id:dashboard/dashboard-name",
                "arn:partition:cloudtrail:region:account-id:eventdatastore/eds-id"
            ]
        }
    ]
}

Politiques basées sur les ressources pour les tableaux de bord et les magasins de données d'événements

Les politiques basées sur les ressources sont des documents JSON de stratégie que vous attachez à une ressource. Les politiques de confiance dans les IAM rôles et les politiques relatives aux compartiments Amazon S3 sont des exemples de politiques basées sur les ressources. Pour la ressource dans laquelle se trouve la politique, cette dernière définit quel type d’actions un principal spécifié peut effectuer sur cette ressource et dans quelles conditions. Vous devez spécifier un principal dans une politique basée sur les ressources.

Pour exécuter des requêtes sur un tableau de bord lors d'une actualisation manuelle ou planifiée, vous devez associer une politique basée sur les ressources à chaque magasin de données d'événements associé à un widget du tableau de bord. Cela permet à CloudTrail Lake d'exécuter les requêtes en votre nom. Lorsque vous créez un tableau de bord personnalisé ou que vous activez le CloudTrail tableau de bord Highlights à l'aide de la CloudTrail console, vous pouvez choisir les magasins de données d'événements auxquels vous souhaitez appliquer des autorisations. Pour plus d'informations sur la politique basée sur les ressources, consultez. Exemple : CloudTrail Autoriser l'exécution de requêtes pour actualiser un tableau de bord

Pour définir un calendrier d'actualisation pour un tableau de bord, vous devez associer une politique basée sur les ressources au tableau de bord afin de permettre à CloudTrail Lake d'actualiser le tableau de bord en votre nom. Lorsque vous définissez un calendrier d'actualisation pour un tableau de bord personnalisé ou que vous activez le CloudTrail tableau de bord Highlights à l'aide de la CloudTrail console, vous avez la possibilité d'associer une politique basée sur les ressources à votre tableau de bord. Pour un exemple de politique, consultez Exemple de politique basée sur les ressources pour un tableau de bord.

Vous pouvez associer une politique basée sur les ressources à l'aide de la CloudTrail console AWS CLI, du ou de l'PutResourcePolicyAPIopération.

KMSautorisations clés pour déchiffrer les données dans un magasin de données d'événements

Si un magasin de données d'événements interrogé est chiffré à l'aide d'une KMS clé, assurez-vous que la politique en matière de KMS clés permet CloudTrail de déchiffrer les données du magasin de données d'événements. L'exemple de déclaration de politique suivant permet au principal du CloudTrail service de déchiffrer le magasin de données d'événements.

{
      "Sid": "AllowCloudTrailDecryptAccess",
      "Effect": "Allow",
      "Principal": {
          "Service": "cloudtrail.amazonaws.com"
        },
      "Action": "kms:Decrypt",
      "Resource": "*"
}