Salin peristiwa jejak ke penyimpanan data acara baru dengan konsol

Untuk menyalin peristiwa jejak ke penyimpanan data acara baru

1. Masuk ke AWS Management Console dan buka CloudTrail konsol di https://console.aws.amazon.com/cloudtrail/.

2. Dari panel navigasi, di bawah Danau, pilih Penyimpanan data acara.

3. Pilih Buat penyimpanan data acara.

4. Pada halaman Configure event data store, dalam Rincian umum, berikan nama penyimpanan data acara Anda, sepertimy-management-events-eds. Sebagai praktik terbaik, gunakan nama yang dengan cepat mengidentifikasi tujuan penyimpanan data acara. Untuk informasi tentang persyaratan CloudTrail penamaan, lihatPersyaratan penamaan untuk CloudTrail sumber daya, bucket S3, dan kunci KMS.

5. Pilih opsi Harga yang ingin Anda gunakan untuk penyimpanan data acara Anda. Opsi penetapan harga menentukan biaya untuk menelan dan menyimpan acara, serta periode retensi default dan maksimum untuk penyimpanan data acara Anda. Untuk informasi lebih lanjut, lihat AWS CloudTrail Harga danMengelola biaya CloudTrail Danau.

   Berikut ini adalah opsi yang tersedia:

   • Harga retensi yang dapat diperpanjang satu tahun - Umumnya direkomendasikan jika Anda mengharapkan untuk menelan kurang dari 25 TB data acara per bulan dan menginginkan periode retensi yang fleksibel hingga 10 tahun. Untuk 366 hari pertama (periode retensi default), penyimpanan disertakan tanpa biaya tambahan dengan harga konsumsi. Setelah 366 hari, retensi diperpanjang tersedia dengan pay-as-you-go harga. Ini adalah pilihan default.

     • Periode retensi default: 366 hari

     • Periode retensi maksimum: 3,653 hari

   • Harga retensi tujuh tahun - Direkomendasikan jika Anda mengharapkan untuk menelan lebih dari 25 TB data acara per bulan dan membutuhkan periode retensi hingga 7 tahun. Retensi disertakan dengan harga konsumsi tanpa biaya tambahan.

     • Periode retensi default: 2,557 hari

     • Periode retensi maksimum: 2.557 hari

6. Tentukan periode retensi untuk penyimpanan data acara. Periode retensi dapat antara 7 hari dan 3.653 hari (sekitar 10 tahun) untuk opsi harga retensi yang dapat diperpanjang satu tahun, atau antara 7 hari dan 2.557 hari (sekitar tujuh tahun) untuk opsi harga retensi tujuh tahun.

   CloudTrail Lake menentukan apakah akan mempertahankan suatu peristiwa dengan memeriksa apakah acara tersebut berada dalam periode retensi yang ditentukan. eventTime Misalnya, jika Anda menentukan periode retensi 90 hari, CloudTrail akan menghapus peristiwa ketika mereka eventTime lebih tua dari 90 hari.

   catatan

   CloudTrail tidak akan menyalin peristiwa jika eventTime lebih tua dari periode retensi yang ditentukan.

   Untuk menentukan periode retensi yang sesuai, ambil jumlah acara tertua yang ingin Anda salin dalam beberapa hari dan jumlah hari yang ingin Anda simpan di penyimpanan data acara (periode retensi = oldest-event-in-days +number-days-to-retain). Misalnya, jika acara tertua yang Anda salin berusia 45 hari dan Anda ingin menyimpan acara di penyimpanan data acara selama 45 hari lagi, Anda akan mengatur periode retensi menjadi 90 hari.

7. (Opsional) Dalam Enkripsi. pilih apakah Anda ingin mengenkripsi penyimpanan data acara menggunakan kunci KMS Anda sendiri. Secara default, semua peristiwa di penyimpanan data acara dienkripsi dengan CloudTrail menggunakan kunci KMS yang AWS memiliki dan mengelola untuk Anda.

   Untuk mengaktifkan enkripsi menggunakan kunci KMS Anda sendiri, pilih Gunakan sendiri AWS KMS key. Pilih Baru untuk AWS KMS key membuat untuk Anda, atau pilih yang ada untuk menggunakan kunci KMS yang ada. Di Masukkan alias KMS, tentukan alias, dalam format. alias/ MyAliasName Menggunakan kunci KMS Anda sendiri mengharuskan Anda mengedit kebijakan kunci KMS Anda untuk memungkinkan CloudTrail log dienkripsi dan didekripsi. Untuk informasi lebih lanjut, lihatKonfigurasikan kebijakan AWS KMS utama untuk CloudTrail. CloudTrail juga mendukung kunci AWS KMS Multi-wilayah. Untuk informasi selengkapnya tentang kunci Multi-region, lihat Menggunakan kunci Multi-region di Panduan AWS Key Management Service Pengembang.

   Menggunakan kunci KMS Anda sendiri menimbulkan AWS KMS biaya untuk enkripsi dan dekripsi. Setelah Anda mengaitkan penyimpanan data peristiwa dengan kunci KMS, kunci KMS tidak dapat dihapus atau diubah.

   catatan

   Untuk mengaktifkan AWS Key Management Service enkripsi untuk penyimpanan data acara organisasi, Anda harus menggunakan kunci KMS yang ada untuk akun manajemen.

8. (Opsional) Jika Anda ingin melakukan kueri terhadap data peristiwa menggunakan Amazon Athena, pilih Aktifkan di federasi kueri Danau. Federation memungkinkan Anda melihat metadata yang terkait dengan penyimpanan data peristiwa di Katalog AWS Glue Data dan menjalankan kueri SQL terhadap data peristiwa di Athena. Metadata tabel yang disimpan dalam Katalog AWS Glue Data memungkinkan mesin kueri Athena mengetahui cara menemukan, membaca, dan memproses data yang ingin Anda kueri. Untuk informasi selengkapnya, lihat Federasi toko data acara.

   Untuk mengaktifkan federasi kueri Lake, pilih Aktifkan dan lakukan hal berikut:

   1. Pilih apakah Anda ingin membuat peran baru atau menggunakan peran IAM yang sudah ada. AWS Lake Formationmenggunakan peran ini untuk mengelola izin untuk penyimpanan data acara federasi. Saat Anda membuat peran baru menggunakan CloudTrail konsol, CloudTrail secara otomatis membuat peran dengan izin yang diperlukan. Jika Anda memilih peran yang ada, pastikan kebijakan untuk peran tersebut memberikan izin minimum yang diperlukan.

   2. Jika Anda membuat peran baru, masukkan nama untuk mengidentifikasi peran tersebut.

   3. Jika Anda menggunakan peran yang ada, pilih peran yang ingin Anda gunakan. Peran harus ada di akun Anda.

9. (Opsional) Pilih Aktifkan kebijakan sumber daya untuk menambahkan kebijakan berbasis sumber daya ke penyimpanan data acara Anda. Kebijakan berbasis sumber daya memungkinkan Anda mengontrol prinsipal mana yang dapat melakukan tindakan pada penyimpanan data acara Anda. Misalnya, Anda dapat menambahkan kebijakan berbasis sumber daya yang memungkinkan pengguna root di akun lain untuk menanyakan penyimpanan data peristiwa ini dan melihat hasil kueri. Untuk kebijakan-kebijakan contoh, lihat Contoh kebijakan berbasis sumber daya untuk penyimpanan data acara.

   Kebijakan berbasis sumber daya mencakup satu atau lebih pernyataan. Setiap pernyataan dalam kebijakan mendefinisikan prinsipal yang diizinkan atau ditolak akses ke penyimpanan data peristiwa dan tindakan yang dapat dilakukan oleh prinsipal pada sumber daya penyimpanan data acara.

   Tindakan berikut didukung dalam kebijakan berbasis sumber daya untuk penyimpanan data peristiwa:

   • cloudtrail:StartQuery

   • cloudtrail:CancelQuery

   • cloudtrail:ListQueries

   • cloudtrail:DescribeQuery

   • cloudtrail:GetQueryResults

   • cloudtrail:GenerateQuery

   • cloudtrail:GenerateQueryResultsSummary

   • cloudtrail:GetEventDataStore

   Untuk penyimpanan data peristiwa organisasi, CloudTrail buat kebijakan berbasis sumber daya default yang mencantumkan tindakan yang diizinkan dilakukan oleh akun administrator yang didelegasikan pada penyimpanan data peristiwa organisasi. Izin dalam kebijakan ini berasal dari izin administrator yang didelegasikan di. AWS Organizations Kebijakan ini diperbarui secara otomatis setelah perubahan pada penyimpanan data peristiwa organisasi atau organisasi (misalnya, akun administrator yang CloudTrail didelegasikan terdaftar atau dihapus).

10. (Opsional) Di Tag, tambahkan satu atau beberapa tag khusus (pasangan nilai kunci) ke penyimpanan data acara Anda. Tag dapat membantu Anda mengidentifikasi penyimpanan data CloudTrail acara Anda. Misalnya, Anda bisa melampirkan tag dengan nama stage dan nilainyaprod. Anda dapat menggunakan tag untuk membatasi akses ke penyimpanan data acara Anda. Anda juga dapat menggunakan tag untuk melacak kueri dan biaya konsumsi untuk penyimpanan data acara Anda.

    Untuk informasi tentang cara menggunakan tag untuk melacak biaya, lihatMembuat tag alokasi biaya yang ditentukan pengguna untuk penyimpanan data acara CloudTrail Lake. Untuk informasi tentang cara menggunakan kebijakan IAM untuk mengotorisasi akses ke penyimpanan data peristiwa berdasarkan tag, lihat. Contoh: Menolak akses untuk membuat atau menghapus penyimpanan data acara berdasarkan tag Untuk informasi tentang cara menggunakan tag AWS, lihat Menandai AWS sumber daya Anda di Panduan Pengguna Sumber AWS Daya Penandaan.

11. Pilih Berikutnya untuk mengonfigurasi penyimpanan data acara.

12. Pada halaman Pilih acara, tinggalkan pilihan default untuk jenis Acara.

    

13. Untuk CloudTrail acara, kami akan membiarkan acara Manajemen dipilih dan memilih Salin acara jejak. Dalam contoh ini, kami tidak khawatir tentang jenis acara karena kami hanya menggunakan penyimpanan data peristiwa untuk menganalisis peristiwa masa lalu dan tidak menelan peristiwa masa depan.

    Jika Anda membuat penyimpanan data acara untuk menggantikan jejak yang ada, pilih pemilih acara yang sama dengan jejak Anda untuk memastikan penyimpanan data acara memiliki cakupan acara yang sama.

    

14. Pilih Aktifkan untuk semua akun di organisasi saya jika ini adalah penyimpanan data acara organisasi. Opsi ini tidak akan tersedia untuk diubah kecuali Anda memiliki akun yang dikonfigurasi AWS Organizations.

    catatan

    Jika Anda membuat penyimpanan data acara organisasi, Anda harus masuk dengan akun manajemen untuk organisasi karena hanya akun manajemen yang dapat menyalin peristiwa jejak ke penyimpanan data acara organisasi.

15. Untuk pengaturan Tambahan, kami akan membatalkan pilihan acara Ingest, karena dalam contoh ini kami tidak ingin penyimpanan data acara menyerap peristiwa masa depan karena kami hanya tertarik untuk menanyakan peristiwa yang disalin. Secara default, penyimpanan data acara mengumpulkan peristiwa untuk semua Wilayah AWS dan mulai menelan peristiwa saat dibuat.

16. Untuk acara Manajemen, kami akan meninggalkan pengaturan default.

17. Di area Copy trail events, selesaikan langkah-langkah berikut.

    1. Pilih jejak yang ingin Anda salin. Dalam contoh ini, kita akan memilih jejak bernamamanagement-events.

       Secara default, CloudTrail hanya menyalin CloudTrail peristiwa yang terdapat dalam awalan bucket S3 dan CloudTrail awalan di dalam awalan, dan tidak memeriksa CloudTrail awalan untuk layanan lain. AWS Jika Anda ingin menyalin CloudTrail peristiwa yang terdapat dalam awalan lain, pilih Masukkan URI S3, lalu pilih Browse S3 untuk menelusuri awalan. Jika bucket S3 sumber untuk jejak menggunakan kunci KMS untuk enkripsi data, pastikan kebijakan kunci KMS memungkinkan CloudTrail untuk mendekripsi data. Jika bucket S3 sumber Anda menggunakan beberapa kunci KMS, Anda harus memperbarui kebijakan setiap kunci agar memungkinkan CloudTrail untuk mendekripsi data dalam bucket. Untuk informasi selengkapnya tentang memperbarui kebijakan kunci KMS, lihatKebijakan kunci KMS untuk mendekripsi data di bucket S3 sumber.

    2. Pilih rentang waktu untuk menyalin acara. CloudTrail memeriksa awalan dan nama file log untuk memverifikasi nama berisi tanggal antara tanggal mulai dan akhir yang dipilih sebelum mencoba menyalin peristiwa jejak. Anda dapat memilih rentang Relatif atau rentang Absolut. Untuk menghindari duplikasi peristiwa antara jejak sumber dan penyimpanan data peristiwa tujuan, pilih rentang waktu yang lebih awal dari pembuatan penyimpanan data acara.

       • Jika Anda memilih Rentang relatif, Anda dapat memilih untuk menyalin peristiwa yang dicatat dalam 6 bulan terakhir, 1 tahun, 2 tahun, 7 tahun, atau rentang khusus. CloudTrail menyalin peristiwa yang dicatat dalam periode waktu yang dipilih.

       • Jika Anda memilih Rentang absolut, Anda dapat memilih tanggal mulai dan berakhir tertentu. CloudTrail menyalin peristiwa yang terjadi antara tanggal mulai dan akhir yang dipilih.

       Dalam contoh ini, kita akan memilih rentang Absolute dan kita akan memilih seluruh bulan Mei.

       

    3. Untuk Izin, pilih dari opsi peran IAM berikut. Jika Anda memilih peran IAM yang ada, verifikasi bahwa kebijakan peran IAM menyediakan izin yang diperlukan. Untuk informasi selengkapnya tentang memperbarui izin peran IAM, lihat. Izin IAM untuk menyalin peristiwa jejak

       • Pilih Buat peran baru (disarankan) untuk membuat peran IAM baru. Untuk Masukkan nama peran IAM, masukkan nama untuk peran tersebut. CloudTrail secara otomatis membuat izin yang diperlukan untuk peran baru ini.

       • Pilih Gunakan ARN peran IAM khusus untuk menggunakan peran IAM kustom yang tidak terdaftar. Untuk Masukkan peran IAM ARN, masukkan ARN IAM.

       • Pilih peran IAM yang ada dari daftar drop-down.

       Dalam contoh ini, kita akan memilih Buat peran baru (disarankan) dan akan memberikan namacopy-trail-events.

    

18. Pilih Berikutnya untuk meninjau pilihan Anda.

19. Pada halaman Tinjau dan buat, tinjau pilihan Anda. Pilih Edit untuk membuat perubahan pada bagian. Saat Anda siap membuat penyimpanan data acara, pilih Buat penyimpanan data acara.

20. Penyimpanan data acara baru terlihat di tabel penyimpanan data acara pada halaman penyimpanan data acara.

    

21. Pilih nama penyimpanan data acara untuk melihat halaman detailnya. Halaman detail menunjukkan detail untuk penyimpanan data acara Anda dan status salinannya. Status salinan peristiwa ditampilkan di area status salinan Acara.

    Ketika salinan peristiwa jejak selesai, status Salinannya disetel ke Selesai jika tidak ada kesalahan, atau Gagal jika terjadi kesalahan.

    

22. Untuk melihat detail lebih lanjut tentang salinan, pilih nama salin di kolom Lokasi S3 log peristiwa, atau pilih opsi Lihat detail dari menu Tindakan. Untuk informasi selengkapnya tentang melihat detail salinan acara jejak, lihatLihat detail salinan acara dengan CloudTrail konsol.

    

23. Area kegagalan Salin menunjukkan kesalahan yang terjadi saat menyalin peristiwa jejak. Jika status Salin Gagal, perbaiki kesalahan yang ditampilkan dalam kegagalan Salin, lalu pilih Coba lagi salin. Ketika Anda mencoba kembali salinan, CloudTrail lanjutkan salinan di lokasi di mana kegagalan terjadi.