Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Filtraggio degli eventi relativi ai dati utilizzando selettori di eventi avanzati

Questa sezione descrive come utilizzare selettori di eventi avanzati per creare selettori dettagliati, che consentono di controllare i costi registrando solo gli eventi di dati specifici di interesse.

Per esempio:

La tabella seguente fornisce informazioni aggiuntive sui campi configurabili per i selettori di eventi avanzati.

Per registrare gli eventi relativi ai dati utilizzando la CloudTrail console, scegli l'opzione Data events, quindi seleziona il tipo di risorsa che ti interessa quando crei o aggiorni un trail o un data store di eventi. La tabella Data events mostra i possibili tipi di risorse che puoi scegliere sulla CloudTrail console.

Per registrare gli eventi relativi ai dati con AWS CLI, configura il --advanced-event-selector parametro in modo che imposti eventCategory un resources.type valore uguale Data e uguale al valore del tipo di risorsa per il quale desideri registrare gli eventi relativi ai dati. La tabella Data events elenca i tipi di risorse disponibili.

Ad esempio, se desideri registrare gli eventi relativi ai dati per tutti i pool di identità di Cognito, devi configurare il --advanced-event-selectors parametro in modo che abbia il seguente aspetto:

--advanced-event-selectors '[
    {
       "Name": "Log Cognito data events on Identity pools",
       "FieldSelectors": [
         { "Field": "eventCategory", "Equals": ["Data"] },
         { "Field": "resources.type", "Equals": ["AWS::Cognito::IdentityPool"] }
       ]
     }
]'

L'esempio precedente registra tutti gli eventi relativi ai dati di Cognito nei pool di identità. È possibile perfezionare ulteriormente i selettori di eventi avanzati per filtrare in base ai resources.ARN campi eventNamereadOnly, e per registrare eventi specifici di interesse o escludere eventi che non sono di interesse.

Puoi configurare selettori di eventi avanzati per filtrare gli eventi di dati in base a più campi. Ad esempio, puoi configurare selettori di eventi avanzati per registrare tutte le chiamate Amazon PutObject S3 DeleteObject e API, ma escludere la registrazione degli eventi per uno specifico bucket S3, come mostrato nell'esempio seguente. Sostituisci amzn-s3-demo-bucket con il nome del tuo bucket.

--advanced-event-selectors
'[
  {
    "Name": "Log PutObject and DeleteObject events for all but one bucket",
    "FieldSelectors": [
      { "Field": "eventCategory", "Equals": ["Data"] },
      { "Field": "resources.type", "Equals": ["AWS::S3::Object"] },
      { "Field": "eventName", "Equals": ["PutObject","DeleteObject"] },
      { "Field": "resources.ARN", "NotStartsWith": ["arn:aws:s3:::amzn-s3-demo-bucket/"] }
    ]
  }
]'

Puoi anche includere più condizioni per un campo. Per informazioni su come vengono valutate più condizioni, vedereCome CloudTrail valuta più condizioni per un campo.

È possibile utilizzare selettori di eventi avanzati per registrare sia gli eventi di gestione che quelli relativi ai dati. Per registrare gli eventi relativi ai dati per più tipi di risorse, aggiungi un'istruzione di selezione dei campi per ogni tipo di risorsa per cui desideri registrare gli eventi relativi ai dati.

Come CloudTrail valuta più condizioni per un campo

Per i selettori di eventi avanzati, CloudTrail valuta più condizioni per un campo nel modo seguente:

Esempio che mostra più condizioni per il campo resources.ARN

L'istruzione di selezione degli eventi di esempio seguente raccoglie gli eventi di dati per il tipo di AWS::S3::Object risorsa e applica più condizioni sul resources.ARN campo.

{
    "Name": "S3Select",
    "FieldSelectors": [
      {
        "Field": "eventCategory",
        "Equals": [
          "Data"
        ]
      },
      {
        "Field": "resources.type",
        "Equals": [
          "AWS::S3::Object"
        ]
      },
      {
        "Field": "resources.ARN",
        "Equals": [
          "arn:aws:s3:::amzn-s3-demo-bucket/object1"
        ],
        "StartsWith": [
          "arn:aws:s3:::amzn-s3-demo-bucket/"
        ],
        "EndsWith": [
          "object3"
        ],
        "NotStartsWith": [
          "arn:aws:s3:::amzn-s3-demo-bucket/deselect"
        ],
        "NotEndsWith": [
          "object5"
        ],
        "NotEquals": [
          "arn:aws:s3:::amzn-s3-demo-bucket/object6"
        ]
      }
    ]
  }

Nell'esempio precedente, gli eventi relativi ai dati di Amazon S3 per AWS::S3::Object la risorsa verranno consegnati se:

In base alla logica di valutazione:

Filtraggio degli eventi relativi ai dati per eventName

Utilizzando selettori di eventi avanzati, è possibile includere o escludere eventi in base al valore del eventName campo. Il filtraggio eventName può aiutare a controllare i costi, in quanto eviti di incorrere in costi quando registri gli eventi relativi Servizio AWS ai dati per aggiungere supporto per nuovi dati. APIs

Puoi utilizzare qualsiasi operatore con il campo. eventName È possibile utilizzarlo per filtrare o filtrare qualsiasi evento di dati registrato, ad CloudTrail esempio o. PutBucket GetSnapshotBlock

Filtrare gli eventi relativi ai dati utilizzando il eventNameAWS Management Console

Effettua le seguenti operazioni per filtrare in base al eventName campo utilizzando la CloudTrail console.

Filtrare gli eventi relativi ai dati utilizzando il eventNameAWS CLI

Utilizzando AWS CLI, è possibile filtrare il eventName campo per includere o escludere eventi specifici.

Se stai aggiornando un trail o un event data store esistente per registrare selettori di eventi aggiuntivi, ottieni i selettori di eventi correnti eseguendo il get-event-selectorscomando per un trail o il get-event-data-storecomando per un event data store. Quindi, aggiorna i selettori di eventi per aggiungere un selettore di campo per ogni tipo di risorsa dati che desideri registrare.

L'esempio seguente registra gli eventi relativi ai dati S3 su un percorso. --advanced-event-selectorsSono configurati per registrare solo gli eventi relativi ai dati per le GetObject chiamatePutObject, e DeleteObject API.

aws cloudtrail put-event-selectors \
--trail-name trailName \
--advanced-event-selectors '[
  {
    "Name": "Log GetObject, PutObject and DeleteObject S3 data events",
    "FieldSelectors": [
      { "Field": "eventCategory", "Equals": ["Data"] },
      { "Field": "resources.type", "Equals": ["AWS::S3::Object"] },
      { "Field": "eventName", "Equals": ["GetObject","PutObject","DeleteObject"] }
    ]
  }
]'   

L'esempio successivo crea un nuovo archivio dati di eventi che registra gli eventi di dati per EBS Direct APIs ma esclude ListChangedBlocks le chiamate API. È possibile utilizzare il update-event-data-storecomando per aggiornare un archivio dati di eventi esistente.

aws cloudtrail create-event-data-store \
--name "eventDataStoreName"
--advanced-event-selectors '[
    {
        "Name": "Log all EBS Direct API data events except ListChangedBlocks",
        "FieldSelectors": [
            { "Field": "eventCategory", "Equals": ["Data"] },
            { "Field": "resources.type", "Equals": ["AWS::EC2::Snapshot"] },
            { "Field": "eventName", "NotEquals": ["ListChangedBlocks"] }
         ]
    }
]'        

Filtraggio degli eventi di dati per resources.ARN

Utilizzando selettori di eventi avanzati, è possibile filtrare in base al valore del resources.ARN campo.

È possibile utilizzare qualsiasi operatore conresources.ARN, ma se si utilizza Equals oNotEquals, il valore deve corrispondere esattamente all'ARN di una risorsa valida per il resources.type valore specificato. Per registrare tutti gli eventi di dati per tutti gli oggetti in un bucket S3 specifico, utilizza l'operatore StartsWith e includi solo l'ARN del bucket come valore corrispondente.

Per ulteriori informazioni sui formati ARN delle risorse relative agli eventi di dati, vedere Azioni, risorse e chiavi di condizione Servizi AWS nel Service Authorization Reference.

Filtraggio degli eventi relativi ai dati resources.ARN utilizzando il AWS Management Console

Effettua le seguenti operazioni per filtrare in base al resources.ARN campo utilizzando la CloudTrail console.

Filtrare gli eventi relativi ai dati utilizzando il resources.ARNAWS CLI

Utilizzando AWS CLI, è possibile filtrare il resources.ARN campo per registrare gli eventi per un ARN specifico o escludere la registrazione per un ARN specifico.

Se stai aggiornando un trail o un event data store esistente per registrare selettori di eventi aggiuntivi, ottieni i selettori di eventi correnti eseguendo il get-event-selectorscomando per un trail o il get-event-data-storecomando per un event data store. Quindi, aggiorna i selettori di eventi per aggiungere un selettore di campo per ogni tipo di risorsa dati che desideri registrare.

L'esempio seguente mostra come configurare il percorso per includere tutti gli eventi di dati per tutti gli oggetti Amazon S3 in un S3 Bucket specifico. Il valore per gli eventi S3 per il campo resources.type è AWS::S3::Object. Poiché i valori ARN per gli oggetti S3 e i bucket S3 sono leggermente diversi, devi aggiungere l'operatore StartsWith affinché resources.ARN acquisisca tutti gli eventi.

aws cloudtrail put-event-selectors \ 
--trail-name TrailName \ 
--region region \
--advanced-event-selectors \
'[
    {
        "Name": "S3EventSelector",
        "FieldSelectors": [
            { "Field": "eventCategory", "Equals": ["Data"] },
                { "Field": "resources.type", "Equals": ["AWS::S3::Object"] },
                { "Field": "resources.ARN", "StartsWith": ["arn:aws:s3:::amzn-s3-demo-bucket/"] }
            ]
    }
]'

Filtraggio degli eventi di dati per valore readOnly

Utilizzando selettori di eventi avanzati, puoi filtrare in base al valore del readOnly campo.

È possibile utilizzare l'Equalsoperatore solo con il readOnly campo. È possibile impostare il readOnly valore su true ofalse. Se non si aggiunge questo campo, CloudTrail registra sia gli eventi di lettura che quelli di scrittura. Un valore di true log legge solo gli eventi. Un valore di false log scrive solo eventi.

Filtraggio degli eventi di dati per readOnly valore utilizzando il AWS Management Console

Segui i passaggi seguenti per filtrare in base al readOnly campo utilizzando la CloudTrail console.

Filtraggio degli eventi relativi ai dati per readOnly valore utilizzando AWS CLI

Utilizzando AWS CLI, è possibile filtrare in base al readOnly campo.

È possibile utilizzare solo l'Equalsoperatore con il readOnly campo. È possibile impostare il readOnly valore su true ofalse. Se non si aggiunge questo campo, CloudTrail registra sia gli eventi di lettura che quelli di scrittura. Un valore di true log legge solo gli eventi. Un valore di false log scrive solo eventi.

Se stai aggiornando un trail o un event data store esistente per registrare selettori di eventi aggiuntivi, ottieni i selettori di eventi correnti eseguendo il get-event-selectorscomando per un trail o il get-event-data-storecomando per un event data store. Quindi, aggiorna i selettori di eventi per aggiungere un selettore di campo per ogni tipo di risorsa dati che desideri registrare.

L'esempio seguente mostra come configurare il percorso per registrare eventi di dati di sola lettura per tutti gli oggetti Amazon S3.

aws cloudtrail put-event-selectors \
--trail-name TrailName \
--region region \
--advanced-event-selectors '[
    {
            "Name": "Log read-only S3 data events",
            "FieldSelectors": [
                { "Field": "eventCategory", "Equals": ["Data"] },
                { "Field": "resources.type", "Equals": ["AWS::S3::Object"] },
                { "Field": "readOnly", "Equals": ["true"] }
            ]
    }
]'       

Il prossimo esempio crea un nuovo archivio dati di eventi che registra solo gli eventi di dati di sola scrittura per EBS Direct. APIs È possibile utilizzare il update-event-data-storecomando per aggiornare un archivio dati di eventi esistente.

aws cloudtrail create-event-data-store \
--name "eventDataStoreName" \
--advanced-event-selectors \
'[
    {
            "Name": "Log write-only EBS Direct API data events",
            "FieldSelectors": [
                { "Field": "eventCategory", "Equals": ["Data"] },
                { "Field": "resources.type", "Equals": ["AWS::EC2::Snapshot"] },
                { "Field": "readOnly", "Equals": ["false"] }
            ]
     }
]'