As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.

Copiar eventos da trilha para o CloudTrail Lake

É possível copiar os eventos de trilhas existentes em um armazenamento de dados de eventos do CloudTrail Lake para criar um instantâneo pontual dos eventos registrados na trilha. Copiar eventos da trilha não interfere na capacidade da trilha de registrar eventos e não modifica a trilha de nenhuma forma.

É possível copiar eventos de trilha para um armazenamento de dados de eventos existente configurado para eventos do CloudTrail ou criar um novo armazenamento de dados de eventos do CloudTrail e escolher a opção Copiar eventos da trilha como parte da criação do armazenamento de dados de eventos. Para obter mais informações sobre cópia de eventos de trilhas para um armazenamento de dados de eventos existente, consulte Copiar eventos de trilhas para um armazenamento de dados de eventos existente usando o console do CloudTrail. Para obter mais informações sobre como criar um armazenamento de dados de eventos, consulte Crie um armazenamento de dados de CloudTrail eventos para eventos com o console.

Copiar eventos da trilha para um armazenamento de dados de eventos do CloudTrail Lake permite executar consultas nos eventos copiados. As consultas do CloudTrail Lake oferecem uma visão mais profunda e personalizável dos eventos do que pesquisas simples de chave e valor no Event history (Histórico de eventos) ou que execução de LookupEvents. Para obter mais informações sobre o CloudTrail Lake, consulte Trabalhando com AWS CloudTrail Lake.

Se estiver copiando eventos de trilha para um armazenamento de dados de eventos da organização, você deve usar a conta de gerenciamento da respectiva organização. Não é possível copiar eventos de trilha usando uma conta de administrador delegado para uma organização.

Armazenamentos de dados de eventos do CloudTrail Lake incorrem em cobranças. Ao criar um armazenamento de dados de eventos, você escolhe a opção de preço que deseja usar para ele. A opção de preço determina o custo para a ingestão e para o armazenamento de eventos, e o período de retenção padrão e máximo para o armazenamento de dados de eventos. Para obter informações sobre preços do CloudTrail e gerenciamento de custos do Lake consulte Preços do AWS CloudTrail e Gerenciando os custos CloudTrail do Lake.

Ao copiar eventos de trilhas para um armazenamento de dados de eventos do CloudTrail Lake, você receberá cobranças com base na quantidade de dados não compactados ingeridos pelo armazenamento de dados de eventos.

Quando você copia eventos de trilhas para o CloudTrail Lake, o CloudTrail descompacta os logs armazenados no formato gzip (compactado) e, em seguida, copia os eventos contidos nesses logs para seu armazenamento de dados de eventos. O tamanho dos dados não compactados pode ser maior do que o tamanho real do armazenamento do S3. Para obter uma estimativa geral do tamanho dos dados não compactados, é possível multiplicar o tamanho dos registros no bucket do S3 por 10.

É possível pode reduzir os custos especificando um intervalo de tempo mais restrito para os eventos copiados. Se você planeja usar apenas o armazenamento de dados de eventos para consultar seus eventos copiados, poderá desativar a ingestão de eventos para evitar cobranças em eventos futuros. Para obter mais informações, consulte Preços do AWS CloudTrail e Gerenciando os custos CloudTrail do Lake.

Cenários

A tabela a seguir descreve alguns cenários comuns para copiar eventos de trilha e como você realiza cada cenário usando o console.

Considerações para copiar eventos de trilhas

Considere os seguintes fatores ao copiar eventos de trilhas.

Permissões necessárias para copiar eventos da trilha

Antes de copiar eventos da trilha, é preciso ter todas as permissões necessárias no seu perfil do IAM. Se você escolher um perfil do IAM existente para copiar os eventos da trilha, atualizar as permissões do perfil do IAM será o suficiente. Mas, se você preferir criar um novo perfil do IAM, o CloudTrail fornecerá todas as permissões necessárias para o perfil.

Se o bucket de origem do S3 usar uma chave do KMS para criptografia de dados, garanta que a política de chaves do KMS permita que o CloudTrail descriptografe os dados no bucket. Se o bucket de origem do S3 usar várias chaves do KMS, será necessário atualizar a política de cada chave para permitir que o CloudTrail descriptografe os dados no bucket.

Permissões do IAM para copiar eventos da trilha

Ao copiar os eventos da trilha, você tem a opção de criar um perfil do IAM ou usar um perfil do IAM existente. Quando você escolhe um novo perfil do IAM, o CloudTrail cria um perfil do IAM com as permissões necessárias e nenhuma ação adicional é necessária de sua parte.

Se você escolher um perfil existente, verifique se as políticas do perfil do IAM permitem que o CloudTrail copie os eventos da trilha do bucket do S3 de origem. Esta seção fornece exemplos das políticas de confiança e permissões do perfil do IAM necessárias.

O exemplo a seguir fornece a política de permissões que permite ao CloudTrail copiar eventos da trilha do bucket do S3 de origem. Substitua amzn-s3-demo-bucket, myAccountID, region, prefix e eventDataStoreId pelos valores apropriados para sua configuração. myAccountID é o ID da conta da AWS usado para o CloudTrail Lake, o qual pode não ser o mesmo ID da conta da AWS do bucket do S3.

Substitua key-region, keyAccountID e keyID pelos valores da chave do KMS usada para criptografar o bucket do S3 de origem. Você poderá omitir a instrução AWSCloudTrailImportKeyAccess se o bucket do S3 de origem não usar uma chave KMS para criptografia.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AWSCloudTrailImportBucketAccess",
      "Effect": "Allow",
      "Action": ["s3:ListBucket", "s3:GetBucketAcl"],
      "Resource": [
        "arn:aws:s3:::amzn-s3-demo-bucket"
      ],
      "Condition": {
        "StringEquals": {
          "aws:SourceAccount": "myAccountID",
          "aws:SourceArn": "arn:aws:cloudtrail:region:myAccountID:eventdataStore/eventDataStoreId"
         }
       }
    },
    {
      "Sid": "AWSCloudTrailImportObjectAccess",
      "Effect": "Allow",
      "Action": ["s3:GetObject"],
      "Resource": [
        "arn:aws:s3:::amzn-s3-demo-bucket/prefix",
        "arn:aws:s3:::amzn-s3-demo-bucket/prefix/*"
      ],
      "Condition": {
        "StringEquals": {
          "aws:SourceAccount": "myAccountID",
          "aws:SourceArn": "arn:aws:cloudtrail:region:myAccountID:eventdataStore/eventDataStoreId"
         }
       }
    },
    {
      "Sid": "AWSCloudTrailImportKeyAccess",
      "Effect": "Allow",
      "Action": ["kms:GenerateDataKey","kms:Decrypt"],
      "Resource": [
        "arn:aws:kms:key-region:keyAccountID:key/keyID"
      ]
    }
  ]
}

O exemplo a seguir fornece a política de confiança do IAM que permite ao CloudTrail assumir um perfil do IAM para copiar eventos de trilha do bucket do S3 de origem. Substitua myAccountID (ID da minha conta), region (Região) e eventDataStoreArn (ARN do armazenamento de dados de eventos) pelos valores apropriados para sua configuração. O myAccountID é o ID da Conta da AWS usado para o CloudTrail Lake, o qual pode não ser o mesmo ID da conta da AWS do bucket do S3.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "cloudtrail.amazonaws.com"
      },
      "Action": "sts:AssumeRole",
      "Condition": {
        "StringEquals": {
          "aws:SourceAccount": "myAccountID",
          "aws:SourceArn": "arn:aws:cloudtrail:region:myAccountID:eventdataStore/eventDataStoreId"
        }
      }
    }
  ]
}
                

Política de buckets do Amazon S3 para copiar eventos da trilha

Por padrão, os buckets e objetos do Amazon S3 são privados. Somente o proprietário do recurso (a conta da AWS que criou o bucket) pode acessar o bucket e os objetos que ele contém. O proprietário do recurso pode conceder permissões de acesso a outros recursos e usuários ao criar uma política de acesso padrão.

Antes de copiar eventos da trilha, é necessário atualizar a política de bucket do S3 para permitir que o CloudTrail copie eventos da trilha para o bucket de origem do S3.

É possível adicionar a instrução a seguir à política do bucket do S3 para conceder essas permissões. Substitua roleArn e amzn-s3-demo-bucket pelos valores apropriados para sua configuração.

{
  "Sid": "AWSCloudTrailImportBucketAccess",
  "Effect": "Allow",
  "Action": [
    "s3:ListBucket",
    "s3:GetBucketAcl",
    "s3:GetObject"
  ],
  "Principal": {
    "AWS": "roleArn"
  },
  "Resource": [
    "arn:aws:s3:::amzn-s3-demo-bucket",
    "arn:aws:s3:::amzn-s3-demo-bucket/*"
  ]
},

Política de chaves do KMS para descriptografar dados no bucket do S3 de origem

Se o bucket do S3 de origem usar uma chave do KMS para criptografia de dados, certifique-se de que a política de chaves do KMS forneça ao CloudTrail as permissões kms:Decrypt e kms:GenerateDataKey necessárias para copiar eventos da trilha de um bucket do S3 com criptografia SSE-KMS habilitada. Se o bucket do S3 de origem usar várias chaves do KMS, será necessário atualizar a política de cada chave. A atualização da política de chaves do KMS permite que o CloudTrail descriptografe dados no bucket do S3 de origem, execute verificações de validação para garantir que os eventos estejam em conformidade com os padrões do CloudTrail e copie eventos para o armazenamento de dados de eventos do CloudTrail Lake.

O exemplo a seguir fornece a política de chaves do KMS que permite ao CloudTrail descriptografar os dados no bucket do S3 de origem. Substitua roleArn, amzn-s3-demo-bucket, myAccountID, region e eventDataStoreId pelos valores apropriados para sua configuração. myAccountID é o ID da conta da AWS usado para o CloudTrail Lake, o qual pode não ser o mesmo ID da conta da AWS do bucket do S3.

{
  "Sid": "AWSCloudTrailImportDecrypt",
  "Effect": "Allow",
  "Action": [
          "kms:Decrypt",
          "kms:GenerateDataKey"
  ],
  "Principal": {
    "AWS": "roleArn"
  },
  "Resource": "*",
  "Condition": {
    "StringLike": {
      "kms:EncryptionContext:aws:s3:arn": "arn:aws:s3:::amzn-s3-demo-bucket/*"
    },
    "StringEquals": {
      "aws:SourceAccount": "myAccountID",
      "aws:SourceArn": "arn:aws:cloudtrail:region:myAccountID:eventdataStore/eventDataStoreId"
    }
  }
}