Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Salin peristiwa jejak ke penyimpanan data acara

Anda dapat menyalin peristiwa jejak ke penyimpanan data acara CloudTrail Lake untuk membuat point-in-time snapshot peristiwa yang dicatat ke jejak. Menyalin peristiwa jejak tidak mengganggu kemampuan jejak untuk mencatat peristiwa dan tidak mengubah jejak dengan cara apa pun.

Anda dapat menyalin peristiwa jejak ke penyimpanan data peristiwa yang ada yang dikonfigurasi untuk CloudTrail acara, atau Anda dapat membuat penyimpanan data CloudTrail acara baru dan memilih opsi Salin peristiwa jejak sebagai bagian dari pembuatan penyimpanan data acara. Untuk informasi selengkapnya tentang menyalin peristiwa jejak ke penyimpanan data acara yang ada, lihatSalin peristiwa jejak ke penyimpanan data acara yang ada dengan konsol. Untuk informasi selengkapnya tentang membuat penyimpanan data acara baru, lihatBuat penyimpanan data acara untuk CloudTrail acara dengan konsol.

Jika Anda menyalin peristiwa jejak ke penyimpanan data acara organisasi, Anda harus menggunakan akun manajemen untuk organisasi. Anda tidak dapat menyalin peristiwa jejak menggunakan akun administrator yang didelegasikan untuk organisasi.

CloudTrail Penyimpanan data acara danau dikenakan biaya. Saat Anda membuat penyimpanan data acara, Anda memilih opsi harga yang ingin Anda gunakan untuk penyimpanan data acara. Opsi penetapan harga menentukan biaya untuk menelan dan menyimpan peristiwa, dan periode retensi default dan maksimum untuk penyimpanan data acara. Untuk informasi tentang CloudTrail penetapan harga dan pengelolaan biaya Danau, lihat AWS CloudTrail Harga danMengelola biaya CloudTrail Danau.

Saat Anda menyalin peristiwa jejak ke penyimpanan data acara CloudTrail Lake, Anda dikenakan biaya berdasarkan jumlah data tidak terkompresi yang dikonsumsi oleh penyimpanan data acara.

Saat Anda menyalin peristiwa jejak ke CloudTrail Lake, CloudTrail buka ritsleting log yang disimpan dalam format gzip (terkompresi) dan kemudian menyalin peristiwa yang terdapat dalam log ke penyimpanan data acara Anda. Ukuran data yang tidak terkompresi bisa lebih besar dari ukuran penyimpanan S3 yang sebenarnya. Untuk mendapatkan perkiraan umum ukuran data yang tidak terkompresi, Anda dapat mengalikan ukuran log di bucket S3 dengan 10.

Anda dapat mengurangi biaya dengan menentukan rentang waktu yang lebih sempit untuk acara yang disalin. Jika Anda berencana untuk hanya menggunakan penyimpanan data acara untuk menanyakan peristiwa yang disalin, Anda dapat menonaktifkan konsumsi acara untuk menghindari timbulnya biaya pada peristiwa masa depan. Untuk informasi lebih lanjut, lihat AWS CloudTrail Harga danMengelola biaya CloudTrail Danau.

Skenario

Tabel berikut menjelaskan beberapa skenario umum untuk menyalin peristiwa jejak dan bagaimana Anda menyelesaikan setiap skenario menggunakan konsol.

Pertimbangan untuk menyalin acara jejak

Pertimbangkan faktor-faktor berikut saat menyalin peristiwa jejak.

Izin yang diperlukan untuk menyalin peristiwa jejak

Sebelum menyalin peristiwa jejak, pastikan Anda memiliki semua izin yang diperlukan untuk peran AndaIAM. Anda hanya perlu memperbarui izin IAM peran jika memilih IAM peran yang ada untuk menyalin peristiwa jejak. Jika Anda memilih untuk membuat IAM peran baru, CloudTrail berikan semua izin yang diperlukan untuk peran tersebut.

Jika bucket S3 sumber menggunakan KMS kunci untuk enkripsi data, pastikan kebijakan KMS kunci memungkinkan CloudTrail untuk mendekripsi data dalam bucket. Jika bucket S3 sumber menggunakan beberapa KMS kunci, Anda harus memperbarui kebijakan setiap kunci agar memungkinkan CloudTrail untuk mendekripsi data di bucket.

IAMizin untuk menyalin peristiwa jejak

Saat menyalin peristiwa jejak, Anda memiliki opsi untuk membuat IAM peran baru, atau menggunakan peran yang adaIAM. Saat Anda memilih peran baru, CloudTrail buat IAM IAM peran dengan izin yang diperlukan dan tidak ada tindakan lebih lanjut yang diperlukan di pihak Anda.

Jika Anda memilih peran yang ada, pastikan kebijakan IAM peran memungkinkan CloudTrail untuk menyalin peristiwa jejak dari bucket S3 sumber. Bagian ini memberikan contoh izin IAM peran dan kebijakan kepercayaan yang diperlukan.

Contoh berikut menyediakan kebijakan izin, yang memungkinkan CloudTrail untuk menyalin peristiwa jejak dari bucket S3 sumber. Ganti amzn-s3-demo-bucket, myAccountID, region, prefix, dan eventDataStoreId dengan nilai yang sesuai untuk konfigurasi Anda. Bagian myAccountID adalah ID AWS akun yang digunakan untuk CloudTrail Lake, yang mungkin tidak sama dengan ID AWS akun untuk bucket S3.

Ganti key-region, keyAccountID, dan keyID dengan nilai untuk KMS kunci yang digunakan untuk mengenkripsi bucket S3 sumber. Anda dapat menghilangkan AWSCloudTrailImportKeyAccess pernyataan jika bucket S3 sumber tidak menggunakan KMS kunci untuk enkripsi.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AWSCloudTrailImportBucketAccess",
      "Effect": "Allow",
      "Action": ["s3:ListBucket", "s3:GetBucketAcl"],
      "Resource": [
        "arn:aws:s3:::amzn-s3-demo-bucket"
      ],
      "Condition": {
        "StringEquals": {
          "aws:SourceAccount": "myAccountID",
          "aws:SourceArn": "arn:aws:cloudtrail:region:myAccountID:eventdataStore/eventDataStoreId"
         }
       }
    },
    {
      "Sid": "AWSCloudTrailImportObjectAccess",
      "Effect": "Allow",
      "Action": ["s3:GetObject"],
      "Resource": [
        "arn:aws:s3:::amzn-s3-demo-bucket/prefix",
        "arn:aws:s3:::amzn-s3-demo-bucket/prefix/*"
      ],
      "Condition": {
        "StringEquals": {
          "aws:SourceAccount": "myAccountID",
          "aws:SourceArn": "arn:aws:cloudtrail:region:myAccountID:eventdataStore/eventDataStoreId"
         }
       }
    },
    {
      "Sid": "AWSCloudTrailImportKeyAccess",
      "Effect": "Allow",
      "Action": ["kms:GenerateDataKey","kms:Decrypt"],
      "Resource": [
        "arn:aws:kms:key-region:keyAccountID:key/keyID"
      ]
    }
  ]
}

Contoh berikut memberikan kebijakan IAM kepercayaan, yang memungkinkan CloudTrail untuk mengambil IAM peran untuk menyalin peristiwa jejak dari bucket S3 sumber. Ganti myAccountID, region, dan eventDataStoreArn dengan nilai yang sesuai untuk konfigurasi Anda. Bagian myAccountID adalah Akun AWS ID yang digunakan untuk CloudTrail Lake, yang mungkin tidak sama dengan ID AWS akun untuk bucket S3.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "cloudtrail.amazonaws.com"
      },
      "Action": "sts:AssumeRole",
      "Condition": {
        "StringEquals": {
          "aws:SourceAccount": "myAccountID",
          "aws:SourceArn": "arn:aws:cloudtrail:region:myAccountID:eventdataStore/eventDataStoreId"
        }
      }
    }
  ]
}
                

Kebijakan bucket Amazon S3 untuk menyalin peristiwa jejak

Secara default, ember dan objek Amazon S3 bersifat pribadi. Hanya pemilik sumber daya ( AWS akun yang membuat bucket) yang dapat mengakses bucket dan objek yang dikandungnya. Pemilik sumber daya dapat memberikan izin akses ke sumber daya dan pengguna lain dengan menulis kebijakan akses.

Sebelum menyalin peristiwa jejak, Anda harus memperbarui kebijakan bucket S3 CloudTrail agar dapat menyalin peristiwa jejak dari bucket S3 sumber.

Anda dapat menambahkan pernyataan berikut ke kebijakan bucket S3 untuk memberikan izin ini. Ganti roleArn and amzn-s3-demo-bucket dengan nilai yang sesuai untuk konfigurasi Anda.

{
  "Sid": "AWSCloudTrailImportBucketAccess",
  "Effect": "Allow",
  "Action": [
    "s3:ListBucket",
    "s3:GetBucketAcl",
    "s3:GetObject"
  ],
  "Principal": {
    "AWS": "roleArn"
  },
  "Resource": [
    "arn:aws:s3:::amzn-s3-demo-bucket",
    "arn:aws:s3:::amzn-s3-demo-bucket/*"
  ]
},

KMSkebijakan kunci untuk mendekripsi data di bucket S3 sumber

Jika bucket S3 sumber menggunakan KMS kunci untuk enkripsi data, pastikan kebijakan KMS kunci menyediakan CloudTrail kms:Decrypt dan kms:GenerateDataKey izin yang diperlukan untuk menyalin peristiwa jejak dari bucket S3 dengan enkripsi SSE - KMS diaktifkan. Jika bucket S3 sumber Anda menggunakan beberapa KMS kunci, Anda harus memperbarui kebijakan setiap kunci. Memperbarui kebijakan KMS kunci memungkinkan CloudTrail untuk mendekripsi data di bucket S3 sumber, menjalankan pemeriksaan validasi untuk memastikan bahwa peristiwa sesuai dengan CloudTrail standar, dan menyalin peristiwa ke penyimpanan data peristiwa Lake. CloudTrail

Contoh berikut menyediakan kebijakan KMS kunci, yang memungkinkan CloudTrail untuk mendekripsi data di bucket S3 sumber. Ganti roleArn, amzn-s3-demo-bucket, myAccountID, region, dan eventDataStoreId dengan nilai yang sesuai untuk konfigurasi Anda. Bagian myAccountID adalah ID AWS akun yang digunakan untuk CloudTrail Lake, yang mungkin tidak sama dengan ID AWS akun untuk bucket S3.

{
  "Sid": "AWSCloudTrailImportDecrypt",
  "Effect": "Allow",
  "Action": [
          "kms:Decrypt",
          "kms:GenerateDataKey"
  ],
  "Principal": {
    "AWS": "roleArn"
  },
  "Resource": "*",
  "Condition": {
    "StringLike": {
      "kms:EncryptionContext:aws:s3:arn": "arn:aws:s3:::amzn-s3-demo-bucket/*"
    },
    "StringEquals": {
      "aws:SourceAccount": "myAccountID",
      "aws:SourceArn": "arn:aws:cloudtrail:region:myAccountID:eventdataStore/eventDataStoreId"
    }
  }
}