CloudTrail contenuto del record

La data e l'ora di completamento della richiesta, in base all'ora universale coordinata (UTC). Il timestamp di un evento proviene dall'host locale che fornisce l'APIendpoint del servizio su cui è stata effettuata la API chiamata. Ad esempio, un CreateBucket API evento che viene eseguito nella regione degli Stati Uniti occidentali (Oregon) otterrà il timestamp dall'ora in cui si trova su un AWS host che esegue l'endpoint Amazon S3,. s3.us-west-2.amazonaws.com In generale, AWS i servizi utilizzano Network Time Protocol (NTP) per sincronizzare gli orologi di sistema.

Since: 1.0

Optional: False

Versione del formato dell'evento di log. La versione attuale è la 1.11.

Il eventVersion valore è una versione principale e secondaria nel modulomajor_version. minor_version. Ad esempio, puoi avere un valore eventVersion di 1.10, dove 1 è la versione principale e 10 è la versione secondaria.

CloudTrail incrementa la versione principale se viene apportata una modifica alla struttura degli eventi che non è compatibile con le versioni precedenti. Ciò include la rimozione di un JSON campo già esistente o la modifica della modalità di rappresentazione del contenuto di un campo (ad esempio, un formato di data). CloudTrail incrementa la versione secondaria se una modifica aggiunge nuovi campi alla struttura dell'evento. Questo può verificarsi se sono disponibili nuove informazioni per alcuni o tutti gli eventi esistenti oppure se sono disponibili nuove informazioni solo per novi tipi di eventi. Le applicazioni possono ignorare i nuovi campi per rimanere compatibili con le nuove versioni secondarie della struttura dell'evento.

Se CloudTrail introduce nuovi tipi di eventi, ma la struttura dell'evento rimane invariata, la versione dell'evento non cambia.

Per essere certi che le applicazioni possano analizzare la struttura dell'evento, è consigliabile eseguire un confronto "uguale a" sul numero della versione principale. Per essere sicuri che i campi previsti dall'applicazione esistano, consigliamo anche di eseguire un confronto greater-than-or-equal -to sulla versione secondaria. Non sono presenti zeri iniziali nella versione secondaria. È possibile interpretare entrambi major_version e minor_version come numeri ed eseguire operazioni di confronto.

Since: 1.0

Optional: False

Informazioni sull'IAMidentità che ha effettuato una richiesta. Per ulteriori informazioni, consulta CloudTrail userIdentity elemento.

Since: 1.0

Optional: False

Servizio a cui è stata eseguita la richiesta. Questo nome è in genere la versione abbreviata del nome del servizio senza spazi e con il suffisso .amazonaws.com. Per esempio:

Questa convenzione è caratterizzata da alcune eccezioni. Ad esempio, eventSource per Amazon CloudWatch èmonitoring.amazonaws.com.

Since: 1.0

Optional: False

L'azione richiesta, che è una delle azioni previste API per quel servizio.

Since: 1.0

Optional: False

Il Regione AWS destinatario della richiesta, ad esempious-east-2. Per informazioni, consulta CloudTrail Regioni supportate.

Since: 1.0

Optional: False

Indirizzo IP da cui è stata effettuata la richiesta. Per le operazioni che hanno origine dalla console del servizio, l'indirizzo rilevato fa riferimento alla risorsa cliente sottostante, non al server Web della console. Per i servizi in AWS, viene visualizzato solo il DNS nome.

Since: 1.0

Optional: False

L'agente tramite il quale è stata effettuata la richiesta, ad esempio il AWS Management Console, un AWS servizio, il AWS SDKs o il AWS CLI. Questo campo ha una dimensione massima di 1 KB. Il contenuto che supera tale limite viene troncato. Di seguito sono riportati i valori di esempio:

Since: 1.0

Optional: True

L'errore di AWS servizio se la richiesta restituisce un errore. Per un esempio che mostra questo campo, consulta Esempio di codice di errore e log dei messaggi. Questo campo ha una dimensione massima di 1 KB. Il contenuto che supera tale limite viene troncato.

Per gli eventi di attività di rete, in caso di violazione della policy dell'VPCendpoint, il codice di errore èVpceAccessDenied.

Since: 1.0

Optional: True

Descrizione dell'errore, se la richiesta restituisce un errore. Questo messaggio include messaggi relativi a errori di autorizzazione. CloudTrail acquisisce il messaggio registrato dal servizio nella gestione delle eccezioni. Per vedere un esempio, consulta Esempio di codice di errore e log dei messaggi. Questo campo ha una dimensione massima di 1 KB. Il contenuto che supera tale limite viene troncato.

Per gli eventi di attività di rete, in caso di violazione della politica dell'VPCendpoint, errorMessage verrà sempre visualizzato il seguente messaggio:. The request was denied due to a VPC endpoint policy Per ulteriori informazioni sugli eventi di accesso negato per violazioni delle policy degli VPC endpoint, consulta Esempi di messaggi di errore di accesso negato nella Guida per l'IAMutente. Per un esempio di evento di attività di rete che mostra una violazione delle policy degli VPC endpoint, consulta Eventi di attività di rete in questa guida.

Since: 1.0

Optional: True

Eventuali parametri stati inviati assieme alla richiesta. Questi parametri sono documentati nella documentazione API di riferimento per il servizio appropriato AWS . Questo campo ha una dimensione massima di 100 KB. Quando la dimensione del campo supera i 100 KB, il requestParameters contenuto viene omesso.

Since: 1.0

Optional: False

Gli eventuali elementi di risposta per le azioni che apportano modifiche (azioni di creazione, aggiornamento o eliminazione). Se l'azione non restituisce elementi di risposta, questo campo ènull. Se un'azione non cambia lo stato (ad esempio, una richiesta per ottenere o elencare oggetti), questo elemento è omesso. Gli elementi di risposta per le azioni sono documentati nel riferimento API documentazione appropriata Servizio AWS. Questo campo ha una dimensione massima di 100 KB. Quando la dimensione del campo supera i 100 KB, il reponseElements contenuto viene omesso.

Il responseElements valore è utile per aiutarti a tracciare una richiesta con AWS Support. Entrambi x-amz-request-id e x-amz-id-2 contengono informazioni che consentono di tracciare una richiesta con AWS Support. Questi valori sono uguali a quelli che il servizio restituisce nella risposta alla richiesta avvia gli eventi, quindi puoi usarli per abbinare l'evento al richiesta.

Since: 1.0

Optional: False

Dati aggiuntivi sull'evento non facenti parte della richiesta o della risposta. Questo campo ha una dimensione massima di 28 KB. Quando la dimensione del campo supera i 28 KB, il additionalEventData contenuto viene omesso.

Il contenuto di additionalEventData è variabile. Ad esempio, per gli eventi di AWS Management Console accesso, additionalEventData potrebbe includere il MFAUsed campo con il valore Yes se la richiesta è stata effettuata da un root o da un IAM utente utilizzando l'autenticazione a più fattori ()MFA.

Since: 1.0

Optional: True

Valore che identifica la richiesta. Il servizio chiamato genera questo valore. Questo campo ha una dimensione massima di 1 KB. Il contenuto che supera tale limite viene troncato.

Since: 1.01

Optional: True

GUIDgenerato da CloudTrail per identificare in modo univoco ogni evento. Puoi utilizzare questo valore per identificare un singolo evento. Ad esempio, puoi utilizzare l'ID come chiave primaria per recuperare i dati di log da un database ricercabile.

Since: 1.01

Optional: False

Identifica il tipo di evento che ha generato il record dell'evento. Può essere uno dei seguenti valori:

Since: 1.02

Optional: False

Identifica la API versione associata al AwsApiCall eventType valore.

Since: 1.01

Optional: True

Un valore booleano che identifica se l'evento è un evento di gestione. managementEvent viene mostrato in un record di eventi se eventVersion è 1.06 o superiore e il tipo di evento è uno dei seguenti:

Since: 1.06

Optional: True

Identifica se questa operazione è un'operazione di sola lettura. Può essere uno dei seguenti valori:

Since: 1.01

Optional: True

Elenco delle risorse a cui è stato eseguito l'accesso nell'evento. Il campo può contenere le informazioni seguenti:

Ad esempio, quando viene registrato un evento AssumeRole, il campo resources può avere il seguente aspetto:

Ad esempio, i log con il resources campo, consulta AWS STS APIEvent in CloudTrail Log File nella Guida per l'IAMutente o Logging AWS KMS API Calls nella AWS Key Management Service Developer Guide.

Since: 1.01

Optional: True

Rappresenta l'ID dell'account che ha ricevuto questo evento. recipientAccountID può essere diverso da CloudTrail userIdentity elemento accountId. Questo può verificarsi nell'accesso alle risorse da più account. Ad esempio, se una KMS chiave, nota anche come AWS KMS key, è stata utilizzata da un account separato per chiamare Encrypt API, i recipientAccountID valori accountId and saranno gli stessi per l'evento inviato all'account che ha effettuato la chiamata, ma i valori saranno diversi per l'evento inviato all'account che possiede la chiave. KMS

Since: 1.02

Optional: True

Identifica l'evento del servizio, incluso l'elemento che ha attivato l'evento e il risultato. Per ulteriori informazioni, consulta Servizio AWS eventi. Questo campo ha una dimensione massima di 100 KB. Quando la dimensione del campo supera i 100 KB, il serviceEventDetails contenuto viene omesso.

Since: 1.05

Optional: True

GUIDgenerato da CloudTrail per identificare in modo univoco CloudTrail gli eventi derivanti dalla stessa AWS azione inviata a diversi account. AWS

Ad esempio, quando un account utilizza un account AWS KMS keyche appartiene a un altro account, l'account che ha utilizzato la KMS chiave e l'account che possiede la KMS chiave ricevono CloudTrail eventi separati per la stessa azione. Ogni CloudTrail evento fornito per questa AWS azione è lo stessosharedEventID, ma ha anche un eventID e unicorecipientAccountID.

Per ulteriori informazioni, consulta ID di esempio sharedEvent.

Since: 1.03

Optional: True

Identifica l'VPCendpoint in cui sono state effettuate le richieste da un AWS servizio VPC a un altro, ad esempio Amazon. EC2

Since: 1.04

Optional: True

Identifica l' Account AWS ID del proprietario dell'endpoint per l'VPCendpoint corrispondente per il quale è stata inoltrata una richiesta.

Dal: 1.09

Optional: True

Mostra la categoria dell'evento. La categoria di eventi viene utilizzata nelle LookupEventschiamate per filtrare gli eventi di gestione o Insights.

Since: 1.07

Optional: False

Se la consegna di un evento ha subito un ritardo o se diventano disponibili ulteriori informazioni su un evento esistente dopo la registrazione dell'evento, un campo addendum mostra informazioni sul motivo per cui l'evento ha subito un ritardo. Se mancavano informazioni da un evento esistente, il campo addendum include le informazioni mancanti e un motivo per cui mancavano. Il contenuto include quanto segue.

Since: 1.08

Optional: True

Indica se un evento ha avuto origine o meno da una sessione. AWS Management Console Questo campo non viene visualizzato a meno che il valore non siatrue, il che significa che il client utilizzato per effettuare la API chiamata era un proxy o un client esterno. Se è stato utilizzato un client proxy, il campo dell'evento tlsDetails non viene visualizzato.

Since: 1.08

Optional: True

Mostra informazioni sui dispositivi edge che sono destinazioni di una richiesta. Attualmente, gli eventi dei dispositivi S3 Outposts includono questo campo. Questo campo ha una dimensione massima di 28 KB. Il contenuto che supera tale limite viene troncato.

Since: 1.08

Optional: True

Mostra informazioni sulla versione di Transport Layer Security (TLS), sulle suite di crittografia e sul nome di dominio completo (FQDN) del nome host fornito dal client utilizzato nella API chiamata di servizio, che in genere è l'endpoint FQDN del servizio. CloudTrailregistra comunque i TLS dettagli parziali se le informazioni previste sono mancanti o vuote. Ad esempio, se la TLS versione e la suite di crittografia sono presenti, ma l'HOSTintestazione è vuota, TLS i dettagli disponibili vengono comunque registrati nell'evento. CloudTrail

Since: 1.08

Optional: True

Gli eventi A sharedEventID for CloudTrail Insights differiscono dagli eventi sharedEventID per la gestione e i tipi di dati degli CloudTrail eventi. Negli eventi Insights, a sharedEventID è un GUID evento generato da CloudTrail Insights per identificare in modo univoco un evento Insights. sharedEventIDè comune tra gli eventi Insights di inizio e fine e aiuta a collegare entrambi gli eventi per identificare in modo univoco attività insolite. Puoi considerare lo sharedEventID come l'ID evento generale di Insights.

Since: 1.07

Optional: False

Solo eventi Insights. Mostra informazioni sui trigger sottostanti di un evento Insights, ad esempio l'origine dell'evento, lo user agent, le statistiche, API il nome e indica se l'evento è l'inizio o la fine dell'evento Insights. Per ulteriori informazioni sui contenuti del blocco insightDetails, consulta CloudTrail insightDetailsElemento Insights.

Since: 1.07

Optional: False