Memfilter peristiwa data dengan menggunakan pemilih acara tingkat lanjut - AWS CloudTrail
Bagaimana CloudTrail mengevaluasi beberapa kondisi untuk suatu bidangMemfilter peristiwa data berdasarkan eventNameMemfilter peristiwa data berdasarkan resources.ARNMemfilter peristiwa data berdasarkan nilai readOnly

Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Memfilter peristiwa data dengan menggunakan pemilih acara tingkat lanjut

Bagian ini menjelaskan bagaimana Anda dapat menggunakan penyeleksi acara lanjutan untuk membuat penyeleksi berbutir halus, yang membantu Anda mengontrol biaya dengan hanya mencatat peristiwa data tertentu yang menarik.

Sebagai contoh:

  • Anda dapat menyertakan atau mengecualikan API panggilan tertentu dengan menambahkan filter di eventName lapangan.

  • Anda dapat menyertakan atau mengecualikan pencatatan untuk sumber daya tertentu dengan menambahkan filter di resources.ARN bidang. Misalnya, jika Anda mencatat peristiwa data S3, Anda dapat mengecualikan pencatatan untuk bucket S3 untuk jejak Anda.

  • Anda dapat memilih untuk mencatat hanya peristiwa hanya-tulis atau peristiwa hanya-baca dengan menambahkan filter pada bidang. readOnly

Tabel berikut memberikan informasi tambahan tentang bidang yang dapat dikonfigurasi untuk pemilih acara lanjutan.

Bidang Diperlukan Operator yang valid Deskripsi

eventCategory

Ya

Equals

Bidang ini diatur Data untuk mencatat peristiwa data.

resources.type

Ya

Equals

Bidang ini digunakan untuk memilih jenis sumber daya yang ingin Anda log peristiwa data. Tabel peristiwa Data menunjukkan nilai yang mungkin.

readOnly

Tidak

Equals

Ini adalah bidang opsional yang digunakan untuk menyertakan atau mengecualikan peristiwa data berdasarkan readOnly nilainya. Nilai true log hanya membaca peristiwa. Nilai false log hanya menulis peristiwa. Jika Anda tidak menambahkan bidang ini, CloudTrail log acara baca dan tulis.

eventName

Tidak

EndsWith

Equals

NotEndsWith

NotEquals

NotStartsWith

StartsWith

Ini adalah file opsional yang digunakan untuk menyaring atau menyaring peristiwa data apa pun yang dicatat CloudTrail, seperti atau. PutBucket GetSnapshotBlock

Jika Anda menggunakan AWS CLI, Anda dapat menentukan beberapa nilai dengan memisahkan setiap nilai dengan koma.

Jika Anda menggunakan konsol, Anda dapat menentukan beberapa nilai dengan membuat kondisi untuk setiap yang ingin eventName Anda filter.

resources.ARN

Tidak

EndsWith

Equals

NotEndsWith

NotEquals

NotStartsWith

StartsWith

Ini adalah bidang opsional yang digunakan untuk mengecualikan atau menyertakan peristiwa data untuk sumber daya tertentu dengan menyediakanresources.ARN. Anda dapat menggunakan operator mana punresources.ARN, tetapi jika Anda menggunakan Equals atauNotEquals, nilainya harus sama persis dengan sumber daya yang valid untuk yang telah resoureces.type Anda tentukan. ARN Untuk mencatat semua peristiwa data untuk semua objek dalam bucket S3 tertentu, gunakan StartsWith operator, dan sertakan hanya bucket ARN sebagai nilai yang cocok.

Jika Anda menggunakan AWS CLI, Anda dapat menentukan beberapa nilai dengan memisahkan setiap nilai dengan koma.

Jika Anda menggunakan konsol, Anda dapat menentukan beberapa nilai dengan membuat kondisi untuk setiap yang ingin resources.ARN Anda filter.

Untuk mencatat peristiwa data menggunakan CloudTrail konsol, Anda memilih opsi Peristiwa data lalu pilih jenis peristiwa data yang menarik saat Anda membuat atau memperbarui penyimpanan data jejak atau peristiwa. Tabel peristiwa data menunjukkan kemungkinan jenis peristiwa data yang dapat Anda pilih di CloudTrail konsol.

Pemilihan jenis peristiwa data SNStopik di konsol.

Untuk mencatat peristiwa data dengan AWS CLI, konfigurasikan --advanced-event-selector parameter untuk mengatur eventCategory sama dengan Data dan resources.type nilai sama dengan nilai tipe sumber daya yang ingin Anda log peristiwa data. Tabel peristiwa Data mencantumkan jenis sumber daya yang tersedia.

Misalnya, jika Anda ingin mencatat peristiwa data untuk semua kumpulan Identitas Cognito, Anda akan mengonfigurasi --advanced-event-selectors parameter agar terlihat seperti ini:

--advanced-event-selectors '[
    {
       "Name": "Log Cognito data events on Identity pools",
       "FieldSelectors": [
         { "Field": "eventCategory", "Equals": ["Data"] },
         { "Field": "resources.type", "Equals": ["AWS::Cognito::IdentityPool"] }
       ]
     }
]'

Contoh sebelumnya mencatat semua peristiwa data Cognito di kumpulan Identity. Anda dapat lebih lanjut menyempurnakan pemilih acara lanjutan untuk memfilter padaeventName,readOnly, dan resources.ARN bidang untuk mencatat peristiwa tertentu yang menarik atau mengecualikan peristiwa yang tidak menarik.

Anda dapat mengonfigurasi pemilih acara lanjutan untuk memfilter peristiwa data berdasarkan beberapa bidang. Misalnya, Anda dapat mengonfigurasi penyeleksi peristiwa lanjutan untuk mencatat semua Amazon PutObject S3 DeleteObject API dan panggilan tetapi mengecualikan pencatatan peristiwa untuk bucket S3 tertentu seperti yang ditunjukkan pada contoh berikut. Ganti amzn-s3-demo-bucket dengan nama ember Anda.

--advanced-event-selectors
'[
  {
    "Name": "Log PutObject and DeleteObject events for all but one bucket",
    "FieldSelectors": [
      { "Field": "eventCategory", "Equals": ["Data"] },
      { "Field": "resources.type", "Equals": ["AWS::S3::Object"] },
      { "Field": "eventName", "Equals": ["PutObject","DeleteObject"] },
      { "Field": "resources.ARN", "NotStartsWith": ["arn:aws:s3:::amzn-s3-demo-bucket/"] }
    ]
  }
]'

Anda juga dapat menyertakan beberapa kondisi untuk bidang. Untuk informasi tentang bagaimana beberapa kondisi dievaluasi, lihatBagaimana CloudTrail mengevaluasi beberapa kondisi untuk suatu bidang.

Anda dapat menggunakan pemilih acara lanjutan untuk mencatat peristiwa manajemen dan data. Untuk mencatat peristiwa data untuk beberapa jenis sumber daya, tambahkan pernyataan pemilih bidang untuk setiap jenis sumber daya yang ingin Anda log peristiwa data.

catatan

Trails dapat menggunakan penyeleksi acara dasar atau pemilih acara lanjutan, tetapi tidak keduanya. Jika Anda menerapkan penyeleksi acara lanjutan ke jejak, pemilih acara dasar apa pun yang ada akan ditimpa.

Bagaimana CloudTrail mengevaluasi beberapa kondisi untuk suatu bidang

Untuk penyeleksi acara tingkat lanjut, CloudTrail evaluasi beberapa kondisi untuk bidang sebagai berikut:

  • DESELECTOperator AND akan bersama-sama. Jika salah satu kondisi DESELECT operator terpenuhi, acara tidak dikirimkan. Ini adalah DESELECT operator yang valid untuk pemilih acara tingkat lanjut:

    • NotEndsWith

    • NotEquals

    • NotStartsWith

  • SELECTOperator atau akan bersama-sama. Ini adalah SELECT operator yang valid untuk pemilih acara tingkat lanjut:

    • EndsWith

    • Equals

    • StartsWith

  • Kombinasi SELECT dan DESELECT operator mengikuti aturan di atas dan kedua grup AND akan bersama-sama.

Contoh yang menunjukkan beberapa kondisi untuk resources.ARN bidang

Contoh pernyataan pemilih peristiwa berikut mengumpulkan peristiwa data untuk jenis AWS::S3::Object sumber daya dan menerapkan beberapa kondisi di resources.ARN lapangan.

{
    "Name": "S3Select",
    "FieldSelectors": [
      {
        "Field": "eventCategory",
        "Equals": [
          "Data"
        ]
      },
      {
        "Field": "resources.type",
        "Equals": [
          "AWS::S3::Object"
        ]
      },
      {
        "Field": "resources.ARN",
        "Equals": [
          "arn:aws:s3:::amzn-s3-demo-bucket/object1"
        ],
        "StartsWith": [
          "arn:aws:s3:::amzn-s3-demo-bucket/"
        ],
        "EndsWith": [
          "object3"
        ],
        "NotStartsWith": [
          "arn:aws:s3:::amzn-s3-demo-bucket/deselect"
        ],
        "NotEndsWith": [
          "object5"
        ],
        "NotEquals": [
          "arn:aws:s3:::amzn-s3-demo-bucket/object6"
        ]
      }
    ]
  }

Dalam contoh sebelumnya, peristiwa data Amazon S3 untuk sumber daya akan AWS::S3::Object dikirimkan jika:

  1. Tak satu pun dari kondisi DESELECT operator ini terpenuhi:

    • resources.ARNbidang NotStartsWith nilainya arn:aws:s3:::amzn-s3-demo-bucket/deselect

    • resources.ARNbidang NotEndsWith nilainya object5

    • resources.ARNbidang NotEquals nilainya arn:aws:s3:::amzn-s3-demo-bucket/object6

  2. Setidaknya satu dari kondisi SELECT operator ini terpenuhi:

    • resources.ARNbidang Equals nilainya arn:aws:s3:::amzn-s3-demo-bucket/object1

    • resources.ARNbidang StartsWith nilainya arn:aws:s3:::amzn-s3-demo-bucket/

    • resources.ARNbidang EndsWith nilainya object3

Berdasarkan logika evaluasi:

  1. Peristiwa data untuk amzn-s3-demo-bucket/object1 akan dikirimkan karena cocok dengan nilai untuk Equals operator dan tidak cocok dengan nilai apa pun untukNotStartsWith,NotEndsWith, dan NotEquals operator.

  2. Peristiwa data untuk amzn-s3-demo-bucket/object2 akan dikirimkan karena cocok dengan nilai untuk StartsWith operator dan tidak cocok dengan nilai apa pun untukNotStartsWith,NotEndsWith, dan NotEquals operator.

  3. Peristiwa data untuk amzn-s3-demo-bucket1/object3 akan dikirimkan karena cocok dengan EndsWith operator dan tidak cocok dengan nilai apa pun untukNotStartsWith,NotEndsWith, dan NotEquals operator.

  4. Peristiwa data untuk tidak arn:aws:s3:::amzn-s3-demo-bucket/deselectObject4 akan dikirimkan karena cocok dengan kondisi untuk NotStartsWith meskipun sesuai dengan kondisi untuk StartsWith operator.

  5. Peristiwa data untuk tidak arn:aws:s3:::amzn-s3-demo-bucket/object5 akan dikirimkan karena cocok dengan kondisi untuk NotEndsWith meskipun sesuai dengan kondisi untuk StartsWith operator.

  6. Peristiwa data untuk tidak arn:aws:s3:::amzn-s3-demo-bucket/object6 akan terkirim karena sesuai dengan kondisi NotEquals operator meskipun sesuai dengan kondisi StartsWith operator.

Memfilter peristiwa data berdasarkan eventName

Menggunakan pemilih acara tingkat lanjut, Anda dapat menyertakan atau mengecualikan peristiwa berdasarkan nilai eventName bidang. Pemfilteran pada eventName dapat membantu mengontrol biaya, karena Anda menghindari mengeluarkan biaya saat Layanan AWS Anda mencatat peristiwa data untuk menambahkan dukungan untuk data baru. APIs

Anda dapat menggunakan operator apa pun dengan eventName bidang tersebut. Anda dapat menggunakannya untuk menyaring atau menyaring peristiwa data apa pun yang dicatat CloudTrail, seperti atau. PutBucket GetSnapshotBlock

Memfilter peristiwa data dengan eventName menggunakan AWS Management Console

Ambil langkah-langkah berikut untuk memfilter di eventName bidang menggunakan CloudTrail konsol.

  1. Ikuti langkah-langkah dalam prosedur create trail, atau ikuti langkah-langkah dalam prosedur create event data store.

  2. Saat Anda mengikuti langkah-langkah untuk membuat penyimpanan data jejak atau acara, buat pilihan berikut:

    1. Pilih Peristiwa data.

    2. Pilih jenis peristiwa Data yang ingin Anda catat peristiwa data.

    3. Untuk template pemilih Log, pilih Kustom.

    4. (Opsional) Dalam nama Selector, masukkan nama untuk mengidentifikasi pemilih Anda. Nama pemilih adalah nama deskriptif untuk pemilih peristiwa lanjutan, seperti “Log peristiwa data hanya untuk dua bucket S3”. Nama pemilih terdaftar seperti Name pada pemilih acara lanjutan dan dapat dilihat jika Anda memperluas tampilan. JSON

    5. Di Selektor acara lanjutan, lakukan hal berikut untuk memfilter padaeventName:

      1. Untuk Field, pilih eventName.

      2. Untuk Operator, pilih operator kondisi. Dalam contoh ini, kita akan memilih sama karena kita ingin mencatat API panggilan tertentu.

      3. Untuk Nilai, masukkan nama acara yang ingin Anda filter.

      4. Untuk memfilter yang laineventName, pilih + Kondisi. Untuk informasi tentang cara CloudTrail mengevaluasi beberapa kondisi, lihatBagaimana CloudTrail mengevaluasi beberapa kondisi untuk suatu bidang.

      Filter peristiwa data S3 berdasarkan eventName

    6. Pilih +Bidang untuk menambahkan filter pada bidang lain.

Memfilter peristiwa data dengan eventName menggunakan AWS CLI

Dengan menggunakan AWS CLI, Anda dapat memfilter di eventName bidang untuk menyertakan atau mengecualikan peristiwa tertentu.

Jika Anda memperbarui penyimpanan data jejak atau peristiwa yang ada untuk mencatat pemilih acara tambahan, dapatkan pemilih acara saat ini dengan menjalankan get-event-selectorsperintah untuk jejak, atau get-event-data-storeperintah untuk penyimpanan data peristiwa. Kemudian, perbarui pemilih acara Anda untuk menambahkan pemilih bidang untuk setiap jenis sumber daya data yang ingin Anda log.

Contoh berikut mencatat peristiwa data S3 pada jejak. Dikonfigurasi untuk hanya mencatat peristiwa data untukGetObject,PutObject, dan DeleteObject API panggilan. --advanced-event-selectors

aws cloudtrail put-event-selectors \
--trail-name trailName \
--advanced-event-selectors '[
  {
    "Name": "Log GetObject, PutObject and DeleteObject S3 data events",
    "FieldSelectors": [
      { "Field": "eventCategory", "Equals": ["Data"] },
      { "Field": "resources.type", "Equals": ["AWS::S3::Object"] },
      { "Field": "eventName", "Equals": ["GetObject","PutObject","DeleteObject"] }
    ]
  }
]'

Contoh berikutnya membuat penyimpanan data peristiwa baru yang mencatat peristiwa data untuk EBS Direct APIs tetapi tidak termasuk ListChangedBlocks API panggilan. Anda dapat menggunakan update-event-data-storeperintah untuk memperbarui penyimpanan data acara yang ada.

aws cloudtrail create-event-data-store \
--name "eventDataStoreName"
--advanced-event-selectors '[
    {
        "Name": "Log all EBS Direct API data events except ListChangedBlocks",
        "FieldSelectors": [
            { "Field": "eventCategory", "Equals": ["Data"] },
            { "Field": "resources.type", "Equals": ["AWS::EC2::Snapshot"] },
            { "Field": "eventName", "NotEquals": ["ListChangedBlocks"] }
         ]
    }
]'

Memfilter peristiwa data berdasarkan resources.ARN

Menggunakan pemilih acara lanjutan, Anda dapat memfilter nilai resources.ARN bidang.

Anda dapat menggunakan operator apa pun denganresources.ARN, tetapi jika Anda menggunakan Equals atauNotEquals, nilainya harus sama persis dengan sumber daya yang valid untuk resources.type nilai yang telah Anda tentukan. ARN Untuk mencatat semua peristiwa data untuk semua objek dalam bucket S3 tertentu, gunakan StartsWith operator, dan sertakan hanya bucket ARN sebagai nilai yang cocok.

Tabel berikut menunjukkan ARN format yang valid untuk masing-masingresources.type.

catatan

Anda tidak dapat menggunakan resources.ARN bidang untuk memfilter jenis sumber daya yang tidak dimilikiARNs.

resources.type sumber daya. ARN
AWS::DynamoDB::Table1 
arn:partition:dynamodb:region:account_ID:table/table_name
AWS::Lambda::Function 
arn:partition:lambda:region:account_ID:function:function_name

AWS::S3::Object2

 
arn:partition:s3:::amzn-s3-demo-bucket/
arn:partition:s3:::amzn-s3-demo-bucket/object_or_file_name/
AWS::AppConfig::Configuration 
arn:partition:appconfig:region:account_ID:application/application_ID/environment/environment_ID/configuration/configuration_profile_ID
AWS::B2BI::Transformer 
arn:partition:b2bi:region:account_ID:transformer/transformer_ID
AWS::Bedrock::AgentAlias 
arn:partition:bedrock:region:account_ID:agent-alias/agent_ID/alias_ID
AWS::Bedrock::FlowAlias 
arn:partition:bedrock:region:account_ID:flow/flow_ID/alias/alias_ID
AWS::Bedrock::Guardrail 
arn:partition:bedrock:region:account_ID:guardrail/guardrail_ID
AWS::Bedrock::KnowledgeBase 
arn:partition:bedrock:region:account_ID:knowledge-base/knowledge_base_ID
AWS::Bedrock::Model

ARNHarus dalam salah satu format berikut:

  • arn:partition:bedrock:region::foundation-model/resource_ID

  • arn:partition:bedrock:region:account_ID:provisioned-model/resource_ID

  • arn:partition:bedrock:region:account_ID:custom-model/resource_ID
AWS::Cassandra::Table 
arn:partition:cassandra:region:account_ID:keyspace/keyspace_name/table/table_name
AWS::CloudFront::KeyValueStore 
arn:partition:cloudfront:region:account_ID:key-value-store/KVS_name
AWS::CloudTrail::Channel 
arn:partition:cloudtrail:region:account_ID:channel/channel_UUID
AWS::CodeWhisperer::Customization 
arn:partition:codewhisperer:region:account_ID:customization/customization_ID
AWS::CodeWhisperer::Profile 
arn:partition:codewhisperer:region:account_ID:profile/profile_ID
AWS::Cognito::IdentityPool 
arn:partition:cognito-identity:region:account_ID:identitypool/identity_pool_ID
AWS::DataExchange::Asset 
arn:partition:dataexchange:region:account_ID:data-sets/data_set_ID/revisions/revision_ID/assets/asset_ID
AWS::Deadline::Fleet 
arn:partition:deadline:region:account_ID:farm/farm_ID/fleet/fleet_ID
AWS::Deadline::Job 
arn:partition:deadline:region:account_ID:farm/farm_ID/queue/queue_ID/job/job_ID
AWS::Deadline::Queue 
arn:partition:deadline:region:account_ID:farm/farm_ID/queue/queue_ID
AWS::Deadline::Worker 
arn:partition:deadline:region:account_ID:farm/farm_ID/fleet/fleet_ID/worker/worker_ID
AWS::DynamoDB::Stream 
arn:partition:dynamodb:region:account_ID:table/table_name/stream/date_time
AWS::EC2::Snapshot 
arn:partition:ec2:region::snapshot/snapshot_ID
AWS::EMRWAL::Workspace 
arn:partition:emrwal:region:account_ID:workspace/workspace_name
AWS::FinSpace::Environment 
arn:partition:finspace:region:account_ID:environment/environment_ID
AWS::Glue::Table 
arn:partition:glue:region:account_ID:table/database_name/table_name
AWS::GreengrassV2::ComponentVersion 
arn:partition:greengrass:region:account_ID:components/component_name
AWS::GreengrassV2::Deployment 
arn:partition:greengrass:region:account_ID:deployments/deployment_ID
AWS::GuardDuty::Detector 
arn:partition:guardduty:region:account_ID:detector/detector_ID
AWS::IoT::Certificate 
arn:partition:iot:region:account_ID:cert/certificate_ID
AWS::IoT::Thing 
arn:partition:iot:region:account_ID:thing/thing_ID
AWS::IoTSiteWise::Asset 
arn:partition:iotsitewise:region:account_ID:asset/asset_ID
AWS::IoTSiteWise::TimeSeries 
arn:partition:iotsitewise:region:account_ID:timeseries/timeseries_ID
AWS::IoTTwinMaker::Entity 
arn:partition:iottwinmaker:region:account_ID:workspace/workspace_ID/entity/entity_ID
AWS::IoTTwinMaker::Workspace 
arn:partition:iottwinmaker:region:account_ID:workspace/workspace_ID
AWS::KendraRanking::ExecutionPlan 
arn:partition:kendra-ranking:region:account_ID:rescore-execution-plan/rescore_execution_plan_ID
AWS::Kinesis::Stream 
arn:partition:kinesis:region:account_ID:stream/stream_name
AWS::Kinesis::StreamConsumer 
arn:partition:kinesis:region:account_ID:stream_type/stream_name/consumer/consumer_name:consumer_creation_timestamp
AWS::KinesisVideo::Stream 
arn:partition:kinesisvideo:region:account_ID:stream/stream_name/creation_time
AWS::MachineLearning::MlModel 
arn:partition:machinelearning:region:account_ID:mlmodel/model_ID
AWS::ManagedBlockchain::Network 
arn:partition:managedblockchain:::networks/network_name
AWS::ManagedBlockchain::Node 
arn:partition:managedblockchain:region:account_ID:nodes/node_ID
AWS::MedicalImaging::Datastore 
arn:partition:medical-imaging:region:account_ID:datastore/data_store_ID
AWS::NeptuneGraph::Graph 
arn:partition:neptune-graph:region:account_ID:graph/graph_ID
AWS::One::UKey 
arn:partition:one:region:account_ID:user/user_ID/u-key/u-key_ID
AWS::One::User 
arn:partition:one:region:account_ID:user/user_ID
AWS::PaymentCryptography::Alias 
arn:partition:payment-cryptography:region:account_ID:alias/alias
AWS::PaymentCryptography::Key 
arn:partition:payment-cryptography:region:account_ID:key/key_ID
AWS::PCAConnectorAD::Connector 
arn:partition:pca-connector-ad:region:account_ID:connector/connector_ID
AWS::PCAConnectorSCEP::Connector 
arn:partition:pca-connector-scep:region:account_ID:connector/connector_ID
AWS::QApps:QApp 
arn:partition:qapps:region:account_ID:application/application_UUID/qapp/qapp_UUID
AWS::QBusiness::Application 
arn:partition:qbusiness:region:account_ID:application/application_ID
AWS::QBusiness::DataSource 
arn:partition:qbusiness:region:account_ID:application/application_ID/index/index_ID/data-source/datasource_ID
AWS::QBusiness::Index 
arn:partition:qbusiness:region:account_ID:application/application_ID/index/index_ID
AWS::QBusiness::WebExperience 
arn:partition:qbusiness:region:account_ID:application/application_ID/web-experience/web_experienc_ID
AWS::RDS::DBCluster 
arn:partition:rds:region:account_ID:cluster/cluster_name
AWS::RUM::AppMonitor 
arn:partition:rum:region:account_ID:appmonitor/app_monitor_name

AWS::S3::AccessPoint3

 
arn:partition:s3:region:account_ID:accesspoint/access_point_name

AWS::S3Express::Object

 
arn:partition:s3express:region:account_ID:bucket/bucket_name
AWS::S3ObjectLambda::AccessPoint 
arn:partition:s3-object-lambda:region:account_ID:accesspoint/access_point_name
AWS::S3Outposts::Object 
arn:partition:s3-outposts:region:account_ID:object_path
AWS::SageMaker::Endpoint 
arn:partition:sagemaker:region:account_ID:endpoint/endpoint_name
AWS::SageMaker::ExperimentTrialComponent 
arn:partition:sagemaker:region:account_ID:experiment-trial-component/experiment_trial_component_name
AWS::SageMaker::FeatureGroup 
arn:partition:sagemaker:region:account_ID:feature-group/feature_group_name
AWS::SCN::Instance 
arn:partition:scn:region:account_ID:instance/instance_ID
AWS::ServiceDiscovery::Namespace 
arn:partition:servicediscovery:region:account_ID:namespace/namespace_ID
AWS::ServiceDiscovery::Service 
arn:partition:servicediscovery:region:account_ID:service/service_ID
AWS::SNS::PlatformEndpoint 
arn:partition:sns:region:account_ID:endpoint/endpoint_type/endpoint_name/endpoint_ID
AWS::SNS::Topic 
arn:partition:sns:region:account_ID:topic_name
AWS::SocialMessaging::PhoneNumberId

arn:partition:social-messaging:region:account_ID:phone-number-id/phone_number_ID
AWS::SQS::Queue 
arn:partition:sqs:region:account_ID:queue_name
AWS::SSM::ManagedNode

ARNHarus dalam salah satu format berikut:

  • arn:partition:ssm:region:account_ID:managed-instance/instance_ID

  • arn:partition:ec2:region:account_ID:instance/instance_ID
AWS::SSMMessages::ControlChannel 
arn:partition:ssmmessages:region:account_ID:control-channel/control_channel_ID
AWS::StepFunctions::StateMachine

ARNHarus dalam salah satu format berikut:

  • arn:partition:states:region:account_ID:stateMachine:stateMachine_name

  • arn:partition:states:region:account_ID:stateMachine:stateMachine_name/label_name
AWS::SWF::Domain 
arn:partition:swf:region:account_ID:/domain/domain_name
AWS::ThinClient::Device 
arn:partition:thinclient:region:account_ID:device/device_ID
AWS::ThinClient::Environment 
arn:partition:thinclient:region:account_ID:environment/environment_ID
AWS::Timestream::Database 
arn:partition:timestream:region:account_ID:database/database_name
AWS::Timestream::Table 
arn:partition:timestream:region:account_ID:database/database_name/table/table_name
AWS::VerifiedPermissions::PolicyStore 
arn:partition:verifiedpermissions:region:account_ID:policy-store/policy_store_ID

1 Untuk tabel dengan aliran diaktifkan, resources bidang dalam peristiwa data berisi keduanya AWS::DynamoDB::Stream danAWS::DynamoDB::Table. Jika Anda menentukan AWS::DynamoDB::Table untukresources.type, itu akan mencatat kedua tabel DynamoDB dan DynamoDB stream peristiwa secara default. Untuk mengecualikan peristiwa aliran, tambahkan filter di eventName bidang.

2 Untuk mencatat semua peristiwa data untuk semua objek dalam bucket S3 tertentu, gunakan StartsWith operator, dan sertakan hanya bucket ARN sebagai nilai yang cocok. Garis miring itu disengaja; jangan mengecualikannya.

3 Untuk mencatat peristiwa pada semua objek di titik akses S3, sebaiknya Anda hanya menggunakan titik aksesARN, jangan sertakan jalur objek, dan gunakan NotStartsWith operator StartsWith atau.

Memfilter peristiwa data dengan resources.ARN menggunakan AWS Management Console

Ambil langkah-langkah berikut untuk memfilter di resources.ARN bidang menggunakan CloudTrail konsol.

  1. Ikuti langkah-langkah dalam prosedur create trail, atau ikuti langkah-langkah dalam prosedur create event data store.

  2. Saat Anda mengikuti langkah-langkah untuk membuat penyimpanan data jejak atau acara, buat pilihan berikut:

    1. Pilih Peristiwa data.

    2. Pilih jenis peristiwa Data yang ingin Anda catat peristiwa data.

    3. Untuk template pemilih Log, pilih Kustom.

    4. (Opsional) Dalam nama Selector, masukkan nama untuk mengidentifikasi pemilih Anda. Nama pemilih adalah nama deskriptif untuk pemilih peristiwa lanjutan, seperti “Log peristiwa data hanya untuk dua bucket S3”. Nama pemilih terdaftar seperti Name pada pemilih acara lanjutan dan dapat dilihat jika Anda memperluas tampilan. JSON

    5. Di Selektor acara lanjutan, lakukan hal berikut untuk memfilter padaresources.ARN:

      1. Untuk Field, pilih sumber daya. ARN.

      2. Untuk Operator, pilih operator kondisi. Dalam contoh ini, kita akan memilih start with karena kita ingin mencatat peristiwa data untuk bucket S3 tertentu.

      3. Untuk Nilai, masukkan ARN untuk jenis sumber daya Anda (misalnya, arn:aws:s3:::amzn-s3-demo-bucket).

      4. Untuk memfilter yang lainresources.ARN, pilih + Kondisi. Untuk informasi tentang cara CloudTrail mengevaluasi beberapa kondisi, lihatBagaimana CloudTrail mengevaluasi beberapa kondisi untuk suatu bidang.

      Filter peristiwa data S3 berdasarkan resources.ARN

    6. Pilih +Bidang untuk menambahkan filter pada bidang lain.

Memfilter peristiwa data dengan resources.ARN menggunakan AWS CLI

Dengan menggunakan AWS CLI, Anda dapat memfilter di resources.ARN bidang untuk mencatat peristiwa untuk pencatatan tertentu ARN atau mengecualikan pencatatan untuk yang spesifikARN.

Jika Anda memperbarui penyimpanan data jejak atau peristiwa yang ada untuk mencatat pemilih acara tambahan, dapatkan pemilih acara saat ini dengan menjalankan get-event-selectorsperintah untuk jejak, atau get-event-data-storeperintah untuk penyimpanan data peristiwa. Kemudian, perbarui pemilih acara Anda untuk menambahkan pemilih bidang untuk setiap jenis sumber daya data yang ingin Anda log.

Contoh berikut menunjukkan cara mengonfigurasi jejak Anda untuk menyertakan semua peristiwa data untuk semua objek Amazon S3 dalam bucket S3 tertentu. Nilai untuk acara S3 untuk resources.type bidang tersebut adalahAWS::S3::Object. Karena ARN nilai untuk objek S3 dan bucket S3 sedikit berbeda, Anda harus menambahkan StartsWith operator resources.ARN untuk menangkap semua peristiwa.

aws cloudtrail put-event-selectors \ 
--trail-name TrailName \ 
--region region \
--advanced-event-selectors \
'[
    {
        "Name": "S3EventSelector",
        "FieldSelectors": [
            { "Field": "eventCategory", "Equals": ["Data"] },
                { "Field": "resources.type", "Equals": ["AWS::S3::Object"] },
                { "Field": "resources.ARN", "StartsWith": ["arn:aws:s3:::amzn-s3-demo-bucket/"] }
            ]
    }
]'

Memfilter peristiwa data berdasarkan nilai readOnly

Menggunakan pemilih acara lanjutan, Anda dapat memfilter berdasarkan nilai readOnly bidang.

Anda hanya dapat menggunakan Equals operator dengan readOnly bidang. Anda dapat mengatur readOnly nilainya ke true ataufalse. Jika Anda tidak menambahkan bidang ini, CloudTrail log acara baca dan tulis. Nilai true log hanya membaca peristiwa. Nilai false log hanya menulis peristiwa.

Memfilter peristiwa data berdasarkan readOnly nilai menggunakan AWS Management Console

Ambil langkah-langkah berikut untuk memfilter di readOnly bidang menggunakan CloudTrail konsol.

  1. Ikuti langkah-langkah dalam prosedur create trail, atau ikuti langkah-langkah dalam prosedur create event data store.

  2. Saat Anda mengikuti langkah-langkah untuk membuat penyimpanan data jejak atau acara, buat pilihan berikut:

    1. Pilih Peristiwa data.

    2. Pilih jenis peristiwa Data yang ingin Anda catat peristiwa data.

    3. Untuk template pemilih Log, pilih template yang sesuai untuk kasus penggunaan Anda.

      Pilih template pemilih log untuk peristiwa data
      Jika Anda berencana untuk melakukan ini Pilih templat pemilih log ini

      Log membaca peristiwa saja dan tidak menerapkan filter lain (misalnya, pada resources.ARN nilai).

      Log readOnly peristiwa

      Log menulis peristiwa saja dan tidak menerapkan filter lain (misalnya, pada resources.ARN nilai).

      Log writeOnly peristiwa

      Filter pada readOnly nilai dan terapkan filter tambahan (misalnya, pada resources.ARN nilai).

      Kustom

      Di Selektor acara lanjutan, lakukan hal berikut untuk memfilter readOnly nilainya:

      Untuk mencatat acara tulis

      1. Untuk Field, pilih readOnly.

      2. Untuk Operator, pilih sama.

      3. Untuk Nilai, masukkan false.

      4. Pilih +Bidang untuk menambahkan filter pada bidang lain.

      Untuk mencatat peristiwa baca

      1. Untuk Field, pilih readOnly.

      2. Untuk Operator, pilih sama.

      3. Untuk Nilai, masukkan true.

      4. Pilih +Bidang untuk menambahkan filter pada bidang lain.

Memfilter peristiwa data berdasarkan readOnly nilai menggunakan AWS CLI

Dengan menggunakan AWS CLI, Anda dapat memfilter di readOnly lapangan.

Anda hanya dapat menggunakan Equals operator dengan readOnly bidang. Anda dapat mengatur readOnly nilainya ke true ataufalse. Jika Anda tidak menambahkan bidang ini, CloudTrail log acara baca dan tulis. Nilai true log hanya membaca peristiwa. Nilai false log hanya menulis peristiwa.

Jika Anda memperbarui penyimpanan data jejak atau peristiwa yang ada untuk mencatat pemilih acara tambahan, dapatkan pemilih acara saat ini dengan menjalankan get-event-selectorsperintah untuk jejak, atau get-event-data-storeperintah untuk penyimpanan data peristiwa. Kemudian, perbarui pemilih acara Anda untuk menambahkan pemilih bidang untuk setiap jenis sumber daya data yang ingin Anda log.

Contoh berikut menunjukkan cara mengonfigurasi jejak Anda untuk mencatat peristiwa data hanya-baca untuk semua objek Amazon S3.

aws cloudtrail put-event-selectors \
--trail-name TrailName \
--region region \
--advanced-event-selectors '[
    {
            "Name": "Log read-only S3 data events",
            "FieldSelectors": [
                { "Field": "eventCategory", "Equals": ["Data"] },
                { "Field": "resources.type", "Equals": ["AWS::S3::Object"] },
                { "Field": "readOnly", "Equals": ["true"] }
            ]
    }
]'

Contoh berikutnya membuat penyimpanan data peristiwa baru yang hanya mencatat peristiwa data khusus tulis untuk EBS Direct. APIs Anda dapat menggunakan update-event-data-storeperintah untuk memperbarui penyimpanan data acara yang ada.

aws cloudtrail create-event-data-store \
--name "eventDataStoreName" \
--advanced-event-selectors \
'[
    {
            "Name": "Log write-only EBS Direct API data events",
            "FieldSelectors": [
                { "Field": "eventCategory", "Equals": ["Data"] },
                { "Field": "resources.type", "Equals": ["AWS::EC2::Snapshot"] },
                { "Field": "readOnly", "Equals": ["false"] }
            ]
     }
]'