CreateManagedAccount UpdateManagedAccount EnableGuardrail DisableGuardrail SetupLandingZone UpdateLandingZone RegisterOrganizationalUnit DeregisterOrganizationalUnit PrecheckOrganizationalUnit EnableBaseline ResetEnabledBaseline UpdateEnabledBaseline DisableBaseline EnableControl ResetEnabledControl UpdateEnabledControl DisableControl

Événements liés au cycle de vie dans AWS Control Tower

Certains événements enregistrés par AWS Control Tower sont des événements du cycle de vie. L'objectif d'un événement du cycle de vie est de marquer l'achèvement de certaines actions de la tour de contrôle AWS qui modifient l'état des ressources. Les événements du cycle de vie s'appliquent aux ressources créées ou gérées par AWS Control Tower, telles qu'une zone d'atterrissage, une base de référence ou un contrôle, liées à une unité organisationnelle (OU) ou à un compte.

Caractéristiques des événements du cycle de vie d'AWS Control Tower

Pour chaque événement du cycle de vie, le journal des événements indique si l'action initiale de la tour de contrôle s'est terminée avec succès ou a échoué.
AWS CloudTrail enregistre automatiquement chaque événement du cycle de vie en tant qu'événement de AWS service non lié à l'API. Pour plus d'informations, consultez le Guide de AWS CloudTrail l'utilisateur.
Chaque événement du cycle de vie est également transmis aux services Amazon EventBridge et Amazon CloudWatch Events. Remarque : pour recevoir les événements du cycle de vie dans EventBridge, vous devez disposer d'un suivi AWS CloudTrail actif avec la journalisation activée. Pour plus d'informations sur les événements de AWS service fournis via AWS CloudTrail, consultez la section Événements de service AWS fournis via AWS CloudTrail dans le guide de EventBridge l'utilisateur Amazon.

Les événements liés au cycle de vie dans AWS Control Tower offrent deux avantages principaux :

Étant donné qu'un événement du cycle de vie enregistre l'achèvement d'une action de la tour de contrôle AWS, vous pouvez créer une EventBridge règle Amazon ou une règle Amazon CloudWatch Events qui peut déclencher les étapes suivantes de votre flux de travail d'automatisation, en fonction de l'état de l'événement du cycle de vie.
Les journaux fournissent des détails supplémentaires pour aider les administrateurs et les auditeurs à examiner certains types d'activités dans vos organisations.

Fonctionnement des événements de cycle de vie

AWS Control Tower s'appuie sur de multiples services pour mettre en œuvre ses actions. Par conséquent, chaque événement de cycle de vie est enregistré une fois qu'une série d'actions est terminée. Par exemple, lorsque vous activez un contrôle sur une unité d'organisation, AWS Control Tower lance une série de sous-étapes qui mettent en œuvre la demande. Le résultat final de l'ensemble de la série de sous-étapes est enregistré dans le journal comme état de l'événement de cycle de vie.

Si chaque sous-étape sous-jacente a abouti, l'état de l'événement de cycle de vie est enregistré comme Succeeded (Réussite).
Si l'une des sous-étapes sous-jacentes n'a pas abouti, l'état de l'événement de cycle de vie est enregistré comme Failed (Échec).

Chaque événement du cycle de vie inclut un horodatage enregistré qui indique quand l'action de la tour de contrôle AWS a été lancée, et un autre horodatage indiquant quand l'événement du cycle de vie est terminé, marquant le succès ou l'échec.

Affichage des événements du cycle de vie dans Control Tower

Vous pouvez consulter les événements du cycle de vie sur la page Activités de votre tableau de bord AWS Control Tower.

Pour accéder à la page Activities (Activités), choisissez Activities (Activités) dans le panneau de navigation de gauche.
Pour obtenir de plus amples informations sur un événement spécifique, sélectionnez l'événement, puis cliquez sur le bouton View details (Afficher les détails) en haut à droite.

Pour plus d'informations sur la manière d'intégrer les événements du cycle de vie d'AWS Control Tower dans vos flux de travail, consultez ce billet de blog, Utiliser les événements du cycle de vie pour suivre les actions d'AWS Control Tower et déclencher des flux de travail automatisés.

Comportement attendu CreateManagedAccount et événements UpdateManagedAccount du cycle de vie

Lorsque vous créez un compte ou que vous inscrivez un compte dans AWS Control Tower, ces deux actions appellent la même API interne. Si une erreur survient au cours du processus, elle se produit généralement après la création du compte, mais il n'est pas entièrement provisionné. Lorsque vous réessayez de créer le compte après l'erreur, ou lorsque vous essayez de mettre à jour le produit provisionné, AWS Control Tower constate que le compte existe déjà.

Comme le compte existe, AWS Control Tower enregistre l'événement du UpdateManagedAccount cycle de vie au lieu de l'événement du CreateManagedAccount cycle de vie à la fin de la demande de nouvelle tentative. Vous vous attendiez peut-être à voir un autre CreateManagedAccount événement à cause de cette erreur. Cependant, l'événement UpdateManagedAccount du cycle de vie correspond au comportement attendu et souhaité.

Si vous envisagez de créer ou d'inscrire des comptes dans AWS Control Tower à l'aide de méthodes automatisées, programmez la fonction Lambda pour rechercher les événements UpdateManagedAccount du cycle de vie ainsi que les événements du CreateManagedAccount cycle de vie.

Noms de l'événement de cycle de vie

Chaque événement du cycle de vie est nommé de manière à correspondre à l'action d'origine de la tour de contrôle AWS, qui est également enregistrée par AWS CloudTrail. Ainsi, par exemple, un événement du cycle de vie généré par l'CreateManagedAccount CloudTrail événement AWS Control Tower est nomméCreateManagedAccount.

Chaque nom de la liste qui suit constitue un lien vers un exemple de détail consigné au format JSON. Les informations supplémentaires présentées dans ces exemples sont extraites des journaux d' CloudWatch événements Amazon.

Bien que JSON ne prenne pas en charge les commentaires, certains commentaires ont été ajoutés dans les exemples à des fins explicatives. Les commentaires sont précédés de « // » et apparaissent à droite des exemples.

Dans ces exemples, certains noms de comptes et d'organisations sont masqués. Un accountId est toujours une séquence de 12 chiffres, qui a été remplacée par « xxxxxxxxxxxx » dans les exemples. Un organizationalUnitID est une chaîne unique de lettres et de chiffres. Sa forme est préservée dans les exemples.

CreateManagedAccount: Le journal indique si AWS Control Tower a effectué avec succès chaque action visant à créer et à provisionner un nouveau compte à l'aide de Account Factory.
UpdateManagedAccount: le journal indique si AWS Control Tower a effectué avec succès chaque action visant à mettre à jour un produit provisionné associé à un compte que vous aviez créé précédemment à l'aide de Account Factory.
EnableGuardrail: Le journal enregistre si AWS Control Tower a effectué avec succès chaque action visant à activer un contrôle sur une unité d'organisation.
DisableGuardrail: Le journal enregistre si AWS Control Tower a effectué avec succès chaque action visant à désactiver un contrôle sur une unité d'organisation.
SetupLandingZone: le journal indique si AWS Control Tower a effectué avec succès chaque action visant à configurer une zone d'atterrissage.
UpdateLandingZone: le journal indique si AWS Control Tower a effectué avec succès toutes les actions visant à mettre à jour votre zone d'atterrissage existante.
RegisterOrganizationalUnit: Le journal indique si AWS Control Tower a effectué avec succès chaque action visant à activer ses fonctionnalités de gouvernance sur une unité d'organisation.
DeregisterOrganizationalUnit: Le journal indique si AWS Control Tower a effectué avec succès chaque action visant à désactiver ses fonctionnalités de gouvernance sur une unité d'organisation.
PrecheckOrganizationalUnit: Le journal enregistre si AWS Control Tower a détecté une ressource susceptible d'empêcher l'opération Extend Governance de se terminer correctement.
EnableBaseline: Le journal indique si AWS Control Tower a effectué avec succès chaque action visant à activer une nouvelle base de référence pour un compte de membre cible dans le cadre d'une unité d'organisation. L'opération d'activation peut être lancée à l'aide de l'EnableBaselineAPI ou de la console.
ResetEnabledBaseline: Le journal enregistre si AWS Control Tower a effectué avec succès toutes les actions visant à réinitialiser une référence activée existante sur un compte de membre cible dans le cadre d'une unité d'organisation. L'opération de réinitialisation peut être lancée à l'aide de l'ResetEnabledBaselineAPI ou de la console.
UpdateEnabledBaseline: Le journal indique si AWS Control Tower a effectué avec succès chaque action visant à mettre à jour une base de référence activée existante sur un compte de membre cible dans le cadre d'une unité d'organisation. L'opération de mise à jour peut être lancée à l'aide de l'UpdateEnabledBaselineAPI ou de la console.
DisableBaseline: Le journal indique si AWS Control Tower a effectué avec succès toutes les actions visant à désactiver une référence activée existante sur un compte de membre cible dans le cadre d'une unité d'organisation. L'opération de désactivation peut être lancée à l'aide de l'DisableBaselineAPI ou de la console.
EnableControl: Le journal indique si AWS Control Tower a effectué avec succès chaque action visant à activer le contrôle sur un compte cible dans le cadre d'une unité d'organisation. L'opération d'activation peut être lancée à l'aide de l'EnableControlAPI ou de la console.
ResetEnabledControl: Le journal indique si AWS Control Tower a effectué avec succès chaque action visant à réinitialiser un contrôle activé existant sur un compte cible dans le cadre d'une unité d'organisation. L'opération de réinitialisation peut être lancée à l'aide de l'ResetEnabledControlAPI ou de la console.
UpdateEnabledControl: Le journal indique si AWS Control Tower a effectué avec succès chaque action visant à mettre à jour un contrôle activé existant sur un compte cible dans le cadre d'une unité d'organisation. L'opération de mise à jour peut être lancée à l'aide de l'UpdateEnabledControlAPI ou de la console.
DisableControl: Le journal indique si AWS Control Tower a effectué avec succès chaque action visant à désactiver un contrôle activé existant sur un compte cible dans le cadre d'une unité d'organisation. L'opération de désactivation peut être lancée à l'aide de l'DisableControlAPI ou de la console.

Les sections suivantes fournissent une liste des événements du cycle de vie d'AWS Control Tower, avec des exemples de détails enregistrés pour chaque type d'événement du cycle de vie.

`CreateManagedAccount`

Cet événement du cycle de vie enregistre si AWS Control Tower a créé et provisionné avec succès un nouveau compte à l'aide de Account Factory. Cet événement correspond à l'CreateManagedAccount CloudTrail événement AWS Control Tower. Le journal des événements de cycle de vie inclut les éléments accountName et accountId du compte nouvellement créé, ainsi que les éléments organizationalUnitName et organizationalUnitId de l'unité d'organisation dans laquelle le compte a été placé.


{
    "version": "0",
    "id": "999cccaa-eaaa-0000-1111-123456789012",         
    "detail-type": "AWS Service Event via CloudTrail",
    "source": "aws.controltower",
    "account": "XXXXXXXXXXXX",                                   // Management account ID. 
    "time": "2018-08-30T21:42:18Z",                              // Format: yyyy-MM-dd'T'hh:mm:ssZ 
    "region": "us-east-1",                                       // AWS Control Tower home region.
    "resources": [ ],
    "detail": {
        "eventVersion": "1.05",
        "userIdentity": {
            "accountId": "XXXXXXXXXXXX",                       
            "invokedBy": "AWS Internal"
        },
        "eventTime": "2018-08-30T21:42:18Z",                     // Timestamp when call was made. Format: yyyy-MM-dd'T'hh:mm:ssZ.
        "eventSource": "controltower.amazonaws.com",
        "eventName": "CreateManagedAccount",                  
        "awsRegion": "us-east-1",                               
        "sourceIPAddress": "AWS Internal",
        "userAgent": "AWS Internal",
        "eventID": "0000000-0000-0000-1111-123456789012",        
        "readOnly": false,
        "eventType": "AwsServiceEvent",
        "serviceEventDetails": {
            "createManagedAccountStatus": {
                "organizationalUnit":{
                    "organizationalUnitName":"Custom",
                    "organizationalUnitId":"ou-XXXX-l3zc8b3h"

                    },
                "account":{
                    "accountName":"LifeCycle1",
                    "accountId":"XXXXXXXXXXXX"
                    },
                "state":"SUCCEEDED",
                "message":"AWS Control Tower successfully created a managed account.",
                "requestedTimestamp":"2019-11-15T11:45:18+0000",
                "completedTimestamp":"2019-11-16T12:09:32+0000"}
        }
    }
}

`UpdateManagedAccount`

Cet événement du cycle de vie enregistre si AWS Control Tower a correctement mis à jour le produit provisionné associé à un compte créé précédemment à l'aide de Account Factory. Cet événement correspond à l'UpdateManagedAccount CloudTrailévénement AWS Control Tower. Le journal des événements de cycle de vie inclut les éléments accountName et accountId du compte associé, ainsi que les éléments organizationalUnitName et organizationalUnitId de l'unité d'organisation dans laquelle le compte mis à jour est placé.


{
    "version": "0",
    "id": "999cccaa-eaaa-0000-1111-123456789012",                
    "detail-type": "AWS Service Event via CloudTrail",
    "source": "aws.controltower",
    "account": "XXXXXXXXXXXX",                                   // AWS Control Tower organization management account.
    "time": "2018-08-30T21:42:18Z",                              // Format: yyyy-MM-dd'T'hh:mm:ssZ 
    "region": "us-east-1",                                       // AWS Control Tower home region.
    "resources": [],
    "detail": {
        "eventVersion": "1.05",
        "userIdentity": {
            "accountId": "XXXXXXXXX",                        
            "invokedBy": "AWS Internal"
        },
        "eventTime": "2018-08-30T21:42:18Z",                     // Timestamp when call was made. Format: yyyy-MM-dd'T'hh:mm:ssZ.
        "eventSource": "controltower.amazonaws.com",
        "eventName": "UpdateManagedAccount",                   
        "awsRegion": "us-east-1",                                
        "sourceIPAddress": "AWS Internal",
        "userAgent": "AWS Internal",
        "eventID": "0000000-0000-0000-1111-123456789012",        
        "readOnly": false,
        "eventType": "AwsServiceEvent",
        "serviceEventDetails": {
            "updateManagedAccountStatus": {
                "organizationalUnit":{
                    "organizationalUnitName":"Custom",
                    "organizationalUnitId":"ou-XXXX-l3zc8b3h"
                    },
                "account":{
                    "accountName":"LifeCycle1",
                    "accountId":"XXXXXXXXXXXX"
                    },
                "state":"SUCCEEDED",
                "message":"AWS Control Tower successfully updated a managed account.",
                "requestedTimestamp":"2019-11-15T11:45:18+0000",
                "completedTimestamp":"2019-11-16T12:09:32+0000"}
        }
    }
}

`EnableGuardrail`

Cet événement du cycle de vie enregistre si AWS Control Tower a activé avec succès un contrôle sur une unité d'organisation gérée par AWS Control Tower. Cet événement correspond à l'EnableGuardrail CloudTrail événement AWS Control Tower. Le journal des événements du cycle guardrailBehavior de vie inclut la fin du contrôle organizationalUnitName et la fin organizationalUnitId de l'unité d'organisation sur laquelle le contrôle est activé. guardrailId


{
    "version": "0",
    "id": "999cccaa-eaaa-0000-1111-123456789012",         
    "detail-type": "AWS Service Event via CloudTrail",
    "source": "aws.controltower",
    "account": "XXXXXXXXXXXX",                                 
    "time": "2018-08-30T21:42:18Z",                              // End-time of action. Format: yyyy-MM-dd'T'hh:mm:ssZ 
    "region": "us-east-1",                                       // AWS Control Tower home region.
    "resources": [ ],
    "detail": {
        "eventVersion": "1.05",
        "userIdentity": {
            "accountId": "XXXXXXXXXXXX",                    
            "invokedBy": "AWS Internal"
        },
        "eventTime": "2018-08-30T21:42:18Z",                  
        "eventSource": "controltower.amazonaws.com",             
        "eventName": "EnableGuardrail",                   
        "awsRegion": "us-east-1",                              
        "sourceIPAddress": "AWS Internal",
        "userAgent": "AWS Internal",
        "eventID": "0000000-0000-0000-1111-123456789012",       
        "readOnly": false,
        "eventType": "AwsServiceEvent",
        "serviceEventDetails": {
            "enableGuardrailStatus": {
                "organizationalUnits": [
                    {
                      "organizationalUnitName": "Custom",
                      "organizationalUnitId": "ou-vwxy-18vy4yro"
                    }
                  ],
                  "guardrails": [
                    {
                      "guardrailId": "AWS-GR_RDS_INSTANCE_PUBLIC_ACCESS_CHECK",
                      "guardrailBehavior": "DETECTIVE"
                    }
                  ],
                  "state": "SUCCEEDED",
                  "message": "AWS Control Tower successfully enabled a guardrail on an organizational unit.",
                  "requestTimestamp": "2019-11-12T09:01:07+0000",
                  "completedTimestamp": "2019-11-12T09:01:54+0000"
                }
        }
    }
}

`DisableGuardrail`

Cet événement du cycle de vie enregistre si AWS Control Tower a réussi à désactiver un contrôle sur une unité d'organisation gérée par AWS Control Tower. Cet événement correspond à l'DisableGuardrail CloudTrail événement AWS Control Tower. Le journal des événements du cycle guardrailBehavior de vie inclut la fin du contrôle organizationalUnitName et la fin organizationalUnitId de l'unité d'organisation sur laquelle le contrôle est désactivé. guardrailId


{
    "version": "0",
    "id": "999cccaa-eaaa-0000-1111-123456789012",     
    "detail-type": "AWS Service Event via CloudTrail",
    "source": "aws.controltower",
    "account": "XXXXXXXXXXXX",                         
    "time": "2018-08-30T21:42:18Z",                   
    "region": "us-east-1",                           
    "resources": [ ],
    "detail": {
        "eventVersion": "1.05",
        "userIdentity": {
            "accountId": "XXXXXXXXXXXX",                 
            "invokedBy": "AWS Internal"
        },
        "eventTime": "2018-08-30T21:42:18Z",            
        "eventSource": "controltower.amazonaws.com",
        "eventName": "DisableGuardrail",                 
        "awsRegion": "us-east-1",                            
        "sourceIPAddress": "AWS Internal",
        "userAgent": "AWS Internal",
        "eventID": "0000000-0000-0000-1111-123456789012",     
        "readOnly": false,
        "eventType": "AwsServiceEvent",
        "serviceEventDetails": {
            "disableGuardrailStatus": {
                   "organizationalUnits": [
                    {
                      "organizationalUnitName": "Custom",
                      "organizationalUnitId": "ou-vwxy-18vy4yro"
                    }
                  ],
                  "guardrails": [
                    {
                      "guardrailId": "AWS-GR_RDS_INSTANCE_PUBLIC_ACCESS_CHECK",
                      "guardrailBehavior": "DETECTIVE"
                    }
                  ],
                  "state": "SUCCEEDED",
                  "message": "AWS Control Tower successfully disabled a guardrail on an organizational unit.",
                  "requestTimestamp": "2019-11-12T09:01:07+0000",
                  "completedTimestamp": "2019-11-12T09:01:54+0000"
                }
            }
        }
    }

`SetupLandingZone`

Cet événement du cycle de vie enregistre si AWS Control Tower a correctement configuré une zone d'atterrissage. Cet événement correspond à l'SetupLandingZone CloudTrail événement AWS Control Tower. Le journal des événements du cycle de vie inclut l'rootOrganizationalIdidentifiant de l'organisation créée par AWS Control Tower à partir du compte de gestion. L'entrée de journal inclut également le organizationalUnitName et organizationalUnitId pour chacune des unités d'organisation, ainsi que le accountName et accountId pour chaque compte, qui sont créés lorsque la tour de contrôle AWS configure la zone d'atterrissage.


{
    "version": "0",
    "id": "999cccaa-eaaa-0000-1111-123456789012",                // Request ID.
    "detail-type": "AWS Service Event via CloudTrail",
    "source": "aws.controltower",
    "account": "XXXXXXXXXXXX",                                   // Management account ID.
    "time": "2018-08-30T21:42:18Z",                              // Event time from CloudTrail.
    "region": "us-east-1",                                       // Management account CloudTrail region.
    "resources": [ ],
    "detail": {
        "eventVersion": "1.05",
        "userIdentity": {
            "accountId": "XXXXXXXXXXXX",                         // Management-account ID.
            "invokedBy": "AWS Internal"
        },
        "eventTime": "2018-08-30T21:42:18Z",                     // Timestamp when call was made. Format: yyyy-MM-dd'T'hh:mm:ssZ.
        "eventSource": "controltower.amazonaws.com",
        "eventName": "SetupLandingZone",
        "awsRegion": "us-east-1",                                // AWS Control Tower home region.
        "sourceIPAddress": "AWS Internal",
        "userAgent": "AWS Internal",
        "eventID": "CloudTrail_event_ID",                        // This value is generated by CloudTrail.
        "readOnly": false,
        "eventType": "AwsServiceEvent",
        "serviceEventDetails": {
            "setupLandingZoneStatus": {
                "state": "SUCCEEDED",                             // Status of entire lifecycle operation.
                "message": "AWS Control Tower successfully set up a new landing zone.",                
                "rootOrganizationalId" : "r-1234",
                "organizationalUnits" : [                         // Use a list.
                  {
                    "organizationalUnitName": "Security",             // Security OU name.
                    "organizationalUnitId": "ou-adpf-302pk332"    // Security OU ID.
                  },
                  {
                    "organizationalUnitName": "Custom",           // Custom OU name.
                    "organizationalUnitId": "ou-adpf-302pk332"    // Custom OU ID. 
                  },
                ],
               "accounts": [                                      // All created accounts are here. Use a list of "account" objects.

                  {
                    "accountName": "Audit",  
                    "accountId": "XXXXXXXXXXXX"                        
                  },
                  {
                    "accountName": "Log archive",                 
                    "accountId": "XXXXXXXXXXXX"
                  }
              ],
              "requestedTimestamp": "2018-08-30T21:42:18Z",
              "completedTimestamp": "2018-08-30T21:42:18Z"
            }
        }
    }
}

`UpdateLandingZone`

Cet événement du cycle de vie enregistre si AWS Control Tower a correctement mis à jour votre zone d'atterrissage existante. Cet événement correspond à l'UpdateLandingZone CloudTrail événement AWS Control Tower. Le journal des événements du cycle de vie inclut l'rootOrganizationalIdidentifiant de l'organisation (mise à jour) régie par AWS Control Tower. L'entrée de journal inclut également le organizationalUnitName et organizationalUnitId pour chacune des unités d'organisation, ainsi que le accountName et accountId pour chaque compte, qui a été créé précédemment, lorsque la tour de contrôle AWS a initialement configuré la zone d'atterrissage.


{
    "version": "0",
    "id": "999cccaa-eaaa-0000-1111-123456789012",                // Request ID.
    "detail-type": "AWS Service Event via CloudTrail",
    "source": "aws.controltower",
    "account": "XXXXXXXXXXXX",                                   // Management account ID.
    "time": "2018-08-30T21:42:18Z",                              // Event time from CloudTrail.
    "region": "us-east-1",                                       // Management account CloudTrail region.
    "resources": [ ],
    "detail": {
        "eventVersion": "1.05",
        "userIdentity": {
            "accountId": "XXXXXXXXXXXX",                         // Management account ID.
            "invokedBy": "AWS Internal"
        },
        "eventTime": "2018-08-30T21:42:18Z",                     // Timestamp when call was made. Format: yyyy-MM-dd'T'hh:mm:ssZ.
        "eventSource": "controltower.amazonaws.com",
        "eventName": "UpdateLandingZone",
        "awsRegion": "us-east-1",                                // AWS Control Tower home region.
        "sourceIPAddress": "AWS Internal",
        "userAgent": "AWS Internal",
        "eventID": "CloudTrail_event_ID",                        // This value is generated by CloudTrail.

        "readOnly": false,
        "eventType": "AwsServiceEvent",
        "serviceEventDetails": {
            "updateLandingZoneStatus": {
                "state": "SUCCEEDED",                            // Status of entire operation.
                "message": "AWS Control Tower successfully updated a landing zone.",                

                "rootOrganizationalId" : "r-1234",
                "organizationalUnits" : [                         // Use a list.
                  {
                    "organizationalUnitName": "Security",             // Security OU name.
                    "organizationalUnitId": "ou-adpf-302pk332"    // Security OU ID.
                  },
                  {
                    "organizationalUnitName": "Custom",            // Custom OU name.
                    "organizationalUnitId": "ou-adpf-302pk332"     // Custom OU ID.
                  },
                ],
               "accounts": [                                       // All created accounts are here. Use a list of "account" objects.

                  {
                    "accountName": "Audit",  
                    "accountId": "XXXXXXXXXXXX"                        
                  },
                  {
                    "accountName": "Log archive",                 
                    "accountId": "XXXXXXXXXX"
                  }
              ],
              "requestedTimestamp": "2018-08-30T21:42:18Z",
              "completedTimestamp": "2018-08-30T21:42:18Z"
            }
        }
    }
}

`RegisterOrganizationalUnit`

Cet événement du cycle de vie permet de savoir si AWS Control Tower a activé avec succès ses fonctionnalités de gouvernance sur une unité d'organisation. Cet événement correspond à l'RegisterOrganizationalUnit CloudTrail événement AWS Control Tower. Le journal des événements du cycle de vie inclut la organizationalUnitName organizationalUnitId fin de l'unité d'organisation qu'AWS Control Tower a placée sous sa gouvernance.


{
    "version": "0",
    "id": "999cccaa-eaaa-0000-1111-123456789012",            
    "detail-type": "AWS Service Event via CloudTrail", 
    "source": "aws.controltower",
    "account": "123456789012",                               
    "time": "2018-08-30T21:42:18Z",                  
    "region": "us-east-1",                       
    "resources": [ ],
    "detail": {
        "eventVersion": "1.05",
        "userIdentity": {
            "accountId": "XXXXXXXXXXXX",                
            "invokedBy": "AWS Internal"
        },
        "eventTime": "2018-08-30T21:42:18Z",               
        "eventSource": "controltower.amazonaws.com",
        "eventName": "RegisterOrganizationalUnit",        
        "awsRegion": "us-east-1",                           
        "sourceIPAddress": "AWS Internal",
        "userAgent": "AWS Internal",
        "eventID": "0000000-0000-0000-1111-123456789012",    
        "readOnly": false,
        "eventType": "AwsServiceEvent",
        "serviceEventDetails": {
            "registerOrganizationalUnitStatus": {
                "state": "SUCCEEDED",                        

                "message": "AWS Control Tower successfully registered an organizational unit.",

                "organizationalUnit" :                        
                  {
                    "organizationalUnitName": "Test",            
                    "organizationalUnitId": "ou-adpf-302pk332"    
                  }
                "requestedTimestamp": "2018-08-30T21:42:18Z",
                "completedTimestamp": "2018-08-30T21:42:18Z" 
            }
        }
    }
}

`DeregisterOrganizationalUnit`

Cet événement du cycle de vie enregistre si AWS Control Tower a réussi à désactiver ses fonctionnalités de gouvernance sur une unité d'organisation. Cet événement correspond à l'DeregisterOrganizationalUnit CloudTrail événement AWS Control Tower. Le journal des événements du cycle de vie inclut la organizationalUnitName organizationalUnitId fin de l'unité d'organisation sur laquelle AWS Control Tower a désactivé ses fonctionnalités de gouvernance.


{
    "version": "0",
    "id": "999cccaa-eaaa-0000-1111-123456789012",    
    "detail-type": "AWS Service Event via CloudTrail",
    "source": "aws.controltower",
    "account": "XXXXXXXXXXXX",                  
    "time": "2018-08-30T21:42:18Z", 
    "region": "us-east-1",            
    "resources": [ ],
    "detail": {
        "eventVersion": "1.05",
        "userIdentity": {
            "accountId": "XXXXXXXXXXXX",              
            "invokedBy": "AWS Internal"
        },
        "eventTime": "2018-08-30T21:42:18Z",               
        "eventSource": "controltower.amazonaws.com",
        "eventName": "DeregisterOrganizationalUnit",     
        "awsRegion": "us-east-1",                       
        "sourceIPAddress": "AWS Internal",
        "userAgent": "AWS Internal",
        "eventID": "0000000-0000-0000-1111-123456789012", 
        "readOnly": false,
        "eventType": "AwsServiceEvent",
        "serviceEventDetails": {
            "deregisterOrganizationalUnitStatus": {                 
                "state": "SUCCEEDED",               
                "message": "AWS Control Tower successfully de-registered an organizational unit.",
                "organizationalUnit" :                        
                  {
                    "organizationalUnitName": "Test",                   // Foundational OU name.
                    "organizationalUnitId": "ou-adpf-302pk332"          // Foundational OU ID.
                  },
                "requestedTimestamp": "2018-08-30T21:42:18Z", 
                "completedTimestamp": "2018-08-30T21:42:18Z"  
            }
            }
        }
    }

`PrecheckOrganizationalUnit`

Cet événement du cycle de vie enregistre si AWS Control Tower a effectué avec succès les prévérifications sur une unité d'organisation. Cet événement correspond à l'PrecheckOrganizationalUnit CloudTrail événement AWS Control Tower. Le journal des événements du cycle de vie contient un champ pour les failedPrechecks valeurs et IdName, pour chaque ressource sur laquelle AWS Control Tower a effectué des prévérifications lors du processus d'enregistrement de l'unité d'organisation.

Le journal des événements contient également des informations sur les comptes imbriqués sur lesquels les prévérifications ont été effectuées, notamment les accountName champsaccountId, etfailedPrechecks.

Si la failedPrechecks valeur est vide, cela signifie que toutes les prévérifications pour cette ressource ont été effectuées avec succès.

Cet événement est émis uniquement en cas d'échec de la prévérification.
Cet événement n'est pas émis si vous enregistrez une unité d'organisation vide.

Exemple d'événement :


{
  "eventVersion": "1.08",
  "userIdentity": {
    "accountId": "XXXXXXXXXXXX",
    "invokedBy": "AWS Internal"
  },
  "eventTime": "2021-09-20T22:45:43Z",
  "eventSource": "controltower.amazonaws.com",
  "eventName": "PrecheckOrganizationalUnit",
  "awsRegion": "us-west-2",
  "sourceIPAddress": "AWS Internal",
  "userAgent": "AWS Internal",
  "eventID": "b41a9d67-0da4-4dc5-a87a-25fa19dc5305",
  "readOnly": false,
  "eventType": "AwsServiceEvent",
  "managementEvent": true,
  "recipientAccountId": "XXXXXXXXXXXX",
  "serviceEventDetails": {
    "precheckOrganizationalUnitStatus": {
      "organizationalUnit": {
        "organizationalUnitName": "Ou-123",
        "organizationalUnitId": "ou-abcd-123456",
        "failedPrechecks": [
            "SCP_CONFLICT"
          ]
      },
      "accounts": [
        {
          "accountName": "Child Account 1",
          "accountId": "XXXXXXXXXXXX",
          "failedPrechecks": [
            "FAILED_TO_ASSUME_ROLE"
          ]
        },
        {
          "accountName": "Child Account 2",
          "accountId": "XXXXXXXXXXXX",
          "failedPrechecks": [
            "FAILED_TO_ASSUME_ROLE"
          ]
        },
        {
          "accountName": "Management Account",
          "accountId": "XXXXXXXXXXXX",
          "failedPrechecks": [
            "MISSING_PERMISSIONS_AF_PRODUCT"
          ]
        },
        {
          "accountName": "Child Account 3",
          "accountId": "XXXXXXXXXXXX",
          "failedPrechecks": []
        },
        ...
      ],
      "state": "FAILED",
      "message": "AWS Control Tower failed to register an organizational unit due to pre-check failures. Go to the OU details page to download a list of failed pre-checks for the OU and accounts within.",
      "requestedTimestamp": "2021-09-20T22:44:02+0000",
      "completedTimestamp": "2021-09-20T22:45:43+0000"
    }
  },
  "eventCategory": "Management"
}

`EnableBaseline`

Cet événement du cycle de vie enregistre si AWS Control Tower a activé avec succès une référence sur le compte d'un membre cible dans le cadre d'une unité d'organisation. Cet événement correspond à la tour de contrôle AWS RegisterOrganizationalUnit ou à EnableBaseline CloudTrail des événements. Le journal des événements du cycle de vie inclut la référence qui a été activée et sa version, celle targetIdentifier sur laquelle la ligne de base a été activée, celle parentIdentifier de la référence activée sur l'unité d'organisation parente et l'statusSummaryaffichage de l'état SUCCEED ou FAILED, ainsi que les paramètres supplémentaires et l'horodatage de l'opération.


{
    "eventVersion": "1.11",
    "userIdentity": {
        "accountId": "XXXXXXXXXXXX",
        "invokedBy": "AWS Internal"
    },
    "eventTime": "2025-02-10T17:14:57Z",
    "eventSource": "controltower.amazonaws.com",
    "eventName": "EnableBaseline",
    "awsRegion": "us-east-2",
    "sourceIPAddress": "AWS Internal",
    "userAgent": "AWS Internal",
    "requestParameters": null,
    "responseElements": null,
    "eventID": "366911a2-4fa6-4e4a-ac2b-280f627e0027",
    "readOnly": false,
    "eventType": "AwsServiceEvent",
    "managementEvent": true,
    "recipientAccountId": "XXXXXXXXXXXX",
    "serviceEventDetails": {
        "enableBaselineStatus": {
            "enabledBaselineDetails": {
                "arn": "arn:aws:controltower:us-east-2:XXXXXXXXXXXX:enabledbaseline/XXXXXXXXXXXXXXXX",
                "parentIdentifier": "arn:aws:controltower:us-east-2:XXXXXXXXXXXX:enabledbaseline/XXXXXXXXXXXXXXXX",
                "targetIdentifier": "arn:aws:organizations::XXXXXXXXXXXX:account/o-ern76xmzvf/XXXXXXXXXXXX",
                "baselineIdentifier": "arn:aws:controltower:us-east-2::baseline/XXXXXXXXXXXXXXX",
                "baselineVersion": "4.0",
                "statusSummary": {
                    "lastOperationIdentifier": "37f5eb68-e5b9-4c70-ae76-4ca15f6b16de",
                    "status": "SUCCEEDED"
                },
                "parameters": [
                    {
                        "key": "IdentityCenterEnabledBaselineArn",
                        "value": {
                            "untyped": {
                                "object": "arn:aws:controltower:us-east-2:XXXXXXXXXXXX:enabledbaseline/XXXXXXXXXXXXXXXX"                            }
                        }
                    }
                ]
            },
            "requestedTimestamp": "2025-02-10T17:07:09+0000",
            "completedTimestamp": "2025-02-10T17:14:57+0000"
        }
    },
    "eventCategory": "Management"
}

`ResetEnabledBaseline`

Cet événement du cycle de vie enregistre si AWS Control Tower a réussi à réinitialiser la référence activée existante sur un compte de membre cible dans le cadre d'une unité d'organisation. Cet événement correspond à la tour de contrôle AWS RegisterOrganizationalUnit ou à ResetEnabledBaseline CloudTrail des événements. Le journal des événements du cycle de vie inclut la référence qui a été activée et sa version, celle targetIdentifier sur laquelle la ligne de base a été activée, celle parentIdentifier de la référence activée sur l'unité d'organisation parente et l'statusSummaryaffichage de l'état SUCCEED ou FAILED, ainsi que les paramètres supplémentaires et l'horodatage de l'opération.


{
    "eventVersion": "1.11",
    "userIdentity": {
        "accountId": "XXXXXXXXXXXX",
        "invokedBy": "AWS Internal"
    },
    "eventTime": "2025-02-10T21:17:55Z",
    "eventSource": "controltower.amazonaws.com",
    "eventName": "ResetEnabledBaseline",
    "awsRegion": "us-west-2",
    "sourceIPAddress": "AWS Internal",
    "userAgent": "AWS Internal",
    "requestParameters": null,
    "responseElements": null,
    "eventID": "c01a32e1-13ab-4b46-8f1b-00699ef6f989",
    "readOnly": false,
    "eventType": "AwsServiceEvent",
    "managementEvent": true,
    "recipientAccountId": "XXXXXXXXXXXX",
    "serviceEventDetails": {
        "resetEnabledBaselineStatus": {
            "enabledBaselineDetails": {
                "arn": "arn:aws:controltower:us-west-2:XXXXXXXXXXXX:enabledbaseline/XXXXXXXXXXXXXXXX",
                "parentIdentifier": "arn:aws:controltower:us-west-2:XXXXXXXXXXXX:enabledbaseline/XXXXXXXXXXXXXXXX",
                "targetIdentifier": "arn:aws:organizations::XXXXXXXXXXXX:account/o-0uh2kplf6d/XXXXXXXXXXXX",
                "baselineIdentifier": "arn:aws:controltower:us-west-2::baseline/XXXXXXXXXXXXXXX",
                "baselineVersion": "1.0",
                "statusSummary": {
                    "lastOperationIdentifier": "3e364c89-89fa-42b8-9776-9f7cc47ba1fa",
                    "status": "SUCCEEDED"
                },
                "parameters": []
            },
            "requestedTimestamp": "2025-02-10T21:14:24Z",
            "completedTimestamp": "2025-02-10T21:17:54+0000"
        }
    },
    "eventCategory": "Management"
}

`UpdateEnabledBaseline`

Cet événement du cycle de vie enregistre si AWS Control Tower a correctement mis à jour la base de référence activée existante sur un compte de membre cible dans le cadre d'une unité d'organisation. Cet événement correspond à la tour de contrôle AWS RegisterOrganizationalUnit ou à UpdateEnabledBaseline CloudTrail des événements. Le journal des événements du cycle de vie inclut la référence qui a été activée et sa version, celle targetIdentifier sur laquelle la ligne de base a été activée, celle parentIdentifier de la référence activée sur l'unité d'organisation parente et l'statusSummaryaffichage de l'état SUCCEED ou FAILED, ainsi que les paramètres supplémentaires et l'horodatage de l'opération.


{
    "eventVersion": "1.11",
    "userIdentity": {
        "accountId": "XXXXXXXXXXXX",
        "invokedBy": "AWS Internal"
    },
    "eventTime": "2025-02-10T19:45:28Z",
    "eventSource": "controltower.amazonaws.com",
    "eventName": "UpdateEnabledBaseline",
    "awsRegion": "us-east-2",
    "sourceIPAddress": "AWS Internal",
    "userAgent": "AWS Internal",
    "requestParameters": null,
    "responseElements": null,
    "eventID": "514f2aff-1a99-4912-bda1-0d4d6662c96e",
    "readOnly": false,
    "eventType": "AwsServiceEvent",
    "managementEvent": true,
    "recipientAccountId": "XXXXXXXXXXXX",
    "serviceEventDetails": {
        "updateEnabledBaselineStatus": {
            "enabledBaselineDetails": {
                "arn": "arn:aws:controltower:us-east-2:XXXXXXXXXXXX:enabledbaseline/XXXXXXXXXXXXXXXX",
                "parentIdentifier": "arn:aws:controltower:us-east-2:XXXXXXXXXXXX:enabledbaseline/XXXXXXXXXXXXXXXX",
                "targetIdentifier": "arn:aws:organizations::XXXXXXXXXXXX:account/o-ern76xmzvf/XXXXXXXXXXXX",
                "baselineIdentifier": "arn:aws:controltower:us-east-2::baseline/XXXXXXXXXXXXXXX",
                "baselineVersion": "4.0",
                "statusSummary": {
                    "lastOperationIdentifier": "ba3de28f-83fb-4c9a-8a8c-a4e15fac2c41",
                    "status": "SUCCEEDED"
                },
                "parameters": [
                    {
                        "key": "IdentityCenterEnabledBaselineArn",
                        "value": {
                            "untyped": {
                                "object": "arn:aws:controltower:us-east-2:XXXXXXXXXXXX:enabledbaseline/XXXXXXXXXXXXXXXX"                            }
                        }
                    }
                ]
            },
            "requestedTimestamp": "2025-02-10T19:39:35+0000",
            "completedTimestamp": "2025-02-10T19:45:28+0000"
        }
    },
    "eventCategory": "Management"
}

`DisableBaseline`

Cet événement du cycle de vie enregistre si AWS Control Tower a réussi à désactiver la référence activée existante sur un compte de membre cible dans le cadre d'une unité d'organisation. Cet événement correspond à l'DisableBaseline CloudTrail événement AWS Control Tower. Le journal des événements du cycle de vie inclut la référence qui a été activée et sa version, celle targetIdentifier sur laquelle la ligne de base a été activée, celle parentIdentifier de la référence activée sur l'unité d'organisation parente et l'statusSummaryaffichage de l'état SUCCEED ou FAILED, ainsi que les paramètres supplémentaires et l'horodatage de l'opération.


{
    "eventVersion": "1.11",
    "userIdentity": {
        "accountId": "XXXXXXXXXXXX",
        "invokedBy": "AWS Internal"
    },
    "eventTime": "2025-03-14T00:50:58Z",
    "eventSource": "controltower.amazonaws.com",
    "eventName": "DisableBaseline",
    "awsRegion": "us-west-2",
    "sourceIPAddress": "AWS Internal",
    "userAgent": "AWS Internal",
    "requestParameters": null,
    "responseElements": null,
    "eventID": "704794c4-a32e-4960-8386-c7efaa5a22a1",
    "readOnly": false,
    "eventType": "AwsServiceEvent",
    "managementEvent": true,
    "recipientAccountId": "XXXXXXXXXXXX",
    "serviceEventDetails": {
        "disableBaselineStatus": {
            "enabledBaselineDetails": {
                "arn": "arn:aws:controltower:us-west-2:XXXXXXXXXXXX:enabledbaseline/XXXXXXXXXXXXXXXX",
                "parentIdentifier": "arn:aws:controltower:us-west-2:XXXXXXXXXXXX:enabledbaseline/XXXXXXXXXXXXXXXX",
                "targetIdentifier": "arn:aws:organizations::XXXXXXXXXXXX:account/o-0uh2kplf6d/XXXXXXXXXXXX",
                "baselineIdentifier": "arn:aws:controltower:us-west-2::baseline/XXXXXXXXXXXXXXX",
                "baselineVersion": "1.0",
                "statusSummary": {
                    "lastOperationIdentifier": "7b895594-0edb-48bc-9f3d-d88c2ad618df",
                    "status": "SUCCEEDED"
                },
                "parameters": []
            },
            "baselineDetails": {
                "arn": "arn:aws:controltower:us-west-2:XXXXXXXXXXXX:enabledbaseline/XXXXXXXXXXXXXXXX",
                "parentIdentifier": "arn:aws:controltower:us-west-2:XXXXXXXXXXXX:enabledbaseline/XXXXXXXXXXXXXXXX",
                "targetIdentifier": "arn:aws:organizations::XXXXXXXXXXXX:account/o-0uh2kplf6d/XXXXXXXXXXXX",
                "baselineIdentifier": "arn:aws:controltower:us-west-2::baseline/XXXXXXXXXXXXXXX",
                "baselineVersion": "1.0",
                "statusSummary": {
                    "lastOperationIdentifier": "7b895594-0edb-48bc-9f3d-d88c2ad618df",
                    "status": "SUCCEEDED"
                },
                "parameters": []
            },
            "requestedTimestamp": "2025-03-14T00:49:13Z",
            "completedTimestamp": "2025-03-14T00:50:58+0000"
        }
    },
    "eventCategory": "Management"
}

`EnableControl`

Cet événement du cycle de vie enregistre si AWS Control Tower a activé avec succès un contrôle sur un compte cible géré par AWS Control Tower. Cet événement correspond à l'EnableControl CloudTrail événement AWS Control Tower et est émis lorsqu'un contrôle est activé à l'aide de l'EnableControlAPI ou de la console. Le journal des événements du cycle controlIdentifier de vie inclut le contrôle qui a été activé, le arn contrôle activé qui en a résulté, le contrôle activé sur l'unité parentIdentifier d'organisation parent, le contrôle targetIdentifier sur lequel le contrôle a été activé et l'stateaffichage de l'état SUCCEED ou FAILED, ainsi que a message et les horodatages de l'opération.

Note

L'événement EnableControl du cycle de vie correspond à l'EnableControlAPI. AWS Control Tower émet également l'événement du EnableGuardrail cycle de vie existant lorsqu'un contrôle est activé. Si vous créez une automatisation qui réagit à l'activation des contrôles, tenez compte des deux noms d'événements.


{
    "eventVersion": "1.11",
    "userIdentity": {
        "accountId": "XXXXXXXXXXXX",
        "invokedBy": "AWS Internal"
    },
    "eventTime": "2026-01-07T15:59:28Z",
    "eventSource": "controltower.amazonaws.com",
    "eventName": "EnableControl",
    "awsRegion": "us-east-1",
    "sourceIPAddress": "AWS Internal",
    "userAgent": "AWS Internal",
    "requestParameters": null,
    "responseElements": null,
    "eventID": "a4f45d0d-ab6d-41c7-9f97-786d80ff23d2",
    "readOnly": false,
    "eventType": "AwsServiceEvent",
    "managementEvent": true,
    "recipientAccountId": "XXXXXXXXXXXX",
    "serviceEventDetails": {
        "enableControlStatus": {
            "arn": "arn:aws:controltower:us-east-1:XXXXXXXXXXXX:enabledcontrol/143RH67Q683RJ20V",
            "parentIdentifier": "arn:aws:controltower:us-east-1:XXXXXXXXXXXX:enabledcontrol/8WU3TCOLC0JPSV6T",
            "controlIdentifier": "arn:aws:controltower:us-east-1::control/AWS-GR_AUDIT_BUCKET_LOGGING_ENABLED",
            "targetIdentifier": "arn:aws:organizations::XXXXXXXXXXXX:account/o-k54j7iydcs/XXXXXXXXXXXX",
            "state": "SUCCEEDED",
            "message": "AWS Control Tower successfully enabled a control on the target.",
            "requestedTimestamp": "2026-01-07T15:59:24+0000",
            "completedTimestamp": "2026-01-07T15:59:28+0000"
        }
    },
    "eventCategory": "Management"
}

`ResetEnabledControl`

Cet événement du cycle de vie enregistre si AWS Control Tower a réussi à réinitialiser un contrôle activé existant sur un compte cible géré par AWS Control Tower. Cet événement correspond à l'ResetEnabledControl CloudTrail événement AWS Control Tower et est émis lorsqu'un contrôle activé est réinitialisé à l'aide de l'ResetEnabledControlAPI ou de la console. Le journal des événements du cycle controlIdentifier de vie inclut les informations du contrôle, arn du contrôle activé, parentIdentifier du contrôle activé sur l'unité d'organisation parente, le nom targetIdentifier sur lequel le contrôle a été réinitialisé et l'stateaffichage de l'état SUCCEED ou FAILED, ainsi que a message et les horodatages de l'opération.


{
    "eventVersion": "1.11",
    "userIdentity": {
        "accountId": "XXXXXXXXXXXX",
        "invokedBy": "AWS Internal"
    },
    "eventTime": "2026-01-07T16:10:42Z",
    "eventSource": "controltower.amazonaws.com",
    "eventName": "ResetEnabledControl",
    "awsRegion": "us-east-1",
    "sourceIPAddress": "AWS Internal",
    "userAgent": "AWS Internal",
    "requestParameters": null,
    "responseElements": null,
    "eventID": "c82d6f3a-4b9e-43ca-8d21-1a3f8d5b62e9",
    "readOnly": false,
    "eventType": "AwsServiceEvent",
    "managementEvent": true,
    "recipientAccountId": "XXXXXXXXXXXX",
    "serviceEventDetails": {
        "resetEnabledControlStatus": {
            "arn": "arn:aws:controltower:us-east-1:XXXXXXXXXXXX:enabledcontrol/143RH67Q683RJ20V",
            "parentIdentifier": "arn:aws:controltower:us-east-1:XXXXXXXXXXXX:enabledcontrol/8WU3TCOLC0JPSV6T",
            "controlIdentifier": "arn:aws:controltower:us-east-1::control/AWS-GR_AUDIT_BUCKET_LOGGING_ENABLED",
            "targetIdentifier": "arn:aws:organizations::XXXXXXXXXXXX:account/o-k54j7iydcs/XXXXXXXXXXXX",
            "state": "SUCCEEDED",
            "message": "AWS Control Tower has successfully reset the enabled control on the target.",
            "requestedTimestamp": "2026-01-07T16:10:36+0000",
            "completedTimestamp": "2026-01-07T16:10:42+0000"
        }
    },
    "eventCategory": "Management"
}

`UpdateEnabledControl`

Cet événement du cycle de vie enregistre si AWS Control Tower a correctement mis à jour un contrôle activé existant sur un compte cible géré par AWS Control Tower. Cet événement correspond à l'UpdateEnabledControl CloudTrail événement AWS Control Tower et est émis lorsqu'un contrôle activé est mis à jour à l'aide de l'UpdateEnabledControlAPI ou de la console. Le journal des événements du cycle controlIdentifier de vie inclut les informations relatives au arn contrôle, au contrôle activé, au contrôle activé sur l'unité parentIdentifier d'organisation parent, à la date à laquelle le targetIdentifier contrôle a été mis à jour et à l'stateaffichage de l'état SUCCEED ou FAILED, ainsi que a message et les horodatages de l'opération.


{
    "eventVersion": "1.11",
    "userIdentity": {
        "accountId": "XXXXXXXXXXXX",
        "invokedBy": "AWS Internal"
    },
    "eventTime": "2026-01-07T16:25:19Z",
    "eventSource": "controltower.amazonaws.com",
    "eventName": "UpdateEnabledControl",
    "awsRegion": "us-east-1",
    "sourceIPAddress": "AWS Internal",
    "userAgent": "AWS Internal",
    "requestParameters": null,
    "responseElements": null,
    "eventID": "d93e7a4b-5caf-44db-9e32-2b4a9e6c73fa",
    "readOnly": false,
    "eventType": "AwsServiceEvent",
    "managementEvent": true,
    "recipientAccountId": "XXXXXXXXXXXX",
    "serviceEventDetails": {
        "updateEnabledControlStatus": {
            "arn": "arn:aws:controltower:us-east-1:XXXXXXXXXXXX:enabledcontrol/143RH67Q683RJ20V",
            "parentIdentifier": "arn:aws:controltower:us-east-1:XXXXXXXXXXXX:enabledcontrol/8WU3TCOLC0JPSV6T",
            "controlIdentifier": "arn:aws:controltower:us-east-1::control/AWS-GR_AUDIT_BUCKET_LOGGING_ENABLED",
            "targetIdentifier": "arn:aws:organizations::XXXXXXXXXXXX:account/o-k54j7iydcs/XXXXXXXXXXXX",
            "state": "SUCCEEDED",
            "message": "AWS Control Tower successfully updated the enabled control on the target.",
            "requestedTimestamp": "2026-01-07T16:25:13+0000",
            "completedTimestamp": "2026-01-07T16:25:19+0000"
        }
    },
    "eventCategory": "Management"
}

`DisableControl`

Cet événement du cycle de vie enregistre si AWS Control Tower a réussi à désactiver un contrôle activé existant sur un compte cible géré par AWS Control Tower. Cet événement correspond à l'DisableControl CloudTrail événement AWS Control Tower et est émis lorsqu'un contrôle est désactivé à l'aide de l'DisableControlAPI ou de la console. Le journal des événements du cycle controlIdentifier de vie inclut les informations arn du contrôle, du contrôle activé, parentIdentifier du contrôle activé sur l'unité d'organisation parente, celui targetIdentifier sur lequel le contrôle a été désactivé et l'stateaffichage du statut RÉUSSI ou ÉCHEC, ainsi que a message et les horodatages de l'opération.

Note

AWS Control Tower émet également l'événement du DisableGuardrail cycle de vie existant lorsqu'un contrôle est désactivé. Si vous créez une automatisation qui réagit à la désactivation des contrôles, tenez compte des deux noms d'événements.


{
    "eventVersion": "1.11",
    "userIdentity": {
        "accountId": "XXXXXXXXXXXX",
        "invokedBy": "AWS Internal"
    },
    "eventTime": "2026-01-07T16:42:11Z",
    "eventSource": "controltower.amazonaws.com",
    "eventName": "DisableControl",
    "awsRegion": "us-east-1",
    "sourceIPAddress": "AWS Internal",
    "userAgent": "AWS Internal",
    "requestParameters": null,
    "responseElements": null,
    "eventID": "e04f8b5c-6dba-45ec-af43-3c5b0f7d84ab",
    "readOnly": false,
    "eventType": "AwsServiceEvent",
    "managementEvent": true,
    "recipientAccountId": "XXXXXXXXXXXX",
    "serviceEventDetails": {
        "disableControlStatus": {
            "arn": "arn:aws:controltower:us-east-1:XXXXXXXXXXXX:enabledcontrol/143RH67Q683RJ20V",
            "parentIdentifier": "arn:aws:controltower:us-east-1:XXXXXXXXXXXX:enabledcontrol/8WU3TCOLC0JPSV6T",
            "controlIdentifier": "arn:aws:controltower:us-east-1::control/AWS-GR_AUDIT_BUCKET_LOGGING_ENABLED",
            "targetIdentifier": "arn:aws:organizations::XXXXXXXXXXXX:account/o-k54j7iydcs/XXXXXXXXXXXX",
            "state": "SUCCEEDED",
            "message": "AWS Control Tower successfully disabled the enabled control on the target.",
            "requestedTimestamp": "2026-01-07T16:42:05+0000",
            "completedTimestamp": "2026-01-07T16:42:11+0000"
        }
    },
    "eventCategory": "Management"
}

Avertissement JavaScript est désactivé ou n'est pas disponible dans votre navigateur.

Pour que vous puissiez utiliser la documentation AWS, Javascript doit être activé. Vous trouverez des instructions sur les pages d'aide de votre navigateur.

Conventions de rédaction

Gérez les coûts de configuration

Notifications utilisateur