Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Registrazione degli eventi di gestione

Per impostazione predefinita, i percorsi e i datastore di eventi registrano gli eventi di gestione e non includono gli eventi di dati o gli eventi Insights.

Per gli eventi di dati o Insights vengono applicati costi aggiuntivi. Per ulteriori informazioni, consulta AWS CloudTrail Prezzi.

Eventi di gestione

Gli eventi di gestione forniscono visibilità sulle operazioni di gestione eseguite sulle risorse AWS dell'account. Queste operazioni sono definite anche operazioni del piano di controllo (control-plane). Gli eventi di gestione di esempio includono:

Gli eventi di gestione possono includere anche eventi non API che si verificano nel tuo account. Ad esempio, quando un utente accede al tuo account, CloudTrail registra l'evento. ConsoleLogin Per ulteriori informazioni, consulta APIEventi non acquisiti da CloudTrail.

Per impostazione predefinita, i percorsi e i datastore di eventi vengono configurati per registrare gli eventi di gestione.

Lettura e scrittura di eventi

Quando configuri il percorso o il datastore di eventi per la registrazione degli eventi di gestione, puoi specificare se desideri registrare gli eventi di sola lettura, gli eventi di sola scrittura o entrambi.

Registrazione degli eventi di gestione con AWS Management Console

Questa sezione descrive come aggiornare le impostazioni degli eventi di gestione per un trail o un data store di eventi esistente.

Aggiornamento delle impostazioni degli eventi di gestione per un trail esistente

Utilizzare la procedura seguente per aggiornare le impostazioni degli eventi di gestione per un trail esistente.

Aggiornamento delle impostazioni degli eventi di gestione per un archivio dati di eventi esistente

Registrazione degli eventi di gestione con la AWS CLI

È possibile configurare i percorsi o i datastore di eventi per registrare gli eventi di gestione utilizzando la AWS CLI.

Esempi: Registrazione di eventi di gestione per i percorsi

Per verificare se il tuo trail sta registrando gli eventi di gestione, esegui il comando get-event-selectors.

aws cloudtrail get-event-selectors --trail-name TrailName

L'esempio seguente restituisce le impostazioni di default per un trail. Per impostazione predefinita, i trail registrano tutti gli eventi di gestione, gli eventi di log da tutte le origini eventi e non registrano gli eventi di dati.

{
    "TrailARN": "arn:aws:cloudtrail:us-east-1:111122223333:trail/TrailName",
    "AdvancedEventSelectors": [
        {
            "Name": "Management events selector",
            "FieldSelectors": [
                {
                    "Field": "eventCategory",
                    "Equals": [
                        "Management"
                    ]
                }
            ]
        }
    ]
}

È possibile utilizzare selettori di eventi di base o avanzati per registrare gli eventi di gestione. Non è possibile applicare sia selettori di eventi che selettori di eventi avanzati a un trail. Se si applicano selettori di eventi avanzati a un percorso, tutti i selettori di eventi di base esistenti vengono sovrascritti. Le sezioni seguenti forniscono esempi di come registrare gli eventi di gestione utilizzando selettori di eventi avanzati e selettori di eventi di base.

Esempi: registrazione degli eventi di gestione dei sentieri utilizzando selettori di eventi avanzati

L'esempio seguente crea un selettore di eventi avanzato per un percorso denominato TrailName per includere eventi di gestione di sola lettura e sola scrittura (omettendo il readOnly selettore), ma per escludere gli eventi (). AWS Key Management Service AWS KMS Poiché AWS KMS gli eventi vengono trattati come eventi gestionali e il loro volume può essere elevato, possono avere un impatto sostanziale sulla CloudTrail fattura se si dispone di più di un percorso che raccoglie gli eventi di gestione.

Se si sceglie di non registrare gli eventi di gestione, gli AWS KMS eventi non vengono registrati e non è possibile modificare le impostazioni di registrazione AWS KMS degli eventi.

Per ricominciare a registrare AWS KMS gli eventi in un percorso, rimuovete il eventSource selettore ed eseguite nuovamente il comando.

aws cloudtrail put-event-selectors --trail-name TrailName \
--advanced-event-selectors '
[
  {
    "Name": "Log all management events except KMS events",
    "FieldSelectors": [
      { "Field": "eventCategory", "Equals": ["Management"] },
      { "Field": "eventSource", "NotEquals": ["kms.amazonaws.com"] }
    ]
  }
]'

L'esempio restituisce i selettori di eventi avanzati configurati per il percorso.

{
  "AdvancedEventSelectors": [
    {
      "Name": "Log all management events except KMS events",
      "FieldSelectors": [
        {
          "Field": "eventCategory", 
          "Equals": [ "Management" ]
        },
        {
          "Field": "eventSource", 
          "NotEquals": [ "kms.amazonaws.com" ]
        }
      ]
    }
  ],
  "TrailARN": "arn:aws:cloudtrail:us-east-2:123456789012:trail/TrailName"
}

Per avviare nuovamente la registrazione di eventi su un percorso, rimuovi il selettore eventSource, come mostrato nel comando seguente.

aws cloudtrail put-event-selectors --trail-name TrailName \
--advanced-event-selectors '
[
  {
    "Name": "Log all management events",
    "FieldSelectors": [
      { "Field": "eventCategory", "Equals": ["Management"] }
    ]
  }
]'

L'esempio successivo crea un selettore di eventi avanzato per un percorso denominato TrailName per includere eventi di gestione di sola lettura e sola scrittura (omettendo il readOnly selettore), ma per escludere gli eventi di gestione delle API di Amazon RDS Data. Per escludere gli eventi di gestione di Amazon RDS Data API, specifica l'origine dell'evento Amazon RDS Data API nel valore della stringa per il eventSource campo:. rdsdata.amazonaws.com

Se scegli di non registrare gli eventi di gestione, gli eventi di gestione di Amazon RDS Data API non vengono registrati e non puoi modificare le impostazioni di registrazione degli eventi di Amazon RDS Data API.

Per ricominciare a registrare gli eventi di gestione delle API di Amazon RDS Data su un trail, rimuovi il eventSource selettore ed esegui nuovamente il comando.

aws cloudtrail put-event-selectors --trail-name TrailName \
--advanced-event-selectors '
[
  {
    "Name": "Log all management events except Amazon RDS Data API management events",
    "FieldSelectors": [
      { "Field": "eventCategory", "Equals": ["Management"] },
      { "Field": "eventSource", "NotEquals": ["rdsdata.amazonaws.com"] }
    ]
  }
]'

L'esempio restituisce i selettori di eventi avanzati configurati per il percorso.

{
  "AdvancedEventSelectors": [
    {
      "Name": "Log all management events except Amazon RDS Data API management events",
      "FieldSelectors": [
        {
          "Field": "eventCategory", 
          "Equals": [ "Management" ]
        },
        {
          "Field": "eventSource", 
          "NotEquals": [ "rdsdata.amazonaws.com" ]
        }
      ]
    }
  ],
  "TrailARN": "arn:aws:cloudtrail:us-east-2:123456789012:trail/TrailName"
}

Per avviare nuovamente la registrazione di eventi su un percorso, rimuovi il selettore eventSource, come mostrato nel comando seguente.

aws cloudtrail put-event-selectors --trail-name TrailName \
--advanced-event-selectors '
[
  {
    "Name": "Log all management events",
    "FieldSelectors": [
      { "Field": "eventCategory", "Equals": ["Management"] }
    ]
  }
]'

Esempi: registrazione degli eventi di gestione dei trail utilizzando selettori di eventi di base

Per configurare il trail per la registrazione di eventi di gestione, esegui il comando put-event-selectors. L'esempio seguente mostra come configurare il tuo trail per includere tutti gli eventi di gestione per due oggetti S3. Puoi specificare da 1 a 5 selettori di eventi per un trail. Puoi specificare da 1 a 250 risorse di dati per un trail.

aws cloudtrail put-event-selectors --trail-name TrailName --event-selectors '[{ "ReadWriteType": "All", "IncludeManagementEvents":true, "DataResources": [{ "Type": "AWS::S3::Object", "Values": ["arn:aws:s3:::amzn-s3-demo-bucket/prefix", "arn:aws:s3:::amzn-s3-demo-bucket2/prefix2"] }] }]'

L'esempio seguente restituisce il selettore di eventi configurato per il trail.

{
    "TrailARN": "arn:aws:cloudtrail:us-east-1:111122223333:trail/TrailName",
    "EventSelectors": [
        {
            "ReadWriteType": "All",
            "IncludeManagementEvents": true,
            "DataResources": [
                {
                    "Type": "AWS::S3::Object",
                    "Values": [
                        "arn:aws:s3:::amzn-s3-demo-bucket/prefix",
                        "arn:aws:s3:::amzn-s3-demo-bucket2/prefix2",
                    ]  
                }
            ],
            "ExcludeManagementEventSources": []
        }
    ]
}

Per escludere gli eventi AWS Key Management Service (AWS KMS) dai log di un percorso, esegui il put-event-selectors comando e aggiungi l'attributo ExcludeManagementEventSources con un valore di. kms.amazonaws.com L'esempio seguente crea un selettore di eventi per un percorso denominato in TrailName modo da includere eventi di gestione di sola lettura e sola scrittura, ma escludendo gli eventi. AWS KMS Poiché AWS KMS può generare un volume elevato di eventi, l'utente in questo esempio potrebbe voler limitare gli eventi per gestire il costo di un trail.

aws cloudtrail put-event-selectors --trail-name TrailName --event-selectors '[{"ReadWriteType": "All","ExcludeManagementEventSources": ["kms.amazonaws.com"],"IncludeManagementEvents": true}]'

L'esempio restituisce il selettore di eventi configurato per il trail.

{
    "TrailARN": "arn:aws:cloudtrail:us-east-1:111122223333:trail/TrailName",
    "EventSelectors": [
        {
            "ReadWriteType": "All",
            "IncludeManagementEvents": true,
            "DataResources": [],
            "ExcludeManagementEventSources": [
                "kms.amazonaws.com"
            ]
        }
    ]
}

Per escludere gli eventi di gestione dell'API di Amazon RDS Data dai log di un percorso, esegui il put-event-selectors comando e aggiungi l'attributo ExcludeManagementEventSources con un valore di. rdsdata.amazonaws.com L'esempio seguente crea un selettore di eventi per un percorso denominato TrailName per includere eventi di gestione di sola lettura e sola scrittura, ma esclude gli eventi di gestione delle API di Amazon RDS Data. Poiché Amazon RDS Data API può generare un volume elevato di eventi di gestione, l'utente in questo esempio potrebbe voler limitare gli eventi per gestire il costo di un trail.

{
    "TrailARN": "arn:aws:cloudtrail:us-east-1:111122223333:trail/TrailName",
    "EventSelectors": [
        {
            "ReadWriteType": "All",
            "IncludeManagementEvents": true,
            "DataResources": [],
            "ExcludeManagementEventSources": [
                "rdsdata.amazonaws.com"
            ]
        }
    ]
}

Per avviare nuovamente la registrazione AWS KMS o gli eventi di gestione delle API di Amazon RDS Data su un trail, passa una stringa vuota come valore diExcludeManagementEventSources, come illustrato nel comando seguente.

aws cloudtrail put-event-selectors --trail-name TrailName --event-selectors '[{"ReadWriteType": "All","ExcludeManagementEventSources": [],"IncludeManagementEvents": true}]'

Per registrare AWS KMS gli eventi rilevanti in un percorso, ad esempioDisable, Delete conScheduleKey, ma escludendo AWS KMS gli eventi ad alto volume come EncryptDecrypt, eGenerateDataKey, registra gli eventi di gestione di sola scrittura e mantieni l'impostazione predefinita per registrare AWS KMS gli eventi, come mostrato nell'esempio seguente.

aws cloudtrail put-event-selectors --trail-name TrailName --event-selectors '[{"ReadWriteType": "WriteOnly","ExcludeManagementEventSources": [],"IncludeManagementEvents": true}]'

Esempi: Registrazione degli eventi di gestione per i datastore di eventi

È possibile registrare gli eventi di gestione per gli archivi di dati di eventi configurando selettori di eventi avanzati.

I seguenti campi avanzati di selezione degli eventi sono supportati per la registrazione degli eventi di gestione negli archivi dati di eventi:

Per vedere se il datastore di eventi include eventi di gestione, esegui il comando get-event-data-store.

aws cloudtrail get-event-data-store
--event-data-store arn:aws:cloudtrail:us-east-1:12345678910:eventdatastore/EXAMPLE-f852-4e8f-8bd1-bcf6cEXAMPLE

Di seguito è riportata una risposta di esempio. L'ora di creazione e dell'ultimo aggiornamento sono espressi nel formato timestamp.

{
    "EventDataStoreArn": "arn:aws:cloudtrail:us-east-1:12345678910:eventdatastore/EXAMPLE-f852-4e8f-8bd1-bcf6cEXAMPLE",
    "Name": "myManagementEvents",
    "Status": "ENABLED",
    "AdvancedEventSelectors": [
        {
            "Name": "Management events selector",
            "FieldSelectors": [
                {
                    "Field": "eventCategory",
                    "Equals": [
                        "Management"
                    ]
                }
            ]
        }
    ],
    "MultiRegionEnabled": true,
    "OrganizationEnabled": false,
    "BillingMode": "FIXED_RETENTION_PRICING",
    "RetentionPeriod": 2557,
    "TerminationProtectionEnabled": true,
    "CreatedTimestamp": "2023-02-04T15:56:27.418000+00:00",
    "UpdatedTimestamp": "2023-02-04T15:56:27.544000+00:00"
}

Per creare un datastore di eventi che includa tutti gli eventi di gestione, esegui il comando create-event-data-store. Non è necessario specificare i selettori di eventi avanzati per includere tutti gli eventi di gestione.

aws cloudtrail create-event-data-store
--name my-event-data-store
--retention-period 90\

Di seguito è riportata una risposta di esempio.

{
    "EventDataStoreArn": "arn:aws:cloudtrail:us-east-1:12345678910:eventdatastore/EXAMPLE-f852-4e8f-8bd1-bcf6cEXAMPLE",
    "Name": "my-event-data-store",
    "Status": "CREATED",
    "AdvancedEventSelectors": [
        {
            "Name": "Default management events",
            "FieldSelectors": [
                {
                    "Field": "eventCategory",
                    "Equals": [
                        "Management"
                    ]
                }
            ]
        }
    ],
    "MultiRegionEnabled": true,
    "OrganizationEnabled": false,
    "BillingMode": "EXTENDABLE_RETENTION_PRICING",
    "RetentionPeriod": 90,
    "TerminationProtectionEnabled": true,
    "CreatedTimestamp": "2023-11-13T16:41:57.224000+00:00",
    "UpdatedTimestamp": "2023-11-13T16:41:57.357000+00:00"
}

Esempio: escludi gli eventi AWS KMS di gestione

Per creare un archivio dati di eventi che escluda gli eventi AWS Key Management Service (AWS KMS), esegui il create-event-data-store comando e specifica che eventSource non è ugualekms.amazonaws.com. L'esempio seguente crea un Event Data Store che include eventi di gestione di sola lettura e di sola scrittura, ma esclude gli eventi. AWS KMS

aws cloudtrail create-event-data-store --name event-data-store-name --retention-period 90 --advanced-event-selectors '[
    {
        "Name": "Management events selector",
        "FieldSelectors": [
            {"Field": "eventCategory","Equals": ["Management"]},
            {"Field": "eventSource","NotEquals": ["kms.amazonaws.com"]}
        ]
    }
]'

Di seguito è riportata una risposta di esempio.

{
    "EventDataStoreArn": "arn:aws:cloudtrail:us-east-1:12345678910:eventdatastore/EXAMPLE-f852-4e8f-8bd1-bcf6cEXAMPLE",
    "Name": "event-data-store-name",
    "Status": "CREATED",
    "AdvancedEventSelectors": [
        {
            "Name": "Management events selector",
            "FieldSelectors": [
                {
                    "Field": "eventCategory",
                    "Equals": [
                        "Management"
                    ]
                },
                {
                    "Field": "eventSource",
                    "NotEquals": [
                        "kms.amazonaws.com"
                    ]
                }
            ]
        }
    ],
    "MultiRegionEnabled": true,
    "OrganizationEnabled": false,
    "BillingMode": "EXTENDABLE_RETENTION_PRICING",
    "RetentionPeriod": 90,
    "TerminationProtectionEnabled": true,
    "CreatedTimestamp": "2023-11-13T17:02:02.067000+00:00",
    "UpdatedTimestamp": "2023-11-13T17:02:02.241000+00:00"
}

Esempio: escludi gli eventi di gestione di Amazon RDS

Per creare un event data store che escluda gli eventi di gestione di Amazon RDS Data API, esegui il create-event-data-store comando e specifica che eventSource non è uguale. rdsdata.amazonaws.com Nell'esempio seguente viene creato un datastore di eventi che include eventi di gestione di sola lettura e di sola scrittura, ma esclude gli eventi dell'API dati di Amazon RDS.

aws cloudtrail create-event-data-store --name event-data-store-name --retention-period 90 --advanced-event-selectors '[
    {
        "Name": "Management events selector",
        "FieldSelectors": [
            {"Field": "eventCategory","Equals": ["Management"]},
            {"Field": "eventSource","NotEquals": ["rdsdata.amazonaws.com"]}
        ]
    }
]'

Di seguito è riportata una risposta di esempio.

{
    "EventDataStoreArn": "arn:aws:cloudtrail:us-east-1:12345678910:eventdatastore/EXAMPLE-f852-4e8f-8bd1-bcf6cEXAMPLE",
    "Name": "my-event-data-store",
    "Status": "CREATED",
    "AdvancedEventSelectors": [
        {
            "Name": "Management events selector",
            "FieldSelectors": [
                {
                    "Field": "eventCategory",
                    "Equals": [
                        "Management"
                    ]
                },
                {
                    "Field": "eventSource",
                    "NotEquals": [
                        "rdsdata.amazonaws.com"
                    ]
                }
            ]
        }
    ],
    "MultiRegionEnabled": true,
    "OrganizationEnabled": false,
    "BillingMode": "EXTENDABLE_RETENTION_PRICING",
    "RetentionPeriod": 90,
    "TerminationProtectionEnabled": true,
    "CreatedTimestamp": "2023-11-13T17:02:02.067000+00:00",
    "UpdatedTimestamp": "2023-11-13T17:02:02.241000+00:00"
}

Esempio: escludi Servizio AWS eventi ed eventi dalle sessioni AWS Management Console

L'esempio seguente crea un archivio dati di eventi che registra gli eventi di gestione ma esclude gli Servizio AWS eventi e gli eventi provenienti dalle sessioni. AWS Management Console

aws cloudtrail create-event-data-store --name event-data-store-name --advanced-event-selectors '[
    {
        "Name": "Exclude Servizio AWS and console events",
        "FieldSelectors": [
            {"Field": "eventCategory","Equals": ["Management"]},
            {"Field": "eventType","NotEquals": ["AwsServiceEvent"]},
            {"Field": "sessionCredentialFromConsole","NotEquals": ["true"]}
        ]
    }
]'

Di seguito è riportata una risposta di esempio.

{
    "EventDataStoreArn": "arn:aws:cloudtrail:us-east-1:12345678910:eventdatastore/EXAMPLE-f852-4e8f-8bd1-bcf6cEXAMPLE",
    "Name": "event-data-store-name",
    "Status": "CREATED",
    "AdvancedEventSelectors": [
        {
            "Name": "Exclude Servizio AWS and console events",
            "FieldSelectors": [
                {
                    "Field": "eventCategory",
                    "Equals": [
                        "Management"
                    ]
                },
                {
                    "Field": "eventType",
                    "NotEquals": [
                        "AwsServiceEvent"
                    ]
                },
                {
                    "Field": "sessionCredentialFromConsole",
                    "NotEquals": [
                        "true"
                    ]
                }
            ]
        }
    ],
    "MultiRegionEnabled": true,
    "OrganizationEnabled": false,
    "BillingMode": "EXTENDABLE_RETENTION_PRICING",
    "RetentionPeriod": 366,
    "TerminationProtectionEnabled": true,
    "CreatedTimestamp": "2024-11-13T17:02:02.067000+00:00",
    "UpdatedTimestamp": "2024-11-13T17:02:02.241000+00:00"
}

Esempio: escludi gli eventi di gestione per un'identità IAM specifica

L'esempio seguente crea un archivio dati di eventi che registra gli eventi di gestione ma esclude gli eventi generati da. bucket-scanner-role userIdentity

aws cloudtrail create-event-data-store --name event-data-store-name --advanced-event-selectors '[
    {
        "Name": "Exclude events generated by bucket-scanner-role userIdentity",
        "FieldSelectors": [
            {"Field": "eventCategory","Equals": ["Management"]},
            {"Field": "userIdentity.arn","NotStartsWith": ["arn:aws:sts::123456789012:assumed-role/bucket-scanner-role"]}
        ]
    }
]'

Di seguito è riportata una risposta di esempio.

{
    "EventDataStoreArn": "arn:aws:cloudtrail:us-east-1:123456789012:eventdatastore/EXAMPLE-f852-4e8f-8bd1-bcf6cEXAMPLE",
    "Name": "event-data-store-name",
    "Status": "CREATED",
    "AdvancedEventSelectors": [
        {
            "Name": "Exclude events generated by bucket-scanner-role userIdentity",
            "FieldSelectors": [
                {
                    "Field": "eventCategory",
                    "Equals": [
                        "Management"
                    ]
                },
                {
                    "Field": "userIdentity.arn",
                    "NotStartsWith": [
                        "arn:aws:sts::123456789012:assumed-role/bucket-scanner-role"
                    ]
                }
            ]
        }
    ],
    "MultiRegionEnabled": true,
    "OrganizationEnabled": false,
    "BillingMode": "EXTENDABLE_RETENTION_PRICING",
    "RetentionPeriod": 366,
    "TerminationProtectionEnabled": true,
    "CreatedTimestamp": "2024-11-13T17:02:02.067000+00:00",
    "UpdatedTimestamp": "2024-11-13T17:02:02.241000+00:00"
}

Registrazione degli eventi di gestione con la AWS SDKs

Usa l'GetEventSelectorsoperazione per vedere se il tuo trail sta registrando gli eventi di gestione per un trail. È possibile configurare i percorsi per registrare gli eventi di gestione con l'PutEventSelectorsoperazione. Per ulteriori informazioni, consulta la Documentazione di riferimento delle API di AWS CloudTrail.

Esegui l'GetEventDataStoreoperazione per vedere se il tuo archivio dati degli eventi include eventi di gestione. È possibile configurare i data store degli eventi in modo da includere gli eventi di gestione eseguendo UpdateEventDataStorele operazioni CreateEventDataStoreor. Per ulteriori informazioni, consulta Crea, aggiorna e gestisci archivi di dati di eventi con AWS CLI e il Riferimento API di AWS CloudTrail.