Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Comprendere CloudTrail gli eventi

Un evento in CloudTrail è il record di un'attività in un AWS account. Questa attività può essere un'azione intrapresa da un'identità IAM o da un servizio monitorabile da CloudTrail. CloudTrail gli eventi forniscono una cronologia delle attività degli account API e non API effettuate tramite AWS SDK Console di gestione AWS, strumenti a riga di comando e altro. Servizi AWS

CloudTrail i file di registro non sono una traccia ordinata dello stack delle chiamate API pubbliche, quindi gli eventi non vengono visualizzati in un ordine specifico.

Esistono quattro tipi di CloudTrail eventi:

Per impostazione predefinita, i percorsi e i dati degli eventi memorizzano gli eventi di gestione dei log, ma non gli eventi relativi ai dati, gli eventi di attività di rete o gli eventi Insights.

Tutti i tipi di eventi utilizzano un formato di registro CloudTrail JSON. Il log contiene informazioni sulle richieste di risorse a livello di account, ad esempio l'utente che ha effettuato la richiesta, i servizi utilizzati, le azioni eseguite e i parametri dell'operazione. I dati relativi agli eventi sono racchiusi in una matrice Records.

Per informazioni sui campi di registrazione CloudTrail degli eventi per la gestione, i dati e gli eventi di attività di rete, vedereCloudTrail registrare contenuti per eventi di gestione, dati e attività di rete.

Per informazioni sui CloudTrail campi di registrazione degli eventi di Insights per i percorsi, consultaCloudTrail registrare contenuti per eventi Insights per sentieri.

Per informazioni sui campi di registrazione CloudTrail degli eventi di Insights per gli archivi di dati degli eventi, consultaCloudTrail registra i contenuti per gli eventi Insights per gli archivi di dati degli eventi.

Eventi di gestione

Gli eventi di gestione forniscono informazioni sulle operazioni di gestione eseguite sulle risorse del tuo AWS account. Queste operazioni sono definite anche operazioni del piano di controllo.

Gli eventi di gestione di esempio includono:

Gli eventi di gestione possono includere anche eventi non API che si verificano nel tuo account. Ad esempio, quando un utente accede al tuo account, CloudTrail registra l'ConsoleLoginevento. Per ulteriori informazioni, consulta Eventi non API acquisiti da CloudTrail.

Per impostazione predefinita, CloudTrail Trails and CloudTrail Lake Event Data archivia gli eventi di gestione dei log. Per ulteriori informazioni sulla registrazione degli eventi di gestione, vedereRegistrazione degli eventi di gestione.

L'esempio seguente mostra un singolo record di registro di un evento di gestione. In questo evento, un utente IAM denominato Mary_Major ha eseguito il aws cloudtrail start-logging comando per chiamare l' CloudTrail StartLoggingazione per avviare il processo di registrazione su un percorso denominatomyTrail.

{
    "eventVersion": "1.09",
    "userIdentity": {
        "type": "IAMUser",
        "principalId": "EXAMPLE6E4XEGITWATV6R",
        "arn": "arn:aws:iam::123456789012:user/Mary_Major",
        "accountId": "123456789012",
        "accessKeyId": "AKIAIOSFODNN7EXAMPLE",
        "userName": "Mary_Major",
        "sessionContext": {
            "attributes": {
                "creationDate": "2023-07-19T21:11:57Z",
                "mfaAuthenticated": "false"
            }
        }
    },
    "eventTime": "2023-07-19T21:33:41Z",
    "eventSource": "cloudtrail.amazonaws.com",
    "eventName": "StartLogging",
    "awsRegion": "us-east-1",
    "sourceIPAddress": "192.0.2.0",
    "userAgent": "aws-cli/2.13.5 Python/3.11.4 Linux/4.14.255-314-253.539.amzn2.x86_64 exec-env/CloudShell exe/x86_64.amzn.2 prompt/off command/cloudtrail.start-logging",
    "requestParameters": {
        "name": "myTrail"
    },
    "responseElements": null,
    "requestID": "9d478fc1-4f10-490f-a26b-EXAMPLE0e932",
    "eventID": "eae87c48-d421-4626-94f5-EXAMPLEac994",
    "readOnly": false,
    "eventType": "AwsApiCall",
    "managementEvent": true,
    "recipientAccountId": "123456789012",
    "eventCategory": "Management",
    "tlsDetails": {
        "tlsVersion": "TLSv1.2",
        "cipherSuite": "ECDHE-RSA-AES128-GCM-SHA256",
        "clientProvidedHostHeader": "cloudtrail.us-east-1.amazonaws.com"
    },
    "sessionCredentialFromConsole": "true"
}

In questo esempio successivo, un utente IAM di nome Paulo_Santos ha eseguito il comando aws cloudtrail start-event-data-store-ingestion per richiamare l'operazione StartEventDataStoreIngestion per avviare l'importazione su un datastore di eventi.

{
    "eventVersion": "1.09",
    "userIdentity": {
        "type": "IAMUser",
        "principalId": "EXAMPLEPHCNW5EQV7NA54",
        "arn": "arn:aws:iam::123456789012:user/Paulo_Santos",
        "accountId": "123456789012",
        "accessKeyId": "(AKIAIOSFODNN7EXAMPLE",
        "userName": "Paulo_Santos",
        "sessionContext": {
            "attributes": {
                "creationDate": "2023-07-21T21:55:30Z",
                "mfaAuthenticated": "false"
            }
        }
    },
    "eventTime": "2023-07-21T21:57:28Z",
    "eventSource": "cloudtrail.amazonaws.com",
    "eventName": "StartEventDataStoreIngestion",
    "awsRegion": "us-east-1",
    "sourceIPAddress": "192.0.2.0",
    "userAgent": "aws-cli/2.13.1 Python/3.11.4 Linux/4.14.255-314-253.539.amzn2.x86_64 exec-env/CloudShell exe/x86_64.amzn.2 prompt/off command/cloudtrail.start-event-data-store-ingestion",
    "requestParameters": {
        "eventDataStore": "arn:aws:cloudtrail:us-east-1:123456789012:eventdatastore/2a8f2138-0caa-46c8-a194-EXAMPLE87d41"
    },
    "responseElements": null,
    "requestID": "f62a3494-ba4e-49ee-8e27-EXAMPLE4253f",
    "eventID": "d97ca7e2-04fe-45b4-882d-EXAMPLEa9b2c",
    "readOnly": false,
    "eventType": "AwsApiCall",
    "managementEvent": true,
    "recipientAccountId": "123456789012",
    "eventCategory": "Management",
    "tlsDetails": {
        "tlsVersion": "TLSv1.2",
        "cipherSuite": "ECDHE-RSA-AES128-GCM-SHA256",
        "clientProvidedHostHeader": "cloudtrail.us-east-1.amazonaws.com"
    },
    "sessionCredentialFromConsole": "true"
}

Eventi di dati

Gli eventi di dati forniscono informazioni sulle operazioni eseguite in una risorsa o al suo interno. Queste operazioni sono definite anche operazioni del piano dei dati. Gli eventi di dati sono spesso attività che interessano volumi elevati di dati.

Gli eventi di dati di esempio includono:

La tabella seguente mostra i tipi di risorse disponibili per i percorsi e gli archivi di dati degli eventi. La colonna Tipo di risorsa (console) mostra la selezione appropriata nella console. La colonna del valore resources.type mostra il resources.type valore da specificare per includere eventi di dati di quel tipo nel tuo trail o event data store utilizzando le API or. AWS CLI CloudTrail

Per i percorsi, puoi utilizzare selettori di eventi di base o avanzati per registrare eventi di dati per oggetti Amazon S3 in bucket generici, funzioni Lambda e tabelle DynamoDB (mostrate nelle prime tre righe della tabella). Puoi utilizzare solo selettori di eventi avanzati per registrare i tipi di risorse mostrati nelle righe rimanenti.

Per i datastore di eventi, per includere gli eventi di dati è possibile utilizzare solo i selettori di eventi avanzati.

Eventi di dati supportati da AWS CloudTrail

Quando si crea un percorso o un datastore di eventi, gli eventi di dati non vengono registrati per impostazione predefinita. Per registrare gli eventi CloudTrail relativi ai dati, è necessario aggiungere esplicitamente le risorse o i tipi di risorse supportati per i quali si desidera raccogliere le attività. Per ulteriori informazioni, consultare Creare un percorso con la CloudTrail console e Crea un archivio dati per CloudTrail gli eventi con la console.

Per la registrazione degli eventi di dati sono previsti costi aggiuntivi. Per i CloudTrail prezzi, consulta AWS CloudTrail Prezzi.

L'esempio seguente mostra un singolo record di log di un evento di dati per l'Publishazione Amazon SNS.

{
   "eventVersion": "1.09",
   "userIdentity": {
        "type": "AssumedRole",
        "principalId": "EX_PRINCIPAL_ID",
        "arn": "arn:aws:iam::123456789012:user/Bob",
        "accountId": "123456789012",
        "accessKeyId": "AKIAIOSFODNN7EXAMPLE",
        "sessionContext": {
        "sessionIssuer": {
            "type": "Role",
            "principalId": "AKIAIOSFODNN7EXAMPLE",
            "arn": "arn:aws:iam::123456789012:role/Admin",
            "accountId": "123456789012",
            "userName": "ExampleUser"
            },
            "attributes": {
                "creationDate": "2023-08-21T16:44:05Z",
                "mfaAuthenticated": "false"
            }
        }
    },
    "eventTime": "2023-08-21T16:48:37Z",
    "eventSource": "sns.amazonaws.com",
    "eventName": "Publish",
    "awsRegion": "us-east-1",
    "sourceIPAddress": "192.0.2.0",
    "userAgent": "aws-cli/1.29.16 md/Botocore#1.31.16 ua/2.0 os/linux#5.4.250-173.369.amzn2int.x86_64 md/arch#x86_64 lang/python#3.8.17 md/pyimpl#CPython cfg/retry-mode#legacy botocore/1.31.16",
    "requestParameters": {
        "topicArn": "arn:aws:sns:us-east-1:123456789012:ExampleSNSTopic",
        "message": "HIDDEN_DUE_TO_SECURITY_REASONS",
        "subject": "HIDDEN_DUE_TO_SECURITY_REASONS",
        "messageStructure": "json",
        "messageAttributes": "HIDDEN_DUE_TO_SECURITY_REASONS"
    },
    "responseElements": {
        "messageId": "0787cd1e-d92b-521c-a8b4-90434e8ef840"
    },
    "requestID": "0a8ab208-11bf-5e01-bd2d-ef55861b545d",
    "eventID": "bb3496d4-5252-4660-9c28-3c6aebdb21c0",
    "readOnly": false,
    "resources": [{
        "accountId": "123456789012",
        "type": "AWS::SNS::Topic",
                "ARN": "arn:aws:sns:us-east-1:123456789012:ExampleSNSTopic"
    }],
    "eventType": "AwsApiCall",
    "managementEvent": false,
    "recipientAccountId": "123456789012",
    "eventCategory": "Data",
    "tlsDetails": {
        "tlsVersion": "TLSv1.2",
        "cipherSuite": "ECDHE-RSA-AES128-GCM-SHA256",
        "clientProvidedHostHeader": "sns.us-east-1.amazonaws.com"
    }
}

L'esempio successivo mostra un singolo record di log di un evento di dati per l'azione Amazon CognitoGetCredentialsForIdentity.

{
    "eventVersion": "1.08",
    "userIdentity": {
        "type": "Unknown"
    },
    "eventTime": "2023-01-19T16:55:08Z",
    "eventSource": "cognito-identity.amazonaws.com",
    "eventName": "GetCredentialsForIdentity",
    "awsRegion": "us-east-1",
    "sourceIPAddress": "192.0.2.4",
    "userAgent": "aws-cli/2.7.25 Python/3.9.11 Darwin/21.6.0 exe/x86_64 prompt/off command/cognito-identity.get-credentials-for-identity",
    "requestParameters": {
        "logins": {
            "cognito-idp.us-east-1.amazonaws.com/us-east-1_aaaaaaaaa": "HIDDEN_DUE_TO_SECURITY_REASONS"
        },
        "identityId": "us-east-1:1cf667a2-49a6-454b-9e45-23199EXAMPLE"
    },
    "responseElements": {
        "credentials": {
            "accessKeyId": "ASIAIOSFODNN7EXAMPLE",
            "sessionToken": "aAaAaAaAaAaAab1111111111EXAMPLE",
            "expiration": "Jan 19, 2023 5:55:08 PM"
        },
        "identityId": "us-east-1:1cf667a2-49a6-454b-9e45-23199EXAMPLE"
    },
    "requestID": "659dfc23-7c4e-4e7c-858a-1abce884d645",
    "eventID": "6ad1c766-5a41-4b28-b5ca-e223ccb00f0d",
    "readOnly": false,
    "resources": [{
        "accountId": "111122223333",
        "type": "AWS::Cognito::IdentityPool",
        "ARN": "arn:aws:cognito-identity:us-east-1:111122223333:identitypool/us-east-1:2dg778b3-50b7-565c-0f56-34200EXAMPLE"
    }],
    "eventType": "AwsApiCall",
    "managementEvent": false,
    "recipientAccountId": "111122223333",
    "eventCategory": "Data"
}

Eventi di attività di rete

CloudTrail gli eventi di attività di rete consentono ai proprietari di endpoint VPC di registrare le chiamate AWS API effettuate utilizzando i propri endpoint VPC da un VPC privato a. Servizio AWS Gli eventi di attività di rete forniscono visibilità sulle operazioni sulle risorse eseguite all'interno di un VPC.

È possibile registrare gli eventi di attività di rete per i seguenti servizi:

Gli eventi di attività di rete non vengono registrati per impostazione predefinita quando si crea un data store di percorsi o eventi. Per registrare gli eventi CloudTrail di attività di rete, è necessario impostare in modo esplicito l'origine dell'evento per la quale si desidera raccogliere l'attività. Per ulteriori informazioni, consulta Registrazione degli eventi delle attività di rete.

Sono previsti costi aggiuntivi per la registrazione degli eventi di attività di rete. Per CloudTrail i prezzi, vedi AWS CloudTrail Prezzi.

L'esempio seguente mostra un AWS KMS ListKeys evento riuscito che ha attraversato un endpoint VPC. Il vpcEndpointId campo mostra l'ID dell'endpoint VPC. Il vpcEndpointAccountId campo mostra l'ID dell'account del proprietario dell'endpoint VPC. In questo esempio, la richiesta è stata effettuata dal proprietario dell'endpoint VPC.

{
    "eventVersion": "1.09",
    "userIdentity": {
        "type": "AssumedRole",
        "principalId": "ASIAIOSFODNN7EXAMPLE:role-name",
        "arn": "arn:aws:sts::123456789012:assumed-role/Admin/role-name",
        "accountId": "123456789012",
        "accessKeyId": "ASIAIOSFODNN7EXAMPLE",
        "sessionContext": {
            "sessionIssuer": {
                "type": "Role",
                "principalId": "ASIAIOSFODNN7EXAMPLE",
                "arn": "arn:aws:iam::123456789012:role/Admin",
                "accountId": "123456789012",
                "userName": "Admin"
            },
            "attributes": {
                "creationDate": "2024-06-04T23:10:46Z",
                "mfaAuthenticated": "false"
            }
        }
    },
    "eventTime": "2024-06-04T23:12:50Z",
    "eventSource": "kms.amazonaws.com",
    "eventName": "ListKeys",
    "awsRegion": "us-east-1",
    "sourceIPAddress": "192.0.2.0",
    "requestID": "16bcc089-ac49-43f1-9177-EXAMPLE23731",
    "eventID": "228ca3c8-5f95-4a8a-9732-EXAMPLE60ed9",
    "eventType": "AwsVpceEvent",
    "recipientAccountId": "123456789012",
    "sharedEventID": "a1f3720c-ef19-47e9-a5d5-EXAMPLE8099f",
    "vpcEndpointId": "vpce-EXAMPLE08c1b6b9b7",
    "vpcEndpointAccountId": "123456789012",
    "eventCategory": "NetworkActivity"
}

L'esempio successivo mostra un AWS KMS ListKeys evento non riuscito con una violazione della politica degli endpoint VPC. Poiché si è verificata una violazione della politica VPC, sono presenti entrambi errorCode i errorMessage campi. L'ID dell'account nei vpcEndpointAccountId campi recipientAccountId e è lo stesso, il che indica che l'evento è stato inviato al proprietario dell'endpoint VPC. L'userIdentityelemento accountId in the non è ilvpcEndpointAccountId, il che indica che l'utente che effettua la richiesta non è il proprietario dell'endpoint VPC.

{
    "eventVersion": "1.09",
    "userIdentity": {
        "type": "AWSAccount",
        "principalId": "AKIAIOSFODNN7EXAMPLE",
        "accountId": "777788889999"
    },
    "eventTime": "2024-07-15T23:57:12Z",
    "eventSource": "kms.amazonaws.com",
    "eventName": "ListKeys",
    "awsRegion": "us-east-1",
    "sourceIPAddress": "192.0.2.0",
    "errorCode": "VpceAccessDenied",
    "errorMessage": "The request was denied due to a VPC endpoint policy",
    "requestID": "899003b8-abc4-42bb-ad95-EXAMPLE0c374",
    "eventID": "7c6e3d04-0c3b-42f2-8589-EXAMPLE826c0",
    "eventType": "AwsVpceEvent",
    "recipientAccountId": "123456789012",
    "sharedEventID": "702f74c4-f692-4bfd-8491-EXAMPLEb1ac4",
    "vpcEndpointId": "vpce-EXAMPLE08c1b6b9b7",
    "vpcEndpointAccountId": "123456789012",
    "eventCategory": "NetworkActivity"
}

Eventi Insights

CloudTrail Gli eventi Insights rilevano la frequenza insolita delle chiamate API o del tasso di errore nel tuo AWS account analizzando l'attività di CloudTrail gestione. Gli eventi Insights forniscono informazioni importanti, come l'API associata, codice di errore, l'ora dell'incidente e le statistiche, che ti permettono di comprendere l'attività insolita e intervenire. A differenza di altri tipi di eventi acquisiti in un CloudTrail trail o in un data store di eventi, gli eventi Insights vengono registrati solo quando CloudTrail rileva modifiche nell'utilizzo dell'API o nella registrazione del tasso di errore dell'account che differiscono significativamente dai modelli di utilizzo tipici dell'account. Per ulteriori informazioni, consulta Lavorare con CloudTrail Insights.

Alcuni esempi di attività che potrebbero generare eventi Insights:

Questi esempi sono solo a scopo illustrativo. I risultati potrebbero variare a seconda del caso d'uso.

Per registrare gli eventi CloudTrail Insights, devi abilitare esplicitamente gli eventi Insights su un data store di percorsi o eventi nuovo o esistente. Per ulteriori informazioni sulla creazione di un trail, consulta Creare un percorso con la CloudTrail console. Per ulteriori informazioni sulla creazione di un datastore di eventi, consulta Crea un archivio dati per gli eventi Insights con la console.

Per gli eventi Insights vengono applicati costi aggiuntivi. Ti verrà addebitato separatamente se abiliti Insights sia per i percorsi che per i datastore di eventi. Per ulteriori informazioni, consultare AWS CloudTrail Prezzi.

Sono registrati due eventi per mostrare attività insolite in CloudTrail Insights: un evento iniziale e un evento finale. Nell'esempio seguente viene illustrato un singolo record di log di un evento Insights di inizio che si è verificato quando l'API CompleteLifecycleAction di Application Auto Scaling è stata chiamata un numero insolito di volte. Per gli eventi Insights, il valore di eventCategory è Insight. Un blocco insightDetails identifica lo stato dell'evento, l'origine, il nome, il tipo di Insights e il contesto, incluse le statistiche e le attribuzioni. Per ulteriori informazioni sul blocco insightDetails, consulta CloudTrail registrare contenuti per eventi Insights per sentieri.

{
        "eventVersion": "1.08",
        "eventTime": "2023-07-10T01:42:00Z",
        "awsRegion": "us-east-1",
        "eventID": "55ed45c5-0b0c-4228-9fe5-EXAMPLEc3f4d",
        "eventType": "AwsCloudTrailInsight",
        "recipientAccountId": "123456789012",
        "sharedEventID": "979c82fe-14d4-4e4c-aa01-EXAMPLE3acee",
        "insightDetails": {
            "state": "Start",
            "eventSource": "autoscaling.amazonaws.com",
            "eventName": "CompleteLifecycleAction",
            "insightType": "ApiCallRateInsight",
            "insightContext": {
                "statistics": {
                    "baseline": {
                        "average": 9.82222E-5
                    },
                    "insight": {
                        "average": 5.0
                    },
                    "insightDuration": 1,
                    "baselineDuration": 10181
                },
                "attributions": [{
                    "attribute": "userIdentityArn",
                    "insight": [{
                        "value": "arn:aws:sts::123456789012:assumed-role/CodeDeployRole1",
                        "average": 5.0
                    }, {
                        "value": "arn:aws:sts::123456789012:assumed-role/CodeDeployRole2",
                        "average": 5.0
                    }, {
                        "value": "arn:aws:sts::123456789012:assumed-role/CodeDeployRole3",
                        "average": 5.0
                    }],
                    "baseline": [{
                        "value": "arn:aws:sts::123456789012:assumed-role/CodeDeployRole1",
                        "average": 9.82222E-5
                    }]
                }, {
                    "attribute": "userAgent",
                    "insight": [{
                        "value": "codedeploy.amazonaws.com",
                        "average": 5.0
                    }],
                    "baseline": [{
                        "value": "codedeploy.amazonaws.com",
                        "average": 9.82222E-5
                    }]
                }, {
                    "attribute": "errorCode",
                    "insight": [{
                        "value": "null",
                        "average": 5.0
                    }],
                    "baseline": [{
                        "value": "null",
                        "average": 9.82222E-5
                    }]
                }]
            }
        },
        "eventCategory": "Insight"
    }