CloudTrail Conceitos e terminologia do lago

Seletores de eventos avançados determinam quais eventos incluir em um armazenamento de dados de eventos. Eles ajudam a controlar os custos registrando apenas os eventos que são importantes para você.

Para eventos de gerenciamento e eventos de dados, é possível usar seletores de eventos avançados para filtrar eventos. Por exemplo, se você estiver criando um armazenamento de dados de eventos para coletar eventos de gerenciamento, poderá filtrar AWS Key Management Service (AWS KMS) ou eventos da API de dados do Amazon Relational Database Service (Amazon RDS). Normalmente, AWS KMS ações como EncryptDecrypt, e GenerateDataKey geram mais de 99% dos eventos.

Para itens de AWS Config configuração, evidências do Audit Manager ou eventos externos AWS, os seletores de eventos avançados são usados somente para incluir eventos desse tipo no armazenamento de dados de eventos.

A federação permite ver os metadados associados a um armazenamento de dados de evento no Catálogo de Dados do AWS Glue e executar consultas SQL nos dados do evento usando o Amazon Athena. Os metadados da tabela armazenados no Catálogo de AWS Glue Dados permitem que o mecanismo de consulta do Athena saiba como encontrar, ler e processar os dados que você deseja consultar.

Quando você ativa a federação de consultas do Lake, CloudTrail cria os recursos federados em seu nome e registra esses recursos com. AWS Lake Formation Depois que a federação do Lake estiver habilitada, você poderá consultar diretamente os dados do evento no Athena sem precisar realizar nenhuma etapa adicional. Para ter mais informações, consulte Federar um armazenamento de dados de eventos.

Ao criar um armazenamento de dados de eventos, você escolhe a opção de preço que deseja usar para ele. A opção de preço determina o custo para a ingestão e para o armazenamento de eventos, e os períodos de retenção padrão e máximo para o armazenamento de dados de eventos. Para obter mais informações sobre preços, consulte Definição de preço do AWS CloudTrail e Gerenciando os custos CloudTrail do Lake.

O período de retenção de um armazenamento de dados de eventos determina por quanto tempo os dados de eventos são mantidos no armazenamento de dados de eventos. CloudTrail Lake determina se deve reter um evento verificando se o eventTime evento está dentro do período de retenção especificado. Por exemplo, se você especificar um período de retenção de 90 dias, CloudTrail removerá eventos quando tiverem eventTime mais de 90 dias.

O período de retenção padrão de um armazenamento de dados de eventos é o número padrão de dias em que os dados do evento são mantidos no armazenamento de dados de eventos. Durante o período de retenção padrão do armazenamento de dados de eventos, o armazenamento é incluído no preço de ingestão sem custo adicional. Após o período de retenção padrão, o preço do armazenamento é pay-as-you-go.

O período máximo de retenção de um armazenamento de dados de eventos representa o número máximo de dias em que você pode manter os dados em um armazenamento de dados de eventos.

Por padrão, os armazenamentos de dados de eventos habilitam a proteção contra encerramento, que evita que um armazenamento de dados de eventos seja excluído acidentalmente. Para excluir um armazenamento de dados de eventos com a proteção contra encerramento habilitada, escolha Alterar proteção contra encerramento no menu Ações na página de detalhes do armazenamento de dados de eventos. Em seguida, você pode continuar com a exclusão do armazenamento de dados de eventos. Para ter mais informações, consulte Altere a proteção de rescisão com o console.

Há dois tipos de integração: a direta e a de solução. Com as integrações diretas, o parceiro chama a operação da API PutAuditEvents para entregar eventos ao armazenamento de dados de eventos da sua Conta da AWS. Com as integrações de soluções, o aplicativo é executado em você Conta da AWS e chama a operação da PutAuditEvents API para entregar eventos ao armazenamento de dados de eventos para você Conta da AWS.

Realize eventos de fontes externas ao AWS trabalho usando canais para trazer eventos para o CloudTrail Lake de parceiros externos que trabalham com CloudTrail ou de suas próprias fontes. Ao criar um canal, você escolhe um ou mais armazenamentos de dados de eventos para armazenar eventos que cheguem da fonte do canal. É possível alterar os armazenamentos de dados de eventos de destino de um canal conforme necessário, desde que os armazenamentos de dados de eventos de destino estejam configurados para registrar em log eventos do eventCategory="ActivityAuditLog". Ao criar um canal para eventos de um parceiro externo, você fornece um nome do recurso da Amazon (ARN) de canal para o parceiro ou aplicação da fonte.

Políticas baseadas em atributos são documentos de políticas JSON que você anexa a um atributo. A política baseada em atributos anexada ao canal permite que a fonte transmita eventos pelo canal. Se um canal não tiver uma política de recursos para o canal, somente o proprietário do canal poderá chamar a operação da API PutAuditEvents no canal. Para ter mais informações, consulte AWS CloudTrail exemplos de políticas baseadas em recursos.

Os tipos de painéis disponíveis para um armazenamento de dados de eventos dependem da configuração dos seletores de eventos avançados do armazenamento de dados de eventos. Por exemplo, se um tipo de painel exibir informações sobre eventos CloudTrail de gerenciamento, você só poderá selecionar o painel se o armazenamento de dados de eventos atualmente selecionado coletar eventos CloudTrail de gerenciamento.

Os tipos de painel disponíveis são apresentados a seguir:

Os widgets são os componentes que compõem um painel e fornecem uma visualização, como um gráfico de linhas ou gráfico de barras. Cada widget representa uma consulta subjacente. Quando você escolhe Executar consultas, CloudTrail executa uma consulta gerada pelo sistema para preencher os dados de cada widget.