CloudTrail concetti

Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Questa sezione riassume i concetti di base relativi a CloudTrail.

CloudTrail eventi

Un evento in CloudTrail è la registrazione di un'attività in un AWS account. Questa attività può essere un'azione intrapresa da un'identità IAM o da un servizio monitorabile da CloudTrail. CloudTrailgli eventi forniscono una cronologia delle attività dell'account API e non API effettuate tramite gli AWS Management Console strumenti a riga di comando e altri AWS servizi. AWS SDKs

CloudTrail i file di registro non sono una traccia ordinata dello stack delle chiamate API pubbliche, quindi gli eventi non vengono visualizzati in un ordine specifico.

CloudTrail registra quattro tipi di eventi:

Tutti i tipi di eventi utilizzano un formato di registro CloudTrail JSON.

Per impostazione predefinita, i percorsi e i datastore di eventi registrano gli eventi di gestione, ma non gli eventi di dati o gli eventi Insights.

Per informazioni su come effettuare l' Servizi AWS integrazione con CloudTrail, consultaAWS argomenti di servizio per CloudTrail.

Eventi di gestione

Gli eventi di gestione forniscono informazioni sulle operazioni di gestione eseguite sulle risorse AWS dell'account. Queste operazioni sono definite anche operazioni del piano di controllo.

Gli eventi di gestione di esempio includono:

Gli eventi di gestione possono includere anche eventi non API che si verificano nel tuo account. Ad esempio, quando un utente accede al tuo account, CloudTrail registra l'ConsoleLoginevento. Per ulteriori informazioni, consulta Eventi non API acquisiti da CloudTrail.

Per impostazione predefinita, CloudTrail trails and CloudTrail Lake Event Data archivia gli eventi di gestione dei registri. Per ulteriori informazioni sulla gestione della registrazione degli eventi, vedereRegistrazione degli eventi di gestione.

Eventi di dati

Gli eventi di dati forniscono informazioni sulle operazioni eseguite in una risorsa o al suo interno. Queste operazioni sono definite anche operazioni del piano dei dati. Gli eventi di dati sono spesso attività che interessano volumi elevati di dati.

Gli eventi di dati di esempio includono:

La tabella seguente mostra i tipi di risorse disponibili per i percorsi e gli archivi di dati di eventi. La colonna Tipo di risorsa (console) mostra la selezione appropriata nella console. La colonna del valore resources.type mostra il resources.type valore da specificare per includere eventi di dati di quel tipo nel tuo trail o event data store utilizzando o. AWS CLI CloudTrail APIs

Per i trail, puoi utilizzare selettori di eventi di base o avanzati per registrare gli eventi di dati per oggetti Amazon S3 in bucket generici, funzioni Lambda e tabelle DynamoDB (mostrate nelle prime tre righe della tabella). Puoi utilizzare solo selettori di eventi avanzati per registrare i tipi di risorse mostrati nelle righe rimanenti.

Per i datastore di eventi, per includere gli eventi di dati è possibile utilizzare solo i selettori di eventi avanzati.

Quando si crea un percorso o un datastore di eventi, gli eventi di dati non vengono registrati per impostazione predefinita. Per registrare gli eventi CloudTrail relativi ai dati, è necessario aggiungere in modo esplicito ogni tipo di risorsa per cui si desidera raccogliere attività. Per ulteriori informazioni sulla registrazione degli eventi di dati, consulta Registrazione degli eventi di dati.

Per la registrazione degli eventi di dati sono previsti costi aggiuntivi. Per i CloudTrail prezzi, consulta la sezione AWS CloudTrail Prezzi.

Eventi relativi alle attività di rete

CloudTrail gli eventi di attività di rete consentono ai proprietari di endpoint VPC di registrare le chiamate AWS API effettuate utilizzando i propri endpoint VPC da un VPC privato a. Servizio AWS Gli eventi di attività di rete forniscono visibilità sulle operazioni sulle risorse eseguite all'interno di un VPC.

È possibile registrare gli eventi di attività di rete per i seguenti servizi:

Per impostazione predefinita, gli eventi delle attività di rete non vengono registrati quando si crea un trail o un data store di eventi. Per registrare gli eventi CloudTrail di attività di rete, è necessario impostare in modo esplicito l'origine dell'evento per cui si desidera raccogliere l'attività. Per ulteriori informazioni, consulta Registrazione degli eventi delle attività di rete.

Si applicano costi aggiuntivi per la registrazione degli eventi di attività di rete. Per CloudTrail informazioni sui prezzi, consulta la sezione AWS CloudTrail Prezzi.

Eventi Insights

CloudTrail Gli eventi Insights rilevano attività insolite relative alla frequenza delle chiamate API o al tasso di errore nel tuo AWS account analizzando l'attività di CloudTrail gestione. Gli eventi Insights forniscono informazioni importanti, come l'API associata, codice di errore, l'ora dell'incidente e le statistiche, che ti permettono di comprendere l'attività insolita e intervenire. A differenza di altri tipi di eventi acquisiti in un archivio dati di CloudTrail trail o event, gli eventi di Insights vengono registrati solo quando CloudTrail rilevano cambiamenti nell'utilizzo dell'API dell'account o nella registrazione del tasso di errore che differiscono significativamente dai modelli di utilizzo tipici dell'account. Per ulteriori informazioni, consulta Lavorare con CloudTrail Insights.

Alcuni esempi di attività che potrebbero generare eventi Insights:

Questi esempi sono solo a scopo illustrativo. I risultati potrebbero variare a seconda del caso d'uso.

Per registrare gli eventi di CloudTrail Insights, devi abilitare esplicitamente gli eventi Insights su un trail o un data store di eventi nuovo o esistente. Per ulteriori informazioni sulla creazione di un trail, consulta Creazione di un percorso con la CloudTrail console. Per ulteriori informazioni sulla creazione di un datastore di eventi, consulta Crea un archivio dati sugli eventi per gli eventi Insights con la console.

Per gli eventi Insights vengono applicati costi aggiuntivi. Ti verrà addebitato separatamente se abiliti Insights sia per i percorsi che per i datastore di eventi. Per ulteriori informazioni, consulta AWS CloudTrail Prezzi.

Cronologia degli eventi

CloudTrail la cronologia degli eventi fornisce un record visualizzabile, ricercabile, scaricabile e immutabile degli ultimi 90 giorni di eventi di gestione in un. CloudTrail Regione AWS Puoi utilizzare questa cronologia per ottenere visibilità sulle azioni intraprese nel tuo AWS account negli strumenti da riga di comando e in AWS SDKs altri servizi. AWS Management Console AWS Puoi personalizzare la visualizzazione della cronologia degli eventi nella CloudTrail console selezionando le colonne da visualizzare. Per ulteriori informazioni, consulta Lavorare con la cronologia CloudTrail degli eventi.

Trail

Un trail è una configurazione che consente l'invio di CloudTrail eventi a un bucket S3, con consegna opzionale a CloudWatch Logs e Amazon. EventBridge Puoi utilizzare un percorso per scegliere gli CloudTrail eventi da inviare, crittografare i file di registro degli CloudTrail eventi con una AWS KMS chiave e configurare le notifiche di Amazon SNS per la consegna dei file di registro. Per ulteriori informazioni su come creare e gestire un trail, consulta Creare un percorso per il tuo Account AWS.

Percorsi multiregione e singola regione

Puoi creare percorsi multiregione e a regione singola per i tuoi. Account AWS

Un percorso multiregionale presenta i seguenti vantaggi:

La creazione di un percorso multiregionale ha i seguenti effetti:

Indipendentemente dal fatto che un percorso sia multiregionale o monoregionale, gli eventi inviati ad Amazon EventBridge vengono ricevuti nel bus eventi di ciascuna regione, anziché in un unico bus di eventi.

Più percorsi per regione

In presenza di gruppi di utenti diversi ma correlati tra loro, ad esempio sviluppatori, personale della sicurezza e revisori IT, puoi creare più trail per regione. Ciò consente a ciascun gruppo di ricevere la propria copia dei file di log.

CloudTrail supporta cinque percorsi per regione. Un percorso multiregionale conta come un percorso per regione.

Di seguito è riportato un esempio di regione con cinque sentieri:

È possibile visualizzare un elenco di percorsi Regione AWS in una pagina Percorsi della CloudTrail console. Per ulteriori informazioni, consulta Aggiornamento di un percorso con la CloudTrail console. Per CloudTrail i prezzi, consulta la sezione AWS CloudTrail Prezzi.

Percorsi organizzativi

Un percorso organizzativo è una configurazione che consente la distribuzione di CloudTrail eventi nell'account di gestione e in tutti gli account dei membri di un' AWS Organizations organizzazione nello stesso bucket Amazon S3 CloudWatch , Logs e Amazon. EventBridge La creazione di un percorso dell'organizzazione ti consente di definire una strategia di registrazione degli eventi coerente per la tua organizzazione.

Tutti gli itinerari organizzativi creati utilizzando la console sono percorsi organizzativi multiregionali che registrano gli eventi dagli account abilitati Regioni AWS in ogni account membro dell'organizzazione. Per registrare gli eventi in tutte le AWS partizioni dell'organizzazione, crea un itinerario organizzativo multiregionale in ogni partizione. È possibile creare un itinerario organizzativo a regione singola o multiarea utilizzando. AWS CLI Se si crea un itinerario a regione singola, si registra l'attività solo nel percorso Regione AWS (noto anche come regione principale).

Sebbene la Regioni AWS maggior parte sia abilitata di default per la tua Account AWS, devi abilitare manualmente alcune regioni (chiamate anche regioni opzionali). Per informazioni su quali regioni sono abilitate per impostazione predefinita, consulta Considerazioni prima di abilitare e disabilitare le regioni nella Gestione dell'account AWS Guida di riferimento. Per l'elenco delle regioni CloudTrail supportate, vedere. CloudTrail Regioni supportate

Quando crei un percorso organizzativo, una copia del percorso con il nome che gli hai assegnato viene creata negli account dei membri che appartengono alla tua organizzazione.

Gli utenti con CloudTrail autorizzazioni negli account dei membri saranno in grado di visualizzare gli itinerari dell'organizzazione (incluso l'ARN del percorso) quando accedono CloudTrail alla console dai AWS propri account o quando AWS CLI eseguono comandi describe-trails come (sebbene gli account membro debbano utilizzare l'ARN per l'itinerario dell'organizzazione e non il nome, quando utilizzano il). AWS CLI Tuttavia, gli utenti degli account membro non disporranno delle autorizzazioni sufficienti per eliminare gli itinerari organizzativi, attivare o disattivare la connessione, modificare i tipi di eventi registrati o modificare in altro modo gli itinerari organizzativi. Per ulteriori informazioni su AWS Organizations, consulta Concetti e terminologia di Organizations. Per ulteriori informazioni sulla creazione e sull'utilizzo di trail dell'organizzazione, consulta Creazione di un percorso per un'organizzazione.

CloudTrail Archivi di dati su laghi ed eventi

CloudTrail Lake ti consente di eseguire query granulari basate su SQL sui tuoi eventi e di registrare gli eventi da fonti esterne AWS, incluse le tue applicazioni, e dai partner che sono integrati con. CloudTrail Non è necessario che nel tuo account sia configurato un percorso per usare Lake. CloudTrail

Gli eventi vengono aggregati in archivi di dati degli eventi, che sono raccolte di eventi immutabili in base ai criteri selezionati applicando i selettori di eventi avanzati. Puoi conservare i dati degli eventi in un datastore di eventi per un massimo di 3.653 giorni (circa 10 anni) se scegli l'opzione Prezzo per la conservazione estendibile di un anno o di 2.557 giorni (circa 7 anni) se scegli l'opzione Prezzo per la conservazione di sette anni. Puoi salvare le query Lake per l'utilizzo futuro e visualizzarne i risultati per un massimo di sette giorni. Puoi anche salvare i risultati delle query in un bucket S3. CloudTrail Lake può anche archiviare eventi di un'organizzazione AWS Organizations in un data store di eventi o eventi provenienti da più regioni e account. CloudTrail Lake fa parte di una soluzione di controllo che consente di eseguire indagini di sicurezza e risoluzione dei problemi. Per ulteriori informazioni, consulta Lavorare con AWS CloudTrail Lake e CloudTrail Concetti e terminologia del lago.

CloudTrail Approfondimenti

CloudTrail Gli approfondimenti aiutano AWS gli utenti a identificare e rispondere a volumi insoliti di chiamate API o errori registrati nelle chiamate API analizzando continuamente gli eventi di CloudTrail gestione. Un evento Insights è un registro di livelli insoliti di attività API di gestione write o livelli insoliti di errori restituiti nell'attività dell'API di gestione. Per impostazione predefinita, i percorsi e gli archivi dati degli eventi non registrano gli eventi di CloudTrail Insights. Nella console puoi scegliere di registrare gli eventi Insights quando crei o aggiorni un percorso o un datastore di eventi. Quando utilizzi l' CloudTrail API, puoi registrare gli eventi di Insights modificando le impostazioni di un trail o di un data store di eventi esistente con l'PutInsightSelectorsAPI. Si applicano costi aggiuntivi per la registrazione degli eventi di CloudTrail Insights. Ti verrà addebitato separatamente se abiliti Insights sia per i percorsi che per i datastore di eventi. Per ulteriori informazioni, consulta Lavorare con CloudTrail Insights e Prezzi di AWS CloudTrail.

Tag

Un tag è una chiave definita dal cliente e un valore opzionale che può essere assegnato a AWS risorse, come CloudTrail percorsi, archivi dati di eventi e canali, bucket S3 utilizzati per archiviare file di CloudTrail registro, AWS Organizations organizzazioni e unità organizzative e molto altro. Aggiungendo gli stessi tag ai percorsi e ai bucket S3 utilizzati per archiviare i file di registro dei percorsi, puoi semplificare la gestione, la ricerca e il filtraggio di queste risorse. AWS Resource Groups È possibile implementare strategie di utilizzo dei tag per aiutarti in maniera regolare, efficace e semplice a trovare e gestire le risorse. Per ulteriori informazioni, consulta Best Practices for AWS Tagging Resources.

AWS Security Token Service e CloudTrail

AWS Security Token Service (AWS STS) è un servizio che dispone di un endpoint globale e supporta anche endpoint specifici della regione. Un endpoint è un URL che rappresenta il punto di partenza per le richieste di un servizio Web. Ad esempio, https://cloudtrail.us-west-2.amazonaws.com è il punto di ingresso regionale del servizio negli Stati Uniti occidentali (Oregon). AWS CloudTrail Gli endpoint regionali consentono di ridurre la latenza nelle applicazioni.

Quando si utilizza un endpoint AWS STS specifico di una regione, il percorso in quella regione riporta solo gli AWS STS eventi che si verificano in quella regione. Ad esempio, se utilizzi l'endpoint sts.us-west-2.amazonaws.com, il trail nella regione us-west-2 distribuisce solo gli eventi AWS STS che hanno origine nella regione us-west-2. Per ulteriori informazioni sugli endpoint AWS STS regionali, consulta Attivazione e disattivazione AWS STS in una AWS regione nella Guida per l'utente IAM.

Per un elenco completo degli endpoint AWS regionali, consulta AWS Regioni ed endpoint nel. Riferimenti generali di AWS Per ulteriori informazioni sugli eventi che hanno origine dall'endpoint AWS STS globale, consulta Eventi dei servizi globali.

Eventi dei servizi globali

Per la maggior parte dei servizi, gli eventi vengono registrati nella regione in cui si è verificata l'operazione. Per i servizi globali come AWS Identity and Access Management (IAM) e Amazon AWS STS CloudFront, gli eventi vengono distribuiti su qualsiasi percorso che includa servizi globali.

Per la maggior parte dei servizi globali, gli eventi sono registrati come se si verificassero nella Regione Stati Uniti orientali (Virginia settentrionale), ma alcuni eventi dei servizi globali sono registrati come se si verificassero in altre Regioni, come Stati Uniti orientali (Ohio) o Stati Uniti occidentali (Oregon).

Per evitare la ricezione di eventi di servizi globali duplicati, considerare quanto segue:

Esempio: