Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.
# Enregistrement des appels d'API AWS Lake Formation à l'aide de AWS CloudTrail
AWS Lake Formation est intégré à AWS CloudTrail un service qui fournit un enregistrement des actions entreprises par un utilisateur, un rôle ou un AWS service dans Lake Formation. CloudTrail capture tous les appels de l'API Lake Formation sous forme d'événements. Les appels capturés incluent les appels provenant de la console Lake Formation AWS Command Line Interface, les appels et les appels de code vers les actions de l'API Lake Formation. Si vous créez un suivi, vous pouvez activer la diffusion continue des CloudTrail événements vers un compartiment Amazon S3, y compris les événements relatifs à Lake Formation. Si vous ne configurez pas de suivi, vous pouvez toujours consulter les événements les plus récents dans la CloudTrail console dans **Historique des événements**. À l'aide des informations collectées par CloudTrail, vous pouvez déterminer la demande qui a été faite à Lake Formation, l'adresse IP à partir de laquelle la demande a été faite, qui a fait la demande, quand elle a été faite et des détails supplémentaires.
Pour en savoir plus CloudTrail, consultez le [https://docs.aws.amazon.com/awscloudtrail/latest/userguide/cloudtrail-user-guide.html](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/cloudtrail-user-guide.html).
## Informations sur la formation du lac en CloudTrail
CloudTrail est activé par défaut lorsque vous créez un nouveau AWS compte. Lorsqu'une activité se produit dans Lake Formation, cette activité est enregistrée en tant qu' CloudTrail événement avec les autres événements de AWS service dans **l'historique des événements**. Un événement représente une demande émise par une source et comprend des informations sur l'action demandée, la date et l'heure de l'action, et les paramètres de la demande. En outre, chaque événement ou entrée de journal contient des informations sur l'auteur de la demande. Les informations relatives à l’identité permettent de déterminer les éléments suivants :
+ Si la demande a été faite avec les informations d'identification de l'utilisateur root ou Gestion des identités et des accès AWS (IAM).
+ Si la demande a été effectuée avec les informations d’identification de sécurité temporaires d’un rôle ou d’un utilisateur fédéré.
+ Si la demande a été faite par un autre AWS service.
Pour de plus amples informations, veuillez consulter l'[élément userIdentity CloudTrail ](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/cloudtrail-event-reference-user-identity.html).
Vous pouvez consulter, rechercher et télécharger les événements récents pour votre AWS compte. Pour plus d'informations, consultez la section [Affichage des événements avec l'historique des CloudTrail événements](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/view-cloudtrail-events.html).
Pour un enregistrement continu des événements enregistrés sur votre AWS compte, y compris les événements liés à Lake Formation, créez un parcours. Un *suivi* permet CloudTrail de fournir des fichiers journaux à un compartiment Amazon S3. Par défaut, lorsque vous créez un journal de suivi dans la console, il s’applique à toutes les régions AWS . Le journal enregistre les événements de toutes les régions de la AWS partition et transmet les fichiers journaux au compartiment Amazon S3 que vous spécifiez. En outre, vous pouvez configurer d'autres AWS services, par exemple Amazon Athena pour analyser plus en profondeur et agir sur les données d'événements collectées dans CloudTrail les journaux. CloudTrail peut également envoyer des fichiers journaux à Amazon CloudWatch Logs and CloudWatch Events.
Pour plus d’informations, consultez les ressources suivantes :
+ [Présentation de la création d’un journal de suivi](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/cloudtrail-create-and-update-a-trail.html)
+ [CloudTrail services et intégrations pris en charge](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/cloudtrail-aws-service-specific-topics.html)
+ [Configuration des notifications Amazon SNS pour CloudTrail](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/configure-sns-notifications-for-cloudtrail.html)
+ [Réception de fichiers CloudTrail journaux de plusieurs régions](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/receive-cloudtrail-log-files-from-multiple-regions.html) et [réception de fichiers CloudTrail journaux de plusieurs comptes](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/cloudtrail-receive-logs-from-multiple-accounts.html)
## Comprendre les événements liés à la Lake Formation
Toutes les actions de l'API Lake Formation sont enregistrées CloudTrail et documentées dans le Guide du AWS Lake Formation développeur. Par exemple, les appels aux `PutDataLakeSettings``GrantPermissions`, et `RevokePermissions` les actions génèrent des entrées dans les fichiers CloudTrail journaux.
L'exemple suivant montre un CloudTrail événement associé à l'`GrantPermissions`action. L'entrée inclut l'utilisateur qui a accordé l'autorisation (`datalake_admin`), le principal auquel l'autorisation a été accordée (`datalake_user1`) et l'autorisation accordée (`CREATE_TABLE`). L'entrée indique également que l'autorisation a échoué car la base de données cible n'a pas été spécifiée dans l'`resource`argument.
```
{
"eventVersion": "1.08",
"userIdentity": {
"type": "IAMUser",
"principalId": "AIDAZKE67KM3P775X74U2",
"arn": "arn:aws:iam::111122223333:user/datalake_admin",
"accountId": "111122223333",
"accessKeyId": "...",
"userName": "datalake_admin"
},
"eventTime": "2021-02-06T00:43:21Z",
"eventSource": "lakeformation.amazonaws.com",
"eventName": "GrantPermissions",
"awsRegion": "us-east-1",
"sourceIPAddress": "72.21.198.65",
"userAgent": "aws-cli/1.19.0 Python/3.6.12 Linux/4.9.230-0.1.ac.223.84.332.metal1.x86_64 botocore/1.20.0",
"errorCode": "InvalidInputException",
"errorMessage": "Resource must have one of the have either the catalog, table or database field populated.",
"requestParameters": {
"principal": {
"dataLakePrincipalIdentifier": "arn:aws:iam::111122223333:user/datalake_user1"
},
"resource": {},
"permissions": [
"CREATE_TABLE"
]
},
"responseElements": null,
"requestID": "b85e863f-e75d-4fc0-9ff0-97f943f706e7",
"eventID": "8d2ccef0-55f3-42d3-9ede-3a6faedaa5c1",
"readOnly": false,
"eventType": "AwsApiCall",
"managementEvent": true,
"eventCategory": "Management",
"recipientAccountId": "111122223333"
}
```
L'exemple suivant montre une entrée de CloudTrail journal pour l'`GetDataAccess`action. Les directeurs n'appellent pas directement cette API. `GetDataAccess`Il est plutôt enregistré chaque fois qu'un AWS service principal ou intégré demande des informations d'identification temporaires pour accéder aux données d'un lac de données enregistré auprès de Lake Formation.
```
{
"eventVersion": "1.05",
"userIdentity": {
"type": "AWSAccount",
"principalId": "AROAQGFTBBBGOBWV2EMZA:GlueJobRunnerSession",
"accountId": "111122223333"
},
"eventSource": "lakeformation.amazonaws.com",
"eventName": "GetDataAccess",
...
...
"additionalEventData": {
"requesterService": "GLUE_JOB",
"lakeFormationPrincipal": "arn:aws:iam::111122223333:role/ETL-Glue-Role",
"lakeFormationRoleSessionName": "AWSLF-00-GL-111122223333-G13T0Rmng2"
},
...
}
```
### Tracer l'accès aux données CloudTrail grâce à Lake Formation
Lake Formation fournit des informations d'identification temporaires et limitées aux moteurs de requête, tels qu'Amazon EMR AWS Glue et, pour accéder à l'emplacement des données des tables dans Amazon S3. Lake Formation utilise le rôle IAM que vous spécifiez lorsque vous [enregistrez un emplacement de données](https://docs.aws.amazon.com/lake-formation/latest/dg/register-location.html) auprès de Lake Formation pour vendre ces informations d'identification.
#### Modification du comportement de CloudTrail journalisation (février 2026)
**Avant février 2026**, lorsqu'un moteur de requête `s3:GetObject` appelait pour récupérer les données de requête, les CloudTrail journaux indiquaient le rôle IAM d'enregistrement de Lake Formation en tant que principal.
**À compter de février 2026**, CloudTrail les journaux des `s3:GetObject` appels incluent également l'[identifiant unique IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_identifiers.html#identifiers-prefixes) (commençant par`AROA`) du rôle IAM à l'origine de la requête. Cet identifiant correspond au rôle IAM qui a lancé la requête, la tâche Amazon EMR AWS Glue ou la tâche ETL.
#### Suivi de l'accès aux données depuis le lancement de la requête vers Amazon S3
Chaque `s3:GetObject` appel entrant CloudTrail correspond à un `lakeformation:GetDataAccess` appel. Vous pouvez utiliser l'identifiant de rôle IAM présent dans les deux entrées du journal pour suivre le rôle IAM de l'appelant depuis le lancement de la requête jusqu'à l'accès aux données dans Amazon S3.
Pour activer les informations relatives à l'identité de la source dans les CloudTrail journaux des événements de données Amazon S3, suivez les étapes ci-dessous. Pour activer les événements de données Amazon S3 dans CloudTrail, consultez [Activation de la journalisation des CloudTrail événements pour les buckets et les objets Amazon S3](https://docs.aws.amazon.com/AmazonS3/latest/userguide/enable-cloudtrail-logging-for-s3.html).
**Important**
L'activation des événements de données Amazon S3 CloudTrail entraîne des frais supplémentaires.
**Pour activer le suivi de l'identité de la source dans CloudTrail les journaux**
1. En utilisant, exécutez la `get-data-lake-settings` commande. Dans la réponse, modifiez le `Parameters` champ à ajouter`"SET_SOURCE_IDENTITY": "TRUE"`.
Exécutez la commande `put-data-lake-settings`.
```
"Parameters": {
"CROSS_ACCOUNT_VERSION": "4",
"SET_SOURCE_IDENTITY": "TRUE"
},
```
1. Dans la politique de confiance du rôle IAM utilisé pour enregistrer l'emplacement de vos données Amazon S3 auprès de Lake Formation, ajoutez `sts:SetSourceIdentity` :
```
{
"Version": "2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Principal": {
"Service": [
"lakeformation.amazonaws.com"
]
},
"Action": [
"sts:AssumeRole",
"sts:SetSourceIdentity"
]
}
]
}
```
Le journal suivant présente les informations d'identité de la source dans un exemple de `s3:GetObject` CloudTrail journal.
```
"sessionContext": {
"sessionIssuer": {
"type": "Role",
"principalId": "AROA2EXAMPLEXYZ3AB6CDKLM",
"arn": "arn:aws:iam::111122223333:role/LFRegistrationRole",
"accountId": "111122223333",
"userName": "LFRegistrationRole"
},
"sourceIdentity": "V2.111122223333.AROA3EXAMPLEPQR7ST9UVWXY"
},
"invokedBy": "glue.amazonaws.com"
```
**Voir aussi**
Pour plus d'informations sur le suivi du contexte utilisateur d'IAM Identity Center dans CloudTrail les journaux, consultez[Intégration d'IAM Identity Center](identity-center-integration.md).
**Surveillance de l'accès aux catalogues fédérés Amazon Redshift**
Les catalogues fédérés Amazon Redshift figurent dans les journaux « AWS Glue Data Catalog Ne génèrent pas d'événements dans les journaux de `GetDataAccess` Lake Formation ». CloudTrail Pour suivre l'accès aux données pour les tables Amazon Redshift dans le catalogue de données, le moniteur `GetTable` et les `BatchGetTable` événements, qui capturent les modèles d'accès aux métadonnées pour les tables fédérées Redshift, notamment le nom de la table, le nom de la base de données et les informations d'identification du catalogue.
**Voir aussi**
[Journalisation entre comptes CloudTrail](cross-account-logging.md)