Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Journalisation des événements de gestion

Par défaut, les journaux de suivi et les entrepôts de données d'événement journalisent les événements de gestion et n'incluent pas les événements de données ou les événements Insights.

Des frais supplémentaires s'appliquent pour les événements de données ou Insights. Pour plus d'informations, consultez AWS CloudTrail Pricing (Tarification CTlong).

Événements de gestion

Les événements de gestion fournissent une visibilité sur les opérations de gestion effectuées sur les ressources de votre AWS compte. Ils sont également connus sous le nom opérations de plan de contrôle. Les événements de gestion sont notamment les suivants:

Les événements de gestion peuvent aussi inclure les événements non API qui se produisent dans votre compte. Par exemple, lorsqu'un utilisateur se connecte à votre compte, CloudTrail enregistre l'ConsoleLoginévénement. Pour plus d’informations, consultez Événements non liés à l'API capturés par CloudTrail.

Par défaut, les journaux de suivi et les entrepôts de données d'événement sont configurés pour journaliser les événements de gestion.

Evénements de lecture et d'écriture

Quand vous configurez votre journal de suivi ou votre entrepôt de données d'événement pour journaliser les événements de gestion, vous pouvez spécifier si voulez les événements en lecture seule, les événements en écriture seule ou les deux.

Enregistrement des événements de gestion à l'aide du AWS Management Console

Journalisation des événements de gestion avec la AWS CLI

Vous pouvez configurer vos journaux de suivi ou vos entrepôts de données d'événement de manière à ce qu'ils journalisent les événements de gestion et de données à l'aide de AWS CLI.

Exemples : journalisation des événements de gestion pour les journaux de suivi

Pour voir si votre journal de suivi journalise les événements de gestion, exécutez la get-event-selectors commande.

aws cloudtrail get-event-selectors --trail-name TrailName

L'exemple suivant renvoie les paramètres par défaut pour un journal de suivi. Par défaut, les journaux de suivi journalisent tous les événements de gestion, les événements du journal provenant de toutes les sources d'événement, mais ne consignent pas les événements de données.

{
    "TrailARN": "arn:aws:cloudtrail:us-east-1:111122223333:trail/TrailName",
    "AdvancedEventSelectors": [
        {
            "Name": "Management events selector",
            "FieldSelectors": [
                {
                    "Field": "eventCategory",
                    "Equals": [
                        "Management"
                    ]
                }
            ]
        }
    ]
}

Vous pouvez utiliser des sélecteurs d'événements de base ou avancés pour consigner les événements de gestion. Vous ne pouvez pas appliquer à la fois les sélecteurs d'événements et les sélecteurs d'événements avancés à une piste. Si vous appliquez des sélecteurs d’événements avancés à un journal de suivi, tous les sélecteurs d’événements de base existants sont remplacés. Les sections suivantes fournissent des exemples de journalisation des événements de gestion à l'aide de sélecteurs d'événements avancés et de sélecteurs d'événements de base.

Exemples : enregistrement des événements de gestion pour les sentiers à l'aide de sélecteurs d'événements avancés

L'exemple suivant crée un sélecteur d'événements avancé pour un journal nommé TrailNamepour inclure les événements de gestion en lecture seule et en écriture seule (en omettant le readOnly sélecteur), mais pour exclure () les événements. AWS Key Management Service AWS KMSÉtant donné que les AWS KMS événements sont traités comme des événements de gestion et qu'ils peuvent être nombreux, ils peuvent avoir un impact important sur votre CloudTrail facture si vous disposez de plusieurs pistes qui enregistrent les événements de gestion.

Si vous choisissez de ne pas consigner les événements de gestion, AWS KMS ceux-ci ne sont pas enregistrés et vous ne pouvez pas modifier les paramètres de journalisation des AWS KMS événements.

Pour recommencer à enregistrer AWS KMS des événements dans un journal, supprimez le eventSource sélecteur et réexécutez la commande.

aws cloudtrail put-event-selectors --trail-name TrailName \
--advanced-event-selectors '
[
  {
    "Name": "Log all management events except KMS events",
    "FieldSelectors": [
      { "Field": "eventCategory", "Equals": ["Management"] },
      { "Field": "eventSource", "NotEquals": ["kms.amazonaws.com"] }
    ]
  }
]'

L’exemple renvoie le sélecteur d’événements avancés configuré pour le journal de suivi.

{
  "AdvancedEventSelectors": [
    {
      "Name": "Log all management events except KMS events",
      "FieldSelectors": [
        {
          "Field": "eventCategory", 
          "Equals": [ "Management" ]
        },
        {
          "Field": "eventSource", 
          "NotEquals": [ "kms.amazonaws.com" ]
        }
      ]
    }
  ],
  "TrailARN": "arn:aws:cloudtrail:us-east-2:123456789012:trail/TrailName"
}

Pour redémarrer la journalisation des événements exclus dans un journal de suivi, supprimez le sélecteur eventSource, comme indiqué dans la commande suivante.

aws cloudtrail put-event-selectors --trail-name TrailName \
--advanced-event-selectors '
[
  {
    "Name": "Log all management events",
    "FieldSelectors": [
      { "Field": "eventCategory", "Equals": ["Management"] }
    ]
  }
]'

L'exemple suivant crée un sélecteur d'événements avancé pour un journal nommé de manière TrailNameà inclure les événements de gestion en lecture seule et en écriture seule (en omettant le readOnly sélecteur), mais pour exclure les événements de gestion de l'API Amazon RDS Data. Pour exclure les événements de gestion de l'API Amazon RDS Data, spécifiez la source de l'événement Amazon RDS Data API dans la valeur de chaîne du eventSource champ :. rdsdata.amazonaws.com

Si vous choisissez de ne pas enregistrer les événements de gestion, les événements de gestion de l'API Amazon RDS Data ne sont pas enregistrés et vous ne pouvez pas modifier les paramètres de journalisation des événements de l'API Amazon RDS Data.

Pour recommencer à consigner les événements de gestion de l'API Amazon RDS Data dans un journal, supprimez le eventSource sélecteur et réexécutez la commande.

aws cloudtrail put-event-selectors --trail-name TrailName \
--advanced-event-selectors '
[
  {
    "Name": "Log all management events except Amazon RDS Data API management events",
    "FieldSelectors": [
      { "Field": "eventCategory", "Equals": ["Management"] },
      { "Field": "eventSource", "NotEquals": ["rdsdata.amazonaws.com"] }
    ]
  }
]'

L’exemple renvoie le sélecteur d’événements avancés configuré pour le journal de suivi.

{
  "AdvancedEventSelectors": [
    {
      "Name": "Log all management events except Amazon RDS Data API management events",
      "FieldSelectors": [
        {
          "Field": "eventCategory", 
          "Equals": [ "Management" ]
        },
        {
          "Field": "eventSource", 
          "NotEquals": [ "rdsdata.amazonaws.com" ]
        }
      ]
    }
  ],
  "TrailARN": "arn:aws:cloudtrail:us-east-2:123456789012:trail/TrailName"
}

Pour redémarrer la journalisation des événements exclus dans un journal de suivi, supprimez le sélecteur eventSource, comme indiqué dans la commande suivante.

aws cloudtrail put-event-selectors --trail-name TrailName \
--advanced-event-selectors '
[
  {
    "Name": "Log all management events",
    "FieldSelectors": [
      { "Field": "eventCategory", "Equals": ["Management"] }
    ]
  }
]'

Exemples : enregistrement des événements de gestion pour les sentiers à l'aide de sélecteurs d'événements de base

Pour configurer votre journal de suivi de sorte qu'il journalise les événements de gestion, exécutez la put-event-selectors commande. L'exemple suivant montre comment configurer votre journal de suivi pour inclure tous les événements de gestion pour deux objets S3. Vous pouvez spécifier de 1 à 5 sélecteurs d'événements pour un journal d'activité. Vous pouvez spécifier de 1 à 250 ressources de données pour un journal d'activité.

aws cloudtrail put-event-selectors --trail-name TrailName --event-selectors '[{ "ReadWriteType": "All", "IncludeManagementEvents":true, "DataResources": [{ "Type": "AWS::S3::Object", "Values": ["arn:aws:s3:::DOC-EXAMPLE-BUCKET/prefix", "arn:aws:s3:::DOC-EXAMPLE-BUCKET2/prefix2"] }] }]'

L'exemple suivant renvoie le sélecteur d'événements configuré pour le journal de suivi.

{
    "TrailARN": "arn:aws:cloudtrail:us-east-1:111122223333:trail/TrailName",
    "EventSelectors": [
        {
            "ReadWriteType": "All",
            "IncludeManagementEvents": true,
            "DataResources": [
                {
                    "Type": "AWS::S3::Object",
                    "Values": [
                        "arn:aws:s3:::DOC-EXAMPLE-BUCKET/prefix",
                        "arn:aws:s3:::DOC-EXAMPLE-BUCKET2/prefix2",
                    ]  
                }
            ],
            "ExcludeManagementEventSources": []
        }
    ]
}

Pour exclure des événements AWS Key Management Service (AWS KMS) des journaux d'un suivi, exécutez la put-event-selectors commande et ajoutez l'attribut ExcludeManagementEventSources avec une valeur dekms.amazonaws.com. L'exemple suivant crée un sélecteur d'événements pour un parcours dont le nom inclut les événements TrailNamede gestion en lecture seule et en écriture seule, mais exclut les événements. AWS KMS Étant donné que cela AWS KMS peut générer un volume élevé d'événements, l'utilisateur de cet exemple peut souhaiter limiter les événements afin de gérer le coût d'un parcours.

aws cloudtrail put-event-selectors --trail-name TrailName --event-selectors '[{"ReadWriteType": "All","ExcludeManagementEventSources": ["kms.amazonaws.com"],"IncludeManagementEvents": true}]'

L'exemple renvoie le sélecteur d'événements configuré pour le journal de suivi.

{
    "TrailARN": "arn:aws:cloudtrail:us-east-1:111122223333:trail/TrailName",
    "EventSelectors": [
        {
            "ReadWriteType": "All",
            "IncludeManagementEvents": true,
            "DataResources": [],
            "ExcludeManagementEventSources": [
                "kms.amazonaws.com"
            ]
        }
    ]
}

Pour exclure les événements de gestion de l'API Amazon RDS Data des journaux d'un suivi, exécutez la put-event-selectors commande et ajoutez l'attribut ExcludeManagementEventSources avec une valeur derdsdata.amazonaws.com. L'exemple suivant crée un sélecteur d'événements pour un parcours nommé de manière TrailNameà inclure les événements de gestion en lecture seule et en écriture seule, mais à exclure les événements de gestion de l'API Amazon RDS Data. Étant donné que l'API Amazon RDS Data peut générer un volume élevé d'événements de gestion, l'utilisateur de cet exemple peut souhaiter limiter les événements afin de gérer le coût d'un suivi.

{
    "TrailARN": "arn:aws:cloudtrail:us-east-1:111122223333:trail/TrailName",
    "EventSelectors": [
        {
            "ReadWriteType": "All",
            "IncludeManagementEvents": true,
            "DataResources": [],
            "ExcludeManagementEventSources": [
                "rdsdata.amazonaws.com"
            ]
        }
    ]
}

Pour recommencer à AWS KMS consigner les événements ou à gérer l'API Amazon RDS Data dans un journal, transmettez une chaîne vide comme valeur deExcludeManagementEventSources, comme indiqué dans la commande suivante.

aws cloudtrail put-event-selectors --trail-name TrailName --event-selectors '[{"ReadWriteType": "All","ExcludeManagementEventSources": [],"IncludeManagementEvents": true}]'

Pour enregistrer les AWS KMS événements pertinents dans un journal, tels queDisable, Delete etScheduleKey, mais exclure les AWS KMS événements à volume élevé tels queEncrypt, et DecryptGenerateDataKey, consigner les événements de gestion en écriture uniquement, et conserver le paramètre par défaut de journalisation AWS KMS des événements, comme indiqué dans l'exemple suivant.

aws cloudtrail put-event-selectors --trail-name TrailName --event-selectors '[{"ReadWriteType": "WriteOnly","ExcludeManagementEventSources": [],"IncludeManagementEvents": true}]'

Exemples : journalisation des événements de gestion pour les entrepôts de données d'événement

Pour voir si votre entrepôt de données d'événement inclut les événements de gestion, exécutez la commande get-event-data-store.

aws cloudtrail get-event-data-store
--event-data-store arn:aws:cloudtrail:us-east-1:12345678910:eventdatastore/EXAMPLE-f852-4e8f-8bd1-bcf6cEXAMPLE

Voici un exemple de réponse. Les heures de création et de dernière mise à jour sont au format timestamp.

{
    "EventDataStoreArn": "arn:aws:cloudtrail:us-east-1:12345678910:eventdatastore/EXAMPLE-f852-4e8f-8bd1-bcf6cEXAMPLE",
    "Name": "myManagementEvents",
    "Status": "ENABLED",
    "AdvancedEventSelectors": [
        {
            "Name": "Management events selector",
            "FieldSelectors": [
                {
                    "Field": "eventCategory",
                    "Equals": [
                        "Management"
                    ]
                }
            ]
        }
    ],
    "MultiRegionEnabled": true,
    "OrganizationEnabled": false,
    "BillingMode": "FIXED_RETENTION_PRICING",
    "RetentionPeriod": 2557,
    "TerminationProtectionEnabled": true,
    "CreatedTimestamp": "2023-02-04T15:56:27.418000+00:00",
    "UpdatedTimestamp": "2023-02-04T15:56:27.544000+00:00"
}

Pour créer un entrepôt de données d'événement qui inclut tous les événements de gestion, vous devez exécuter la commande create-event-data-store. Il n'est pas nécessaire de spécifier des sélecteurs d'événements avancés pour inclure tous les événements de gestion.

aws cloudtrail create-event-data-store
--name my-event-data-store
--retention-period 90\

Voici un exemple de réponse.

{
    "EventDataStoreArn": "arn:aws:cloudtrail:us-east-1:12345678910:eventdatastore/EXAMPLE-f852-4e8f-8bd1-bcf6cEXAMPLE",
    "Name": "my-event-data-store",
    "Status": "CREATED",
    "AdvancedEventSelectors": [
        {
            "Name": "Default management events",
            "FieldSelectors": [
                {
                    "Field": "eventCategory",
                    "Equals": [
                        "Management"
                    ]
                }
            ]
        }
    ],
    "MultiRegionEnabled": true,
    "OrganizationEnabled": false,
    "BillingMode": "EXTENDABLE_RETENTION_PRICING",
    "RetentionPeriod": 90,
    "TerminationProtectionEnabled": true,
    "CreatedTimestamp": "2023-11-13T16:41:57.224000+00:00",
    "UpdatedTimestamp": "2023-11-13T16:41:57.357000+00:00"
}

Pour créer un magasin de données d'événements qui exclut AWS Key Management Service (AWS KMS) les événements, exécutez la create-event-data-store commande et eventSource spécifiez une valeur différentekms.amazonaws.com. L'exemple suivant crée un magasin de données d'événements qui inclut des événements de gestion en lecture seule et en écriture seule, mais exclut les événements. AWS KMS

aws cloudtrail create-event-data-store --name event-data-store-name --retention-period 90 --advanced-event-selectors '[
    {
        "Name": "Management events selector",
        "FieldSelectors": [
            {"Field": "eventCategory","Equals": ["Management"]},
            {"Field": "eventSource","NotEquals": ["kms.amazonaws.com"]}
        ]
    }
]'

Voici un exemple de réponse.

{
    "EventDataStoreArn": "arn:aws:cloudtrail:us-east-1:12345678910:eventdatastore/EXAMPLE-f852-4e8f-8bd1-bcf6cEXAMPLE",
    "Name": "event-data-store-name",
    "Status": "CREATED",
    "AdvancedEventSelectors": [
        {
            "Name": "Management events selector",
            "FieldSelectors": [
                {
                    "Field": "eventCategory",
                    "Equals": [
                        "Management"
                    ]
                },
                {
                    "Field": "eventSource",
                    "NotEquals": [
                        "kms.amazonaws.com"
                    ]
                }
            ]
        }
    ],
    "MultiRegionEnabled": true,
    "OrganizationEnabled": false,
    "BillingMode": "EXTENDABLE_RETENTION_PRICING",
    "RetentionPeriod": 90,
    "TerminationProtectionEnabled": true,
    "CreatedTimestamp": "2023-11-13T17:02:02.067000+00:00",
    "UpdatedTimestamp": "2023-11-13T17:02:02.241000+00:00"
}

Pour créer un magasin de données d'événements qui exclut les événements de gestion de l'API Amazon RDS Data, exécutez la create-event-data-store commande et spécifiez une valeur rdsdata.amazonaws.com différente. eventSource L'exemple suivant crée un entrepôt de données d'événement qui inclut les événements de gestion en lecture seule et en écriture seule, en excluant les événements API de données Amazon RDS.

aws cloudtrail create-event-data-store --name event-data-store-name --retention-period 90 --advanced-event-selectors '[
    {
        "Name": "Management events selector",
        "FieldSelectors": [
            {"Field": "eventCategory","Equals": ["Management"]},
            {"Field": "eventSource","NotEquals": ["rdsdata.amazonaws.com"]}
        ]
    }
]'

Voici un exemple de réponse.

{
    "EventDataStoreArn": "arn:aws:cloudtrail:us-east-1:12345678910:eventdatastore/EXAMPLE-f852-4e8f-8bd1-bcf6cEXAMPLE",
    "Name": "my-event-data-store",
    "Status": "CREATED",
    "AdvancedEventSelectors": [
        {
            "Name": "Management events selector",
            "FieldSelectors": [
                {
                    "Field": "eventCategory",
                    "Equals": [
                        "Management"
                    ]
                },
                {
                    "Field": "eventSource",
                    "NotEquals": [
                        "rdsdata.amazonaws.com"
                    ]
                }
            ]
        }
    ],
    "MultiRegionEnabled": true,
    "OrganizationEnabled": false,
    "BillingMode": "EXTENDABLE_RETENTION_PRICING",
    "RetentionPeriod": 90,
    "TerminationProtectionEnabled": true,
    "CreatedTimestamp": "2023-11-13T17:02:02.067000+00:00",
    "UpdatedTimestamp": "2023-11-13T17:02:02.241000+00:00"
}

Journalisation des événements de gestion avec les AWS SDK

Utilisez cette GetEventSelectorsopération pour voir si votre sentier enregistre les événements de gestion relatifs à un sentier. Vous pouvez configurer vos sentiers pour enregistrer les événements de gestion associés à l'PutEventSelectorsopération. Pour plus d’informations, consultez la page Référence de l’API AWS CloudTrail.

Exécutez l'GetEventDataStoreopération pour voir si votre banque de données d'événements inclut des événements de gestion. Vous pouvez configurer vos magasins de données d'événements pour inclure les événements de gestion en exécutant les UpdateEventDataStoreopérations CreateEventDataStoreor. Pour plus d’informations, consultez les pages Créez, mettez à jour et gérez des banques de données d'événements à l'aide du AWS CLI et Référence de l’API AWS CloudTrail.