CloudTrail conteúdo do registro

A data e a hora em que a solicitação foi concluída no formato de Tempo Universal Coordenado (UTC). O carimbo de data/hora de um evento vem do host local que fornece o endpoint da API de serviço no qual a chamada de API foi feita. Por exemplo, um evento de CreateBucket API executado na região Oeste dos EUA (Oregon) teria seu registro de data e hora a partir do momento em um AWS host executando o endpoint do Amazon S3,. s3.us-west-2.amazonaws.com Em geral, AWS os serviços usam o Network Time Protocol (NTP) para sincronizar os relógios do sistema.

Desde: 1.0

Opcional: False

A versão do formato do evento de log. A versão atual é 1.11.

O eventVersion valor é uma versão principal e uma versão secundária no formuláriomajor_version. minor_version. Por exemplo, é possível ter um valor eventVersion de 1.10, onde 1 é a versão principal, e10 é a versão secundária.

CloudTrail incrementa a versão principal se for feita uma alteração na estrutura do evento que não seja compatível com versões anteriores. Isso inclui remover um campo JSON que já existe ou alterar a forma como o conteúdo de um campo é representado (por exemplo, um formato de data). CloudTrail incrementa a versão secundária se uma alteração adicionar novos campos à estrutura do evento. Isso poderá ocorrer se novas informações forem fornecidas para alguns ou todos os eventos existentes ou se novas informações estiverem disponíveis somente para novos tipos de evento. As aplicações podem ignorar novos campos para permanecerem compatíveis com novas versões secundárias da estrutura do evento.

Se CloudTrail introduzir novos tipos de eventos, mas a estrutura do evento permanecer inalterada, a versão do evento não será alterada.

Para garantir que suas aplicações possam analisar a estrutura do evento, recomendamos que você faça uma comparação "igual a" no número da versão principal. Para garantir que os campos esperados pelo seu aplicativo existam, também recomendamos realizar uma comparação greater-than-or-equal -to na versão secundária. Não há zeros à esquerda na versão secundária. Você pode interpretar ambos major_version e minor_version como números e realizar operações de comparação.

Desde: 1.0

Opcional: False

Informações sobre a identidade do IAM que fez uma solicitação. Para obter mais informações, consulte CloudTrail Elemento UserIdentity.

Desde: 1.0

Opcional: False

O serviço para o qual a solicitação foi feita. Esse nome normalmente é uma forma curta do nome do serviço sem espaços, mais .amazonaws.com. Por exemplo:

Essa convenção tem algumas exceções. Por exemplo, o eventSource para a Amazon CloudWatch émonitoring.amazonaws.com.

Desde: 1.0

Opcional: False

A ação solicitada, que é uma das ações na API desse serviço.

Desde: 1.0

Opcional: False

Região da AWS Aquele para o qual a solicitação foi feita, comous-east-2. Consulte CloudTrail Regiões suportadas.

Desde: 1.0

Opcional: False

O endereço IP do qual a solicitação foi feita. Para ações originadas do console de serviço, o endereço informado é do recurso do cliente subjacente, e não do servidor web do console. Para serviços em AWS, somente o nome DNS é exibido.

Desde: 1.0

Opcional: False

O agente por meio do qual a solicitação foi feita, como o AWS Management Console, um AWS serviço, o AWS SDKs ou AWS CLI o. Esse campo tem um tamanho máximo de 1 KB; o conteúdo que exceder esse limite ficará truncado. Veja a seguir exemplos de valores:

Desde: 1.0

Opcional: True

O erro de AWS serviço se a solicitação retornar um erro. Para obter um exemplo que mostra esse campo, consulte Exemplos de código de erro e log de mensagens. Esse campo tem um tamanho máximo de 1 KB; o conteúdo que exceder esse limite ficará truncado.

Para eventos de atividade de rede, quando há uma violação da política do endpoint da VPC, o código de erro é VpceAccessDenied.

Desde: 1.0

Opcional: True

Se a solicitação retornar um erro, a descrição do erro. Essa mensagem inclui mensagens de falhas de autorização. CloudTrail captura a mensagem registrada pelo serviço em seu tratamento de exceções. Para obter um exemplo, consulte Exemplos de código de erro e log de mensagens. Esse campo tem um tamanho máximo de 1 KB; o conteúdo que exceder esse limite ficará truncado.

Para eventos de atividade de rede, quando há uma violação da política do endpoint da VPC, a errorMessage sempre terá a seguinte mensagem: The request was denied due to a VPC endpoint policy. Para obter mais informações sobre eventos de acesso negado para violações da política de endpoints da VPC, consulte Exemplos de mensagens de erro de acesso negado no Guiado usuário do IAM. Para ver um exemplo de evento de atividade de rede mostrando uma violação da política de endpoint da VPC, consulte Eventos de atividade de rede neste guia.

Desde: 1.0

Opcional: True

Os parâmetros, se houver, que foram enviados com a solicitação. Esses parâmetros estão documentados na documentação de referência da API para o AWS serviço apropriado. Esse campo tem um tamanho máximo de 100 KB. Quando o tamanho do campo excede 100 KB, o requestParameters conteúdo é omitido.

Desde: 1.0

Opcional: False

Os elementos de resposta, se houver, das ações que fazem alterações (criar, atualizar ou excluir ações). Pois readOnly APIs, esse campo énull. Se a ação não retorna elementos de resposta, esse campo é null. Os elementos de resposta das ações são registrados na documentação de referência da API do serviço do AWS service (Serviço da AWS) apropriado. Esse campo tem um tamanho máximo de 100 KB. Quando o tamanho do campo excede 100 KB, o reponseElements conteúdo é omitido.

O responseElements valor é útil para ajudar você a rastrear uma solicitação. com AWS Support. x-amz-request-id e x-amz-id-2 contêm informações que ajudam você a monitorar solicitações com o Suporte. Esses valores são os mesmos que os retornados pelo serviço na resposta à solicitação que inicia os eventos, para que possam ser usados para corresponder o evento à solicitação.

Desde: 1.0

Opcional: False

Dados adicionais sobre o evento que não faziam parte da solicitação ou resposta. Esse campo tem um tamanho máximo de 28 KB. Quando o tamanho do campo excede 28 KB, o additionalEventData conteúdo é omitido.

O conteúdo do additionalEventData é variável. Por exemplo, para eventos de AWS Management Console login, additionalEventData pode incluir o MFAUsed campo com um valor de Yes se a solicitação foi feita por um usuário root ou do IAM usando a autenticação multifator (MFA).

Desde: 1.0

Opcional: True

O valor que identifica a solicitação. O serviço que está sendo chamado gera esse valor. Esse campo tem um tamanho máximo de 1 KB; o conteúdo que exceder esse limite ficará truncado.

Desde: 1.01

Opcional: True

GUID gerado por CloudTrail para identificar de forma exclusiva cada evento. Você pode usar esse valor para identificar um único evento. Por exemplo, você pode usar o ID como uma chave primária para recuperar dados de log de um banco de dados que pode ser pesquisado.

Desde: 1.01

Opcional: False

Identifica o tipo de evento que gerou o registro de eventos. Pode ser um dos valores a seguir:

Desde: 1.02

Opcional: False

Identifica a versão da API associada ao valor de AwsApiCall eventType.

Desde: 1.01

Opcional: True

Um valor booliano que identifica se o evento é um evento de gerenciamento. managementEvent será mostrado em um registro de evento se eventVersion for 1.06 ou superior e o tipo de evento for um dos seguintes:

Desde: 1.06

Opcional: True

Identifica se essa operação é somente leitura. Pode ter um dos valores a seguir:

Desde: 1.01

Opcional: True

Uma lista de recursos acessados no evento. O campo pode conter as seguintes informações:

Por exemplo, quando um evento AssumeRole é registrado, o campo resources pode ter esta aparência:

Por exemplo, registros com o resources campo, consulte Evento de AWS STS API no arquivo de CloudTrail registro no Guia do usuário do IAM ou Registro de chamadas de AWS KMS API no Guia do AWS Key Management Service desenvolvedor.

Desde: 1.01

Opcional: True

Representa o ID da conta que recebeu esse evento. O recipientAccountID pode ser diferente do CloudTrail Elemento UserIdentity accountId. Isso pode ocorrer no acesso a recursos entre contas. Por exemplo, se uma chave do KMS, também conhecida como AWS KMS key, foi usada por uma conta separada para chamar a API de criptografia, os valores accountId e recipientAccountID serão os mesmos para o evento fornecido à conta que fez a chamada, mas os valores serão diferentes para o evento fornecido à conta que possui a chave do KMS.

Desde: 1.02

Opcional: True

Identifica o evento de serviço, incluindo o que acionou o evento e o resultado. Para obter mais informações, consulte AWS service (Serviço da AWS) eventos. Esse campo tem um tamanho máximo de 100 KB. Quando o tamanho do campo excede 100 KB, o serviceEventDetails conteúdo é omitido.

Desde: 1.05

Opcional: True

GUID gerado por CloudTrail para identificar de forma exclusiva CloudTrail eventos da mesma AWS ação que é enviada para contas diferentes. AWS

Por exemplo, quando uma conta usa uma AWS KMS keyque pertence a outra conta, a conta que usou a chave KMS e a conta que possui a chave KMS recebem CloudTrail eventos separados para a mesma ação. Cada CloudTrail evento realizado para esta AWS ação compartilha o mesmosharedEventID, mas também tem um único eventID recipientAccountID e.

Para obter mais informações, consulte Exemplo de sharedEventID.

Desde: 1.03

Opcional: True

Identifica o VPC endpoint no qual as solicitações foram feitas de uma VPC para outro AWS serviço, como a Amazon. EC2

Desde: 1.04

Opcional: True

Identifica o Conta da AWS ID do proprietário do VPC endpoint para o endpoint correspondente pelo qual uma solicitação foi enviada.

Desde: 1.09

Opcional: True

Exibe a categoria do evento. A categoria de evento é usada em chamadas LookupEvents para filtrar eventos de gerenciamento ou do Insights.

Desde: 1.07

Opcional: False

Se uma entrega de evento estiver atrasada ou informações adicionais sobre um evento existente se tornarem disponíveis após o evento ser registrado, um campo de adendo mostrará informações sobre o motivo do atraso do evento. Se as informações estiverem ausentes de um evento existente, o campo de adendo incluirá as informações ausentes e um motivo pelo qual elas estavam ausentes. O conteúdo inclui o seguinte:

Desde: 1.08

Opcional: True

Cadeia de caracteres com um valor de true ou false que mostra se um evento se originou ou não de uma AWS Management Console sessão. Este campo não é mostrado a menos que o valor seja true, o que significa que o cliente que foi usado para fazer a chamada de API era um proxy ou um cliente externo. Se um cliente proxy foi usado, campo do evento tlsDetails não é mostrado.

Desde: 1.08

Opcional: True

Mostra informações sobre dispositivos de borda que são alvos de uma solicitação. No momento, os eventos do dispositivo S3 Outposts incluem este campo. Esse campo tem um tamanho máximo de 28 KB; o conteúdo que exceder esse limite ficará truncado.

Desde: 1.08

Opcional: True

Mostra informações sobre a versão do Transport Layer Security (TLS), os conjuntos de criptografia e o nome de domínio totalmente qualificado (FQDN) do nome de host fornecido pelo cliente usado na chamada da API de serviço, que normalmente é o FQDN do endpoint do serviço. CloudTrailainda registra detalhes parciais do TLS se as informações esperadas estiverem ausentes ou vazias. Por exemplo, se a versão do TLS e o conjunto de cifras estiverem presentes, mas o HOST cabeçalho estiver vazio, os detalhes do TLS disponíveis ainda serão registrados no evento. CloudTrail

Desde: 1.08

Opcional: True

Os eventos A sharedEventID for CloudTrail Insights diferem dos sharedEventID CloudTrail eventos de gerenciamento e dados. Em eventos do Insights, a sharedEventID é um GUID gerado pelo CloudTrail Insights para identificar de forma exclusiva um evento do Insights. sharedEventIDé comum entre os eventos iniciais e finais do Insights e ajuda a conectar os dois eventos para identificar de forma exclusiva atividades incomuns. É possível pensar no sharedEventID como o ID de evento do Insights geral.

Desde: 1.07

Opcional: False

Somente eventos do Insights. Mostra informações sobre os acionadores subjacentes de um evento do Insights, como a fonte do evento, as estatísticas, o nome da API e se o evento é o início ou o fim do evento do Insights. Para obter mais informações sobre a estrutura e o conteúdo do arquivo insightDetails, consulte CloudTrail insightDetailsElemento Insights.

Desde: 1.07

Opcional: False