Criando uma trilha com o CloudTrail console

Faça login no AWS Management Console e abra o CloudTrail console em https://console.aws.amazon.com/cloudtrail/.

Na página inicial do CloudTrail serviço, na página Trilhas ou na seção Trilhas da página Painel, escolha Criar trilha.

Na página Create Trail (Criar trilha), em Trail name (Nome da trilha), digite um nome para a sua trilha. Para obter mais informações, consulte Requisitos de nomenclatura para CloudTrail recursos, buckets S3 e chaves KMS.

Se essa for uma trilha AWS Organizations da organização, você poderá habilitá-la para todas as contas da sua organização. Para ver essa opção, será necessário fazer login no console com um usuário ou perfil na conta de gerenciamento ou de administrador delegado. Para criar uma trilha da organização, verifique se o usuário ou a função tem permissões suficientes. Para obter mais informações, consulte Criar uma trilha para uma organização.

Em Storage location (Local de armazenamento), escolha Create a S3 bucket (Criar um bucket do S3) para criar um bucket. Quando você cria um bucket, CloudTrail cria e aplica as políticas de bucket necessárias. Se você optar por criar um novo bucket do S3, sua IAM política precisará incluir permissão para a s3:PutEncryptionConfiguration ação porque, por padrão, a criptografia do lado do servidor está habilitada para o bucket.

Para facilitar a localização de seus registros, crie uma nova pasta (também conhecida como prefixo) em um bucket existente para armazenar seus CloudTrail registros. Insira o prefixo em Prefix (Prefixo).

Em Arquivo de log SSE - KMS criptografia, escolha Ativado se quiser criptografar seus arquivos de log usando SSE - KMS criptografia em vez de criptografia SSE -S3. O padrão é Enabled (Habilitado). Se você não ativar a KMS criptografia SSE -, seus registros serão criptografados usando a criptografia SSE -S3. Para obter mais informações sobre SSE - KMS criptografia, consulte Usando criptografia do lado do servidor com AWS Key Management Service (SSE-). KMS Para obter mais informações sobre a criptografia SSE -S3, consulte Uso da criptografia do lado do servidor com chaves de criptografia gerenciadas pelo Amazon S3 (-S3). SSE

Se você habilitar SSE - KMS criptografia, escolha Novo ou Existente AWS KMS key. Em AWS KMS Alias, especifique um alias, no formato alias/MyAliasName. Para obter mais informações, consulteAtualizar um recurso para usar sua KMS chave com o console. CloudTrail também suporta chaves AWS KMS multirregionais. Para obter mais informações sobre chaves de várias regiões, consulte Usar chaves de várias regiões no Manual do desenvolvedor do AWS Key Management Service .

Em Additional settings (Configurações adicionais), configure as opções a seguir.

1. Em Log file validation (Validação de arquivo de log), escolha Enabled (Habilitado) para receber resumos de log no seu bucket do S3. Você pode usar os arquivos de resumo para verificar se seus arquivos de log não foram alterados após CloudTrail serem entregues. Para obter mais informações, consulte Validando a integridade CloudTrail do arquivo de log.

2. Para entrega de SNS notificações, escolha Ativado para ser notificado sempre que um registro for entregue ao seu bucket. CloudTrail armazena vários eventos em um arquivo de log. SNSas notificações são enviadas para cada arquivo de log, não para cada evento. Para obter mais informações, consulte Configurando SNS notificações da Amazon para CloudTrail.

   Se você ativar SNS as notificações, em Criar um novo SNS tópico, escolha Novo para criar um tópico ou escolha Existente para usar um tópico existente. Se você estiver criando uma trilha que se aplica a todas as regiões, as SNS notificações para entregas de arquivos de log de todas as regiões são enviadas para o único SNS tópico que você criar.

   Se você escolher Novo, CloudTrail especifica um nome para o novo tópico para você ou pode digitar um nome. Se você escolher Existente, escolha um SNS tópico na lista suspensa. Você também pode inserir um tópico ARN de outra região ou de uma conta com as permissões apropriadas. Para obter mais informações, consulte Política de SNS tópicos da Amazon para CloudTrail.

   Se você criar um tópico, precisará se inscrever nele para ser notificado sobre a entrega de arquivos de log. Você pode se inscrever no SNS console da Amazon. Devido à frequência das notificações, recomendamos que você configure a assinatura para usar uma SQS fila da Amazon para lidar com as notificações de forma programática. Para obter mais informações, consulte Introdução à Amazon SNS no Guia do desenvolvedor do Amazon Simple Notification Service.

Opcionalmente, configure CloudTrail para enviar arquivos de log para o CloudWatch Logs escolhendo Habilitado em CloudWatch Registros. Para obter mais informações, consulte Enviando eventos para o CloudWatch Logs.

1. Se você habilitar a integração com CloudWatch Logs, escolha Novo para criar um novo grupo de registros ou Existente para usar um existente. Se você escolher Novo, CloudTrail especifica um nome para o novo grupo de registros para você ou pode digitar um nome.

2. Se escolher Existing (Existente), escolha um grupo de logs na lista suspensa.

3. Escolha Novo para criar um novo IAM papel para obter permissões para enviar registros para o CloudWatch Logs. Escolha Existente para escolher uma IAM função existente na lista suspensa. A declaração de política para a função nova ou existente é exibida quando você expande Policy document (Documento de política). Para obter mais informações sobre essa função, consulte Documento de política de funções CloudTrail para usar CloudWatch registros para monitoramento.

   nota

   • Ao configurar uma trilha, você pode escolher um bucket e um SNS tópico do S3 que pertençam a outra conta. No entanto, se você quiser CloudTrail entregar eventos a um grupo de CloudWatch registros de registros, deverá escolher um grupo de registros que exista na sua conta atual.

   • Somente a conta de gerenciamento pode configurar um grupo de CloudWatch registros de registros para uma trilha da organização usando o console. O administrador delegado pode configurar um grupo de CloudWatch registros de registros usando as UpdateTrail API operações AWS CLI ou CloudTrail CreateTrail ou.

Para tags, você pode adicionar até 50 pares de chaves de tag para ajudá-lo a identificar, classificar e controlar o acesso à sua trilha. As tags podem ajudá-lo a identificar suas CloudTrail trilhas e os buckets do Amazon S3 que contêm CloudTrail arquivos de log. Em seguida, você pode usar grupos de recursos para seus CloudTrail recursos. Para ter mais informações, consulte AWS Resource Groups e Tags.

Na página Choose log events (Escolher eventos de log), escolha os tipos de eventos que você deseja registrar. Em Management events (Eventos de gerenciamento), faça o indicado a seguir.

1. Para APIatividades, escolha se você deseja que sua trilha registre eventos de leitura, eventos de gravação ou ambos. Para obter mais informações, consulte Eventos de gerenciamento.

2. Escolha Excluir AWS KMS eventos para filtrar AWS Key Management Service (AWS KMS) eventos da sua trilha. A configuração padrão é incluir todos os AWS KMS eventos.

   A opção de registrar ou excluir AWS KMS eventos está disponível somente se você registrar eventos de gerenciamento em sua trilha. Se você optar por não registrar eventos de gerenciamento, os AWS KMS eventos não serão registrados e você não poderá alterar as configurações do registro de AWS KMS eventos.

   AWS KMS ações comoEncrypt,Decrypt, e GenerateDataKey normalmente geram um grande volume (mais de 99%) de eventos. Agora essas ações são registradas em log como eventos de Leitura. AWS KMS Ações relevantes de baixo volume, como DisableDelete, e ScheduleKey (que normalmente representam menos de 0,5% do volume de AWS KMS eventos) são registradas como eventos de gravação.

   Para excluir eventos de alto volumeEncrypt, comoDecrypt, eGenerateDataKey, mas ainda registrar eventos relevantesDisable, como Delete eScheduleKey, escolha registrar eventos de gerenciamento de gravação e desmarque a caixa de seleção Excluir AWS KMS eventos.

3. Escolha Excluir API eventos do Amazon RDS Data para filtrar os eventos do Amazon Relational Database Service API Data da sua trilha. A configuração padrão é incluir todos os API eventos do Amazon RDS Data. Para obter mais informações sobre API eventos do Amazon RDS Data, consulte Registrar API chamadas de dados AWS CloudTrail no Guia do RDS usuário da Amazon para Aurora.

Para registrar eventos de dados, escolha Data events (Eventos de dados). Há cobranças adicionais para o registro de eventos de dados. Para obter mais informações, consulte Preços do AWS CloudTrail.

Em Data event type (Tipo de evento de dados), escolha o tipo de recurso no qual você deseja registrar eventos de dados. Para obter mais informações sobre os tipos de eventos de dados disponíveis, consulte Eventos de dados.

Escolha um modelo de seletor de registros. CloudTrail inclui modelos predefinidos que registram todos os eventos de dados do tipo de recurso. Para criar um modelo de seletor de log personalizado, escolha Custom (Personalizado).

(Opcional) Em Nome do seletor, insira um nome para identificar o seletor. O nome do seletor é um nome descritivo para um seletor de eventos avançado, como "Registrar eventos de dados em log para apenas dois buckets do S3". O nome do seletor é listado como Name no seletor de eventos avançado e pode ser visualizado se você expandir a exibição. JSON

Em Advanced event selectors (Seletores de eventos avançados), crie uma expressão para os recursos específicos nos quais você deseja registrar eventos de dados. Você poderá ignorar esta etapa se estiver usando um modelo de log predefinido.

1. Escolha um dos seguintes campos:

   • readOnly- readOnly pode ser definido como igual a um valor de true ou. false Eventos de dados somente leitura são eventos que não alteram o estado de um recurso, como Get* ou Describe*. Eventos de gravação adicionam, alteram ou excluem recursos, atributos ou artefatos, como Put*, Delete* ou Write*. Para registrar os eventos read e write, não adicione um seletor readOnly.

   • eventName - eventName pode usar qualquer operador. Você pode usá-lo para incluir ou excluir qualquer evento de dados registrado CloudTrail, como PutBucketGetItem, ouGetSnapshotBlock.

   • resources.ARN- Você pode usar qualquer operador comresources.ARN, mas se usar igual ou diferente, o valor deverá corresponder exatamente ao ARN de um recurso válido do tipo que você especificou no modelo como valor de. resources.type

     A tabela a seguir mostra o ARN formato válido para cada umresources.type.

     nota

     Você não pode usar o resources.ARN campo para filtrar tipos de recursos que não têmARNs.

     resources.type	recursos. ARN
     AWS::DynamoDB::Table1	arn:partition:dynamodb:region:account_ID:table/table_name
     AWS::Lambda::Function	arn:partition:lambda:region:account_ID:function:function_name
     AWS::S3::Object2	arn:partition:s3:::amzn-s3-demo-bucket/ arn:partition:s3:::amzn-s3-demo-bucket/object_or_file_name/
     AWS::AppConfig::Configuration	arn:partition:appconfig:region:account_ID:application/application_ID/environment/environment_ID/configuration/configuration_profile_ID
     AWS::B2BI::Transformer	arn:partition:b2bi:region:account_ID:transformer/transformer_ID
     AWS::Bedrock::AgentAlias	arn:partition:bedrock:region:account_ID:agent-alias/agent_ID/alias_ID
     AWS::Bedrock::FlowAlias	arn:partition:bedrock:region:account_ID:flow/flow_ID/alias/alias_ID
     AWS::Bedrock::Guardrail	arn:partition:bedrock:region:account_ID:guardrail/guardrail_ID
     AWS::Bedrock::KnowledgeBase	arn:partition:bedrock:region:account_ID:knowledge-base/knowledge_base_ID
     AWS::Bedrock::Model	Eles ARN devem estar em um dos seguintes formatos: arn:partition:bedrock:region::foundation-model/resource_ID arn:partition:bedrock:region:account_ID:provisioned-model/resource_ID arn:partition:bedrock:region:account_ID:custom-model/resource_ID
     AWS::Cassandra::Table	arn:partition:cassandra:region:account_ID:keyspace/keyspace_name/table/table_name
     AWS::CloudFront::KeyValueStore	arn:partition:cloudfront:region:account_ID:key-value-store/KVS_name
     AWS::CloudTrail::Channel	arn:partition:cloudtrail:region:account_ID:channel/channel_UUID
     AWS::CodeWhisperer::Customization	arn:partition:codewhisperer:region:account_ID:customization/customization_ID
     AWS::CodeWhisperer::Profile	arn:partition:codewhisperer:region:account_ID:profile/profile_ID
     AWS::Cognito::IdentityPool	arn:partition:cognito-identity:region:account_ID:identitypool/identity_pool_ID
     AWS::DataExchange::Asset	arn:partition:dataexchange:region:account_ID:data-sets/data_set_ID/revisions/revision_ID/assets/asset_ID
     AWS::Deadline::Fleet	arn:partition:deadline:region:account_ID:farm/farm_ID/fleet/fleet_ID
     AWS::Deadline::Job	arn:partition:deadline:region:account_ID:farm/farm_ID/queue/queue_ID/job/job_ID
     AWS::Deadline::Queue	arn:partition:deadline:region:account_ID:farm/farm_ID/queue/queue_ID
     AWS::Deadline::Worker	arn:partition:deadline:region:account_ID:farm/farm_ID/fleet/fleet_ID/worker/worker_ID
     AWS::DynamoDB::Stream	arn:partition:dynamodb:region:account_ID:table/table_name/stream/date_time
     AWS::EC2::Snapshot	arn:partition:ec2:region::snapshot/snapshot_ID
     AWS::EMRWAL::Workspace	arn:partition:emrwal:region:account_ID:workspace/workspace_name
     AWS::FinSpace::Environment	arn:partition:finspace:region:account_ID:environment/environment_ID
     AWS::Glue::Table	arn:partition:glue:region:account_ID:table/database_name/table_name
     AWS::GreengrassV2::ComponentVersion	arn:partition:greengrass:region:account_ID:components/component_name
     AWS::GreengrassV2::Deployment	arn:partition:greengrass:region:account_ID:deployments/deployment_ID
     AWS::GuardDuty::Detector	arn:partition:guardduty:region:account_ID:detector/detector_ID
     AWS::IoT::Certificate	arn:partition:iot:region:account_ID:cert/certificate_ID
     AWS::IoT::Thing	arn:partition:iot:region:account_ID:thing/thing_ID
     AWS::IoTSiteWise::Asset	arn:partition:iotsitewise:region:account_ID:asset/asset_ID
     AWS::IoTSiteWise::TimeSeries	arn:partition:iotsitewise:region:account_ID:timeseries/timeseries_ID
     AWS::IoTTwinMaker::Entity	arn:partition:iottwinmaker:region:account_ID:workspace/workspace_ID/entity/entity_ID
     AWS::IoTTwinMaker::Workspace	arn:partition:iottwinmaker:region:account_ID:workspace/workspace_ID
     AWS::KendraRanking::ExecutionPlan	arn:partition:kendra-ranking:region:account_ID:rescore-execution-plan/rescore_execution_plan_ID
     AWS::Kinesis::Stream	arn:partition:kinesis:region:account_ID:stream/stream_name
     AWS::Kinesis::StreamConsumer	arn:partition:kinesis:region:account_ID:stream_type/stream_name/consumer/consumer_name:consumer_creation_timestamp
     AWS::KinesisVideo::Stream	arn:partition:kinesisvideo:region:account_ID:stream/stream_name/creation_time
     AWS::MachineLearning::MlModel	arn:partition:machinelearning:region:account_ID:mlmodel/model_ID
     AWS::ManagedBlockchain::Network	arn:partition:managedblockchain:::networks/network_name
     AWS::ManagedBlockchain::Node	arn:partition:managedblockchain:region:account_ID:nodes/node_ID
     AWS::MedicalImaging::Datastore	arn:partition:medical-imaging:region:account_ID:datastore/data_store_ID
     AWS::NeptuneGraph::Graph	arn:partition:neptune-graph:region:account_ID:graph/graph_ID
     AWS::One::UKey	arn:partition:one:region:account_ID:user/user_ID/u-key/u-key_ID
     AWS::One::User	arn:partition:one:region:account_ID:user/user_ID
     AWS::PaymentCryptography::Alias	arn:partition:payment-cryptography:region:account_ID:alias/alias
     AWS::PaymentCryptography::Key	arn:partition:payment-cryptography:region:account_ID:key/key_ID
     AWS::PCAConnectorAD::Connector	arn:partition:pca-connector-ad:region:account_ID:connector/connector_ID
     AWS::PCAConnectorSCEP::Connector	arn:partition:pca-connector-scep:region:account_ID:connector/connector_ID
     AWS::QApps:QApp	arn:partition:qapps:region:account_ID:application/application_UUID/qapp/qapp_UUID
     AWS::QBusiness::Application	arn:partition:qbusiness:region:account_ID:application/application_ID
     AWS::QBusiness::DataSource	arn:partition:qbusiness:region:account_ID:application/application_ID/index/index_ID/data-source/datasource_ID
     AWS::QBusiness::Index	arn:partition:qbusiness:region:account_ID:application/application_ID/index/index_ID
     AWS::QBusiness::WebExperience	arn:partition:qbusiness:region:account_ID:application/application_ID/web-experience/web_experienc_ID
     AWS::RDS::DBCluster	arn:partition:rds:region:account_ID:cluster/cluster_name
     AWS::RUM::AppMonitor	arn:partition:rum:region:account_ID:appmonitor/app_monitor_name
     AWS::S3::AccessPoint3	arn:partition:s3:region:account_ID:accesspoint/access_point_name
     AWS::S3Express::Object	arn:partition:s3express:region:account_ID:bucket/bucket_name
     AWS::S3ObjectLambda::AccessPoint	arn:partition:s3-object-lambda:region:account_ID:accesspoint/access_point_name
     AWS::S3Outposts::Object	arn:partition:s3-outposts:region:account_ID:object_path
     AWS::SageMaker::Endpoint	arn:partition:sagemaker:region:account_ID:endpoint/endpoint_name
     AWS::SageMaker::ExperimentTrialComponent	arn:partition:sagemaker:region:account_ID:experiment-trial-component/experiment_trial_component_name
     AWS::SageMaker::FeatureGroup	arn:partition:sagemaker:region:account_ID:feature-group/feature_group_name
     AWS::SCN::Instance	arn:partition:scn:region:account_ID:instance/instance_ID
     AWS::ServiceDiscovery::Namespace	arn:partition:servicediscovery:region:account_ID:namespace/namespace_ID
     AWS::ServiceDiscovery::Service	arn:partition:servicediscovery:region:account_ID:service/service_ID
     AWS::SNS::PlatformEndpoint	arn:partition:sns:region:account_ID:endpoint/endpoint_type/endpoint_name/endpoint_ID
     AWS::SNS::Topic	arn:partition:sns:region:account_ID:topic_name
     AWS::SocialMessaging::PhoneNumberId	arn:partition:social-messaging:region:account_ID:phone-number-id/phone_number_ID
     AWS::SQS::Queue	arn:partition:sqs:region:account_ID:queue_name
     AWS::SSM::ManagedNode	Eles ARN devem estar em um dos seguintes formatos: arn:partition:ssm:region:account_ID:managed-instance/instance_ID arn:partition:ec2:region:account_ID:instance/instance_ID
     AWS::SSMMessages::ControlChannel	arn:partition:ssmmessages:region:account_ID:control-channel/control_channel_ID
     AWS::StepFunctions::StateMachine	Eles ARN devem estar em um dos seguintes formatos: arn:partition:states:region:account_ID:stateMachine:stateMachine_name arn:partition:states:region:account_ID:stateMachine:stateMachine_name/label_name
     AWS::SWF::Domain	arn:partition:swf:region:account_ID:/domain/domain_name
     AWS::ThinClient::Device	arn:partition:thinclient:region:account_ID:device/device_ID
     AWS::ThinClient::Environment	arn:partition:thinclient:region:account_ID:environment/environment_ID
     AWS::Timestream::Database	arn:partition:timestream:region:account_ID:database/database_name
     AWS::Timestream::Table	arn:partition:timestream:region:account_ID:database/database_name/table/table_name
     AWS::VerifiedPermissions::PolicyStore	arn:partition:verifiedpermissions:region:account_ID:policy-store/policy_store_ID

     ¹ Para tabelas com fluxos habilitados, o campo resources no evento de dados contém AWS::DynamoDB::Stream e AWS::DynamoDB::Table. Se você especificar AWS::DynamoDB::Table como resources.type, ele registrará os eventos da tabela do DynamoDB e dos fluxos do DynamoDB por padrão. Para excluir eventos de streams, adicione um filtro no eventName campo.

     ² Para registrar todos os eventos de dados de todos os objetos em um bucket específico do S3, use o StartsWith operador e inclua somente o bucket ARN como valor correspondente. A barra final é intencional; não a exclua.

     ³ Para registrar eventos em todos os objetos em um ponto de acesso do S3, recomendamos que você use somente o ponto de acessoARN, não inclua o caminho do objeto e use os NotStartsWith operadores StartsWith ou.

   Para obter mais informações sobre os ARN formatos dos recursos de eventos de dados, consulte Ações, recursos e chaves de condição no Guia AWS Identity and Access Management do usuário.

2. Para cada campo, escolha + Condição para adicionar quantas condições forem necessárias até o máximo de 500 valores especificados para todas as condições. Por exemplo, para excluir eventos de dados de dois buckets do S3 dos eventos de dados registrados no seu armazenamento de dados de eventos, você pode definir o campo como recursos. ARN, defina o operador para não começa com e, em seguidaARN, cole em um bucket do S3 ou procure os buckets do S3 nos quais você não deseja registrar eventos.

   Para adicionar o segundo bucket do S3, escolha + Condition e repita a instrução anterior, colando em ARN for ou procurando por um bucket diferente.

   Para obter informações sobre como CloudTrail avalia várias condições, consulteComo CloudTrail avalia várias condições para um campo.

   nota

   É possível ter no máximo 500 valores para todos os seletores em um armazenamento de dados de eventos. Isso inclui matrizes de vários valores para um seletor, como eventName. Se você tiver valores únicos para todos os seletores, poderá ter um máximo de 500 condições adicionadas a um seletor.

3. Selecione + Field (+ Campo) para adicionar outros campos, conforme necessário. Para evitar erros, não defina valores conflitantes ou duplicados para campos. Por exemplo, não especifique um seletor ARN em um para ser igual a um valor e, em seguida, especifique que ARN não seja igual ao mesmo valor em outro seletor.

Para adicionar outro tipo de dados no qual registrar eventos de dados, escolha Add data event type (Adicionar tipo de evento de dados). Repita as etapas de 12 até esta etapa para configurar seletores de eventos avançados para o tipo de evento de dados.

Para registrar eventos de atividade de rede, escolha Eventos de atividade de rede. Os eventos de atividade de rede permitem que os proprietários de VPC endpoints gravem AWS API chamadas feitas usando seus VPC endpoints de uma rede privada VPC para a. AWS service (Serviço da AWS) Cobranças adicionais se aplicam ao registro de eventos de atividade da rede. Para obter mais informações, consulte Preços do AWS CloudTrail.

Para registrar eventos de atividade de rede, faça o seguinte:

1. Em Fonte de eventos de atividade de rede, escolha a fonte para eventos de atividade de rede.

2. Em Log selector template (Modelo de seletor de logs), escolha um modelo. Você pode escolher registrar todos os eventos de atividade da rede, registrar todos os eventos negados de acesso à atividade da rede ou escolher Personalizado para criar um seletor de registro personalizado para filtrar vários campos, como eventName e. vpcEndpointId

3. (Opcional) Insira um nome para identificar o seletor. O nome do seletor é listado como Nome no seletor de eventos avançado e pode ser visualizado se você expandir a exibição. JSON

4. Em Avançado, os seletores de eventos criam expressões escolhendo valores para Campo, Operador e Valor. Você poderá ignorar esta etapa se estiver usando um modelo de log predefinido.

   1. Para excluir ou incluir eventos de atividade de rede, você pode escolher entre os seguintes campos no console.

      • eventName— Você pode usar qualquer operador comeventName. Você pode usá-lo para incluir ou excluir qualquer evento, comoCreateKey.

      • errorCode— Você pode usá-lo para filtrar um código de erro. Atualmente, o único suportado errorCode éVpceAccessDenied.

      • vpcEndpointId— Identifica o VPC endpoint pelo qual a operação passou. Você pode usar qualquer operador comvpcEndpointId.

   2. Para cada campo, escolha + Condição para adicionar quantas condições forem necessárias até o máximo de 500 valores especificados para todas as condições.

   3. Selecione + Field (+ Campo) para adicionar outros campos, conforme necessário. Para evitar erros, não defina valores conflitantes ou duplicados para campos.

5. Para adicionar outra fonte de eventos para a qual você deseja registrar eventos de atividade de rede, escolha Adicionar seletor de eventos de atividade de rede.

6. Opcionalmente, expanda a JSONvisualização para ver seus seletores de eventos avançados como um JSON bloco.

Escolha eventos do Insights se quiser que sua trilha registre eventos do CloudTrail Insights.

Em Event type (Tipo de evento), selecione Insights events (Eventos do Insights). Você deve registrar eventos de gerenciamento de gravação para registrar eventos do Insights sobre a taxa de API chamadas. Você deve registrar eventos de gerenciamento de leitura ou gravação para registrar a taxa de API erro dos eventos do Insights.

CloudTrail O Insights analisa eventos de gerenciamento em busca de atividades incomuns e registra eventos quando anomalias são detectadas. Por padrão, as trilhas não registram em log eventos do Insights. Para obter mais informações sobre eventos do Insights, consulte Registrar eventos do Insights. Há cobranças adicionais para o registro em log de eventos do Insights. Para CloudTrail saber os preços, consulte AWS CloudTrail Preços.

Os eventos do Insights são entregues em uma pasta diferente chamada /CloudTrail-Insight do mesmo bucket do S3 que é especificado na área de localização de armazenamento da página de detalhes da trilha. CloudTrailcria o novo prefixo para você. Por exemplo, se o bucket de destino do S3 atual for chamado de amzn-s3-demo-bucket/AWSLogs/CloudTrail/, o nome do bucket do S3 com um novo prefixo será chamado de amzn-s3-demo-bucket/AWSLogs/CloudTrail-Insight/.

Quando terminar de escolher os tipos de eventos para registrar, escolhaNext (Próximo).

Na página Review and create (Revisar e criar), revise as suas escolhas. Escolha Edit (Editar) em uma seção para alterar as configurações de trilha mostradas nessa seção. Quando estiver pronto para criar a trilha, escolha Create trail (Criar trilha).

A nova trilha será exibida na página Trails (Trilhas). Em cerca de 5 minutos, CloudTrail publica arquivos de log que mostram as AWS API chamadas feitas em sua conta. Você pode ver os arquivos de log no bucket do S3 que você especificou. Pode levar até 36 horas CloudTrail para entregar o primeiro evento do Insights, se você tiver ativado o registro de eventos do Insights e uma atividade incomum for detectada.

Em Eventos, escolha Eventos de dados para registrar eventos de dados. Há cobranças adicionais para o registro de eventos de dados. Para obter mais informações, consulte Preços do AWS CloudTrail.

Para Buckets do Amazon S3:

1. Em Data event source (Fonte do eventos de dados), escolha S3.

2. Você pode escolher registrar All current and future S3 buckets (Todos os buckets do S3 atuais e futuros) ou pode especificar buckets ou funções individuais. Por padrão, os eventos de dados são registrados para todos os buckets do S3 atuais e futuros.

   nota

   Manter a opção padrão All current and future S3 buckets permite o registro de eventos de dados para todos os buckets atualmente em sua AWS conta e para todos os buckets que você criar depois de concluir a criação da trilha. Ele também permite o registro da atividade de eventos de dados realizada por qualquer IAM identidade em sua AWS conta, mesmo que essa atividade seja realizada em um bucket que pertença a outra AWS conta.

   Se você estiver criando uma trilha para uma única região (usando o AWS CLI), escolher Todos os buckets atuais e futuros do S3 permite o registro de eventos de dados para todos os buckets na mesma região da sua trilha e para todos os buckets que você criar posteriormente nessa região. Ele não registrará eventos de dados para buckets do Amazon S3 em outras regiões da sua conta. AWS

3. Se você deixar a opção padrão All current and future S3 buckets (Todos os buckets do S3 atuais e futuros), escolha para registrar eventos Read (Leitura), Write (Gravação) ou ambos.

4. Para selecionar buckets individuais, desmarque as caixas de seleção Read (Leitura) e Write (Gravação) em All current and future S3 buckets (Todos os buckets do S3 atuais e futuros). Em Individual bucket selection (Seleção de bucket individual), procure por um bucket no qual registrar eventos de dados. Localize buckets específicos digitando um prefixo de bucket para o bucket desejado. É possível selecionar vários buckets nesta janela. Escolha Add bucket (Adicionar bucket) para registrar eventos de dados em mais buckets. Escolha se você deseja registrar eventos de Read (Leitura), como GetObject, Write (Gravação), como PutObject, ou ambos.

   Essa configuração tem precedência sobre configurações individuais que você configura para buckets individuais. Por exemplo, se você especificar o registro de eventos de Read (Leitura) para todos os buckets do S3 e escolher adicionar um bucket específico ao registro de eventos de dados, Read (Leitura) já estará selecionada para o bucket adicionado. Você não pode limpar a seleção. Você pode somente configurar a opção para Write (Gravação).

   Para remover um bucket do registro, escolha X.

Para adicionar outro tipo de dados no qual registrar eventos de dados, escolha Add data event type (Adicionar tipo de evento de dados).

Funções do Lambda:

1. Em Data event source (Fonte do eventos de dados), escolha Lambda.

2. Na função Lambda, escolha Todas as regiões para registrar todas as funções do Lambda ou Função de entrada ARN para registrar eventos de dados em uma função específica.

   Para registrar eventos de dados para todas as funções do Lambda em sua AWS conta, selecione Registrar todas as funções atuais e futuras. Essa configuração tem precedência sobre configurações individuais definidas para funções individuais. Todas as funções são registradas, mesmo se todas as funções não forem exibidas.

   nota

   Se estiver criando uma trilha para todas as regiões, essa seleção habilitará o registro de eventos de dados para todas as funções atualmente em sua conta da AWS e qualquer função Lambda que você venha a criar em qualquer região depois de concluir a criação da trilha. Se você estiver criando uma trilha para uma única região (feita usando o AWS CLI), essa seleção habilita o registro de eventos de dados para todas as funções atualmente nessa região em sua AWS conta e quaisquer funções Lambda que você possa criar nessa região depois de terminar de criar a trilha. Essa opção não permite o registro de eventos de dados para funções do Lambda criadas em outras regiões.

   O registro de eventos de dados para todas as funções também permite o registro da atividade de eventos de dados realizada por qualquer IAM identidade em sua AWS conta, mesmo que essa atividade seja realizada em uma função que pertença a outra AWS conta.

3. Se você escolher Função de entrada como ARN, insira a ARN de uma função Lambda.

   nota

   Se você tiver mais de 15.000 funções do Lambda em sua conta, não poderá visualizar ou selecionar todas as funções no console CloudTrail ao criar uma trilha. Você ainda poderá selecionar a opção de registrar todas as funções, mesmo se elas não forem exibidas. Se quiser registrar eventos de dados para funções específicas, você pode adicionar manualmente uma função se souber delaARN. Você também pode concluir a criação da trilha no console e, em seguida, usar o put-event-selectors comando AWS CLI e o para configurar o registro de eventos de dados para funções específicas do Lambda. Para obter mais informações, consulte Gerenciando trilhas com o AWS CLI.

Para tabelas do DynamoDB:

1. Em Data event source (Fonte do eventos de dados), escolha DynamoDB.

2. Na seleção de tabela do DynamoDB, escolha Procurar para selecionar uma tabela ou cole na tabela ARN do DynamoDB à qual você tenha acesso. Uma ARN tabela do DynamoDB usa o seguinte formato:

   arn:partition:dynamodb:region:account_ID:table/table_name

   Para adicionar outra tabela, escolha Adicionar linha e procure uma tabela ou cole na ARN tabela à qual você tenha acesso.

Para configurar eventos do Insights e outras configurações para sua trilha, volte ao procedimento anterior neste tópico, Criar uma trilha no console.