Filtraggio degli eventi relativi ai dati utilizzando selettori di eventi avanzati

Questa sezione descrive come utilizzare selettori di eventi avanzati per creare selettori dettagliati, che consentono di controllare i costi registrando solo gli eventi di dati specifici di interesse.

Per esempio:

La tabella seguente fornisce informazioni aggiuntive sui campi configurabili per i selettori di eventi avanzati.

Per registrare gli eventi relativi ai dati utilizzando la CloudTrail console, scegli l'opzione Data events, quindi seleziona il tipo di evento Data che ti interessa quando crei o aggiorni un trail o un data store di eventi. La tabella Data events mostra i possibili tipi di eventi relativi ai dati che puoi scegliere sulla CloudTrail console.

Per registrare gli eventi relativi ai dati con il AWS CLI, configura il --advanced-event-selector parametro per impostare un valore eventCategory uguale Data e uguale al resources.type valore del tipo di risorsa per il quale desideri registrare gli eventi relativi ai dati. La tabella Data events elenca i tipi di risorse disponibili.

Ad esempio, se desideri registrare gli eventi relativi ai dati per tutti i pool di identità di Cognito, devi configurare il --advanced-event-selectors parametro in questo modo:

--advanced-event-selectors '[
    {
       "Name": "Log Cognito data events on Identity pools",
       "FieldSelectors": [
         { "Field": "eventCategory", "Equals": ["Data"] },
         { "Field": "resources.type", "Equals": ["AWS::Cognito::IdentityPool"] }
       ]
     }
]'

L'esempio precedente registra tutti gli eventi relativi ai dati di Cognito nei pool di identità. È possibile perfezionare ulteriormente i selettori di eventi avanzati per filtrare in base ai resources.ARN campi eventNamereadOnly, e per registrare eventi specifici di interesse o escludere eventi che non sono di interesse.

Puoi configurare selettori di eventi avanzati per filtrare gli eventi di dati in base a più campi. Ad esempio, puoi configurare selettori di eventi avanzati per registrare tutte le chiamate DeleteObject API e Amazon PutObject S3, ma escludere la registrazione degli eventi per uno specifico bucket S3, come mostrato nell'esempio seguente. Replace (Sostituisci) amzn-s3-demo-bucket con il nome del tuo bucket.

--advanced-event-selectors
'[
  {
    "Name": "Log PutObject and DeleteObject events for all but one bucket",
    "FieldSelectors": [
      { "Field": "eventCategory", "Equals": ["Data"] },
      { "Field": "resources.type", "Equals": ["AWS::S3::Object"] },
      { "Field": "eventName", "Equals": ["PutObject","DeleteObject"] },
      { "Field": "resources.ARN", "NotStartsWith": ["arn:aws:s3:::amzn-s3-demo-bucket/"] }
    ]
  }
]'

Puoi anche includere più condizioni per un campo. Per informazioni su come vengono valutate più condizioni, vedereHow CloudTrail valuta più condizioni per un campo.

È possibile utilizzare selettori di eventi avanzati per registrare sia gli eventi di gestione che quelli relativi ai dati. Per registrare gli eventi relativi ai dati per più tipi di risorse, aggiungi un'istruzione di selezione dei campi per ogni tipo di risorsa per cui desideri registrare gli eventi relativi ai dati.

How CloudTrail valuta più condizioni per un campo

Per i selettori di eventi avanzati, CloudTrail valuta più condizioni per un campo nel modo seguente:

Esempio che mostra più condizioni per il resources.ARN campo

L'istruzione di selezione degli eventi di esempio seguente raccoglie gli eventi di dati per il tipo di AWS::S3::Object risorsa e applica più condizioni sul resources.ARN campo.

{
    "Name": "S3Select",
    "FieldSelectors": [
      {
        "Field": "eventCategory",
        "Equals": [
          "Data"
        ]
      },
      {
        "Field": "resources.type",
        "Equals": [
          "AWS::S3::Object"
        ]
      },
      {
        "Field": "resources.ARN",
        "Equals": [
          "arn:aws:s3:::amzn-s3-demo-bucket/object1"
        ],
        "StartsWith": [
          "arn:aws:s3:::amzn-s3-demo-bucket/"
        ],
        "EndsWith": [
          "object3"
        ],
        "NotStartsWith": [
          "arn:aws:s3:::amzn-s3-demo-bucket/deselect"
        ],
        "NotEndsWith": [
          "object5"
        ],
        "NotEquals": [
          "arn:aws:s3:::amzn-s3-demo-bucket/object6"
        ]
      }
    ]
  }

Nell'esempio precedente, gli eventi relativi ai dati di Amazon S3 per AWS::S3::Object la risorsa verranno consegnati se:

In base alla logica di valutazione:

Filtraggio degli eventi relativi ai dati per eventName

Utilizzando selettori di eventi avanzati, è possibile includere o escludere eventi in base al valore del eventName campo. Il filtraggio eventName può aiutare a controllare i costi, poiché si evitano costi quando Servizio AWS stai registrando gli eventi relativi ai dati per aggiungere il supporto per nuovi dati. APIs

Puoi usare qualsiasi operatore con il eventName campo. È possibile utilizzarlo per filtrare o filtrare qualsiasi evento di dati registrato, ad CloudTrail esempio o. PutBucket GetSnapshotBlock

Filtrare gli eventi relativi ai dati utilizzando il eventNameAWS Management Console

Effettua le seguenti operazioni per filtrare in base al eventName campo utilizzando la CloudTrail console.

Filtrare gli eventi relativi ai dati utilizzando il eventNameAWS CLI

Utilizzo di AWS CLI, puoi filtrare il eventName campo per includere o escludere eventi specifici.

Se stai aggiornando un trail o un event data store esistente per registrare selettori di eventi aggiuntivi, ottieni i selettori di eventi correnti eseguendo il get-event-selectorscomando per un trail o il get-event-data-storecomando per un event data store. Quindi, aggiorna i selettori di eventi per aggiungere un selettore di campo per ogni tipo di risorsa dati che desideri registrare.

L'esempio seguente registra gli eventi relativi ai dati S3 su un percorso. --advanced-event-selectorsSono configurati per registrare solo gli eventi relativi ai dati per le GetObject chiamatePutObject, e DeleteObjectAPI.

aws cloudtrail put-event-selectors \
--trail-name trailName \
--advanced-event-selectors '[
  {
    "Name": "Log GetObject, PutObject and DeleteObject S3 data events",
    "FieldSelectors": [
      { "Field": "eventCategory", "Equals": ["Data"] },
      { "Field": "resources.type", "Equals": ["AWS::S3::Object"] },
      { "Field": "eventName", "Equals": ["GetObject","PutObject","DeleteObject"] }
    ]
  }
]'   

L'esempio successivo crea un nuovo archivio dati di eventi che registra gli eventi di dati per EBS Direct APIs ma esclude ListChangedBlocks API le chiamate. È possibile utilizzare il update-event-data-storecomando per aggiornare un archivio dati di eventi esistente.

aws cloudtrail create-event-data-store \
--name "eventDataStoreName"
--advanced-event-selectors '[
    {
        "Name": "Log all EBS Direct API data events except ListChangedBlocks",
        "FieldSelectors": [
            { "Field": "eventCategory", "Equals": ["Data"] },
            { "Field": "resources.type", "Equals": ["AWS::EC2::Snapshot"] },
            { "Field": "eventName", "NotEquals": ["ListChangedBlocks"] }
         ]
    }
]'        

Filtraggio degli eventi di dati per resources.ARN

Utilizzando selettori di eventi avanzati, puoi filtrare in base al valore del resources.ARN campo.

È possibile utilizzare qualsiasi operatore conresources.ARN, ma se si utilizza Equals oNotEquals, il valore deve corrispondere esattamente a quello ARN di una risorsa valida per il resources.type valore specificato. Per registrare tutti gli eventi relativi ai dati per tutti gli oggetti in uno specifico bucket S3, usa l'StartsWithoperatore e includi solo il bucket ARN come valore corrispondente.

La tabella seguente mostra il ARN formato valido per ciascuno di essi. resources.type

arn:partition:dynamodb:region:account_ID:table/table_name

arn:partition:lambda:region:account_ID:function:function_name

arn:partition:s3:::amzn-s3-demo-bucket/
arn:partition:s3:::amzn-s3-demo-bucket/object_or_file_name/

arn:partition:appconfig:region:account_ID:application/application_ID/environment/environment_ID/configuration/configuration_profile_ID

arn:partition:b2bi:region:account_ID:transformer/transformer_ID

arn:partition:bedrock:region:account_ID:agent-alias/agent_ID/alias_ID

arn:partition:bedrock:region:account_ID:flow/flow_ID/alias/alias_ID

arn:partition:bedrock:region:account_ID:guardrail/guardrail_ID

arn:partition:bedrock:region:account_ID:knowledge-base/knowledge_base_ID

arn:partition:cassandra:region:account_ID:keyspace/keyspace_name/table/table_name

arn:partition:cloudfront:region:account_ID:key-value-store/KVS_name

arn:partition:cloudtrail:region:account_ID:channel/channel_UUID

arn:partition:codewhisperer:region:account_ID:customization/customization_ID

arn:partition:codewhisperer:region:account_ID:profile/profile_ID

arn:partition:cognito-identity:region:account_ID:identitypool/identity_pool_ID

arn:partition:dynamodb:region:account_ID:table/table_name/stream/date_time

arn:partition:ec2:region::snapshot/snapshot_ID

arn:partition:emrwal:region:account_ID:workspace/workspace_name

arn:partition:finspace:region:account_ID:environment/environment_ID

arn:partition:glue:region:account_ID:table/database_name/table_name

arn:partition:greengrass:region:account_ID:components/component_name

arn:partition:greengrass:region:account_ID:deployments/deployment_ID

arn:partition:guardduty:region:account_ID:detector/detector_ID

arn:partition:iot:region:account_ID:cert/certificate_ID

arn:partition:iot:region:account_ID:thing/thing_ID

arn:partition:iotsitewise:region:account_ID:asset/asset_ID

arn:partition:iotsitewise:region:account_ID:timeseries/timeseries_ID

arn:partition:iottwinmaker:region:account_ID:workspace/workspace_ID/entity/entity_ID

arn:partition:iottwinmaker:region:account_ID:workspace/workspace_ID

arn:partition:kendra-ranking:region:account_ID:rescore-execution-plan/rescore_execution_plan_ID

arn:partition:kinesis:region:account_ID:stream/stream_name

arn:partition:kinesis:region:account_ID:stream_type/stream_name/consumer/consumer_name:consumer_creation_timestamp

arn:partition:kinesisvideo:region:account_ID:stream/stream_name/creation_time

arn:partition:machinelearning:region:account_ID:mlmodel/model_ID

arn:partition:managedblockchain:::networks/network_name

arn:partition:managedblockchain:region:account_ID:nodes/node_ID

arn:partition:medical-imaging:region:account_ID:datastore/data_store_ID

arn:partition:neptune-graph:region:account_ID:graph/graph_ID

arn:partition:one:region:account_ID:user/user_ID/u-key/u-key_ID

arn:partition:one:region:account_ID:user/user_ID

arn:partition:payment-cryptography:region:account_ID:alias/alias

arn:partition:payment-cryptography:region:account_ID:key/key_ID

arn:partition:pca-connector-ad:region:account_ID:connector/connector_ID

arn:partition:pca-connector-scep:region:account_ID:connector/connector_ID

arn:partition:qapps:region:account_ID:application/application_UUID/qapp/qapp_UUID

arn:partition:qbusiness:region:account_ID:application/application_ID

arn:partition:qbusiness:region:account_ID:application/application_ID/index/index_ID/data-source/datasource_ID

arn:partition:qbusiness:region:account_ID:application/application_ID/index/index_ID

arn:partition:qbusiness:region:account_ID:application/application_ID/web-experience/web_experienc_ID

arn:partition:rds:region:account_ID:cluster/cluster_name

arn:partition:rum:region:account_ID:appmonitor/app_monitor_name

arn:partition:s3:region:account_ID:accesspoint/access_point_name

arn:partition:s3express:region:account_ID:bucket/bucket_name

arn:partition:s3-object-lambda:region:account_ID:accesspoint/access_point_name

arn:partition:s3-outposts:region:account_ID:object_path

arn:partition:sagemaker:region:account_ID:endpoint/endpoint_name

arn:partition:sagemaker:region:account_ID:experiment-trial-component/experiment_trial_component_name

arn:partition:sagemaker:region:account_ID:feature-group/feature_group_name

arn:partition:scn:region:account_ID:instance/instance_ID

arn:partition:servicediscovery:region:account_ID:namespace/namespace_ID

arn:partition:servicediscovery:region:account_ID:service/service_ID

arn:partition:sns:region:account_ID:endpoint/endpoint_type/endpoint_name/endpoint_ID

arn:partition:sns:region:account_ID:topic_name

arn:partition:sqs:region:account_ID:queue_name

arn:partition:ssmmessages:region:account_ID:control-channel/control_channel_ID

arn:partition:swf:region:account_ID:/domain/domain_name

arn:partition:thinclient:region:account_ID:device/device_ID

arn:partition:thinclient:region:account_ID:environment/environment_ID

arn:partition:timestream:region:account_ID:database/database_name

arn:partition:timestream:region:account_ID:database/database_name/table/table_name

arn:partition:verifiedpermissions:region:account_ID:policy-store/policy_store_ID

¹ Per le tabelle con flussi abilitati, il campo resources nell'evento di dati contiene sia AWS::DynamoDB::Stream che AWS::DynamoDB::Table. Se specifichi AWS::DynamoDB::Table come resources.type, per impostazione predefinita verranno registrati sia gli eventi della tabella DynamoDB che quelli dei flussi DynamoDB. Per escludere gli eventi di streaming, aggiungi un filtro sul eventName campo.

² Per registrare tutti gli eventi relativi ai dati per tutti gli oggetti in uno specifico bucket S3, usa l'StartsWithoperatore e includi solo il bucket ARN come valore corrispondente. La barra finale è intenzionale; non escluderla.

³ Per registrare gli eventi su tutti gli oggetti in un punto di accesso S3, ti consigliamo di utilizzare solo il punto di accessoARN, di non includere il percorso dell'oggetto e di utilizzare gli operatori or. StartsWith NotStartsWith

Filtrare gli eventi relativi ai dati utilizzando il resources.ARNAWS Management Console

Effettua le seguenti operazioni per filtrare in base al resources.ARN campo utilizzando la CloudTrail console.

Filtrare gli eventi relativi ai dati utilizzando il resources.ARNAWS CLI

Utilizzo di AWS CLI, è possibile filtrare il resources.ARN campo per registrare gli eventi per uno specifico ARN o escludere la registrazione per uno specifico. ARN

Se stai aggiornando un trail o un event data store esistente per registrare selettori di eventi aggiuntivi, ottieni i selettori di eventi correnti eseguendo il get-event-selectorscomando per un trail o il get-event-data-storecomando per un event data store. Quindi, aggiorna i selettori di eventi per aggiungere un selettore di campo per ogni tipo di risorsa dati che desideri registrare.

L'esempio seguente mostra come configurare il percorso per includere tutti gli eventi di dati per tutti gli oggetti Amazon S3 in un S3 Bucket specifico. Il valore per gli eventi S3 per il campo resources.type è AWS::S3::Object. Poiché i ARN valori degli oggetti S3 e dei bucket S3 sono leggermente diversi, è necessario aggiungere l'StartsWithoperatore per resources.ARN acquisire tutti gli eventi.

aws cloudtrail put-event-selectors \ 
--trail-name TrailName \ 
--region region \
--advanced-event-selectors \
'[
    {
        "Name": "S3EventSelector",
        "FieldSelectors": [
            { "Field": "eventCategory", "Equals": ["Data"] },
                { "Field": "resources.type", "Equals": ["AWS::S3::Object"] },
                { "Field": "resources.ARN", "StartsWith": ["arn:aws:s3:::amzn-s3-demo-bucket/"] }
            ]
    }
]'

Filtraggio degli eventi relativi ai dati per valore readOnly

Utilizzando selettori di eventi avanzati, puoi filtrare in base al valore del readOnly campo.

È possibile utilizzare l'Equalsoperatore solo con il readOnly campo. È possibile impostare il readOnly valore su true ofalse. Se non si aggiunge questo campo, CloudTrail registra sia gli eventi di lettura che quelli di scrittura. Un valore di true log legge solo gli eventi. Un valore di false log scrive solo eventi.

Filtraggio degli eventi di dati per readOnly valore utilizzando il AWS Management Console

Segui i passaggi seguenti per filtrare in base al readOnly campo utilizzando la CloudTrail console.

Filtraggio degli eventi relativi ai dati per readOnly valore utilizzando il AWS CLI

Utilizzo di AWS CLI, puoi filtrare in base al readOnly campo.

È possibile utilizzare solo l'Equalsoperatore con il readOnly campo. È possibile impostare il readOnly valore su true ofalse. Se non si aggiunge questo campo, CloudTrail registra sia gli eventi di lettura che quelli di scrittura. Un valore di true log legge solo gli eventi. Un valore di false log scrive solo eventi.

Se stai aggiornando un trail o un event data store esistente per registrare selettori di eventi aggiuntivi, ottieni i selettori di eventi correnti eseguendo il get-event-selectorscomando per un trail o il get-event-data-storecomando per un event data store. Quindi, aggiorna i selettori di eventi per aggiungere un selettore di campo per ogni tipo di risorsa dati che desideri registrare.

L'esempio seguente mostra come configurare il percorso per registrare eventi di dati di sola lettura per tutti gli oggetti Amazon S3.

aws cloudtrail put-event-selectors \
--trail-name TrailName \
--region region \
--advanced-event-selectors '[
    {
            "Name": "Log read-only S3 data events",
            "FieldSelectors": [
                { "Field": "eventCategory", "Equals": ["Data"] },
                { "Field": "resources.type", "Equals": ["AWS::S3::Object"] },
                { "Field": "readOnly", "Equals": ["true"] }
            ]
    }
]'       

Il prossimo esempio crea un nuovo archivio dati di eventi che registra solo gli eventi di dati di sola scrittura per Direct. EBS APIs È possibile utilizzare il update-event-data-storecomando per aggiornare un archivio dati di eventi esistente.

aws cloudtrail create-event-data-store \
--name "eventDataStoreName" \
--advanced-event-selectors \
'[
    {
            "Name": "Log write-only EBS Direct API data events",
            "FieldSelectors": [
                { "Field": "eventCategory", "Equals": ["Data"] },
                { "Field": "resources.type", "Equals": ["AWS::EC2::Snapshot"] },
                { "Field": "readOnly", "Equals": ["false"] }
            ]
     }
]'