As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.
Esta seção descreve os principais conceitos e termos para ajudá-lo a usar o AWS CloudTrail Lake.
Conceitos e termos
Armazenamentos de dados de eventos
Os eventos são agregados em armazenamentos de dados de eventos, que são coleções imutáveis de eventos com base nos critérios que você seleciona aplicando seletores de eventos avançados.
Você pode criar um armazenamento de dados de eventos para registrar CloudTrail eventos (eventos de gerenciamento, eventos de dados, eventos de atividade de rede), eventos do CloudTrail Insights, AWS Audit Manager evidências, itens de AWS Config configuração ou eventos externos AWS.
- Seletores de eventos avançados
-
Seletores de eventos avançados determinam quais eventos incluir em um armazenamento de dados de eventos. Eles ajudam a controlar os custos registrando apenas os eventos que são importantes para você.
Para eventos de gerenciamento, eventos de dados e eventos de atividade de rede, é possível usar seletores de eventos avançados para filtrar eventos. Por exemplo, se você estiver criando um armazenamento de dados de eventos para coletar eventos de gerenciamento, poderá filtrar AWS Key Management Service (AWS KMS) ou eventos da API de dados do Amazon Relational Database Service (Amazon RDS). Normalmente, AWS KMS ações como
EncryptDecrypt, eGenerateDataKeygeram mais de 99% dos eventos.Para itens de AWS Config configuração, evidências do Audit Manager ou eventos externos AWS, os seletores de eventos avançados são usados somente para incluir eventos desse tipo no armazenamento de dados de eventos.
- Federação
-
A federação permite que você veja os metadados associados a um armazenamento de dados de eventos no catálogo de AWS Glue dados e execute consultas SQL nos dados do evento usando o Amazon Athena. Os metadados da tabela armazenados no Catálogo de AWS Glue Dados permitem que o mecanismo de consulta do Athena saiba como encontrar, ler e processar os dados que você deseja consultar.
Quando você ativa a federação de consultas do Lake, CloudTrail cria os recursos federados em seu nome e registra esses recursos com. AWS Lake Formation Depois que a federação do Lake estiver habilitada, você poderá consultar diretamente os dados do evento no Athena sem precisar realizar nenhuma etapa adicional. Para obter mais informações, consulte Federar um armazenamento de dados de eventos.
- Opções de preço
-
Ao criar um armazenamento de dados de eventos, você escolhe a opção de preço que deseja usar para ele. A opção de preço determina o custo para a ingestão e para o armazenamento de eventos, e os períodos de retenção padrão e máximo para o armazenamento de dados de eventos. Para obter mais informações sobre preços, consulte Definição de preço do AWS CloudTrail
e Gerenciando os custos CloudTrail do Lake. - Período de retenção
-
O período de retenção de um armazenamento de dados de eventos determina por quanto tempo os dados de eventos são mantidos no armazenamento de dados de eventos. CloudTrail Lake determina se deve reter um evento verificando se o
eventTimeevento está dentro do período de retenção especificado. Por exemplo, se você especificar um período de retenção de 90 dias, CloudTrail removerá eventos quando forem mais antigos do que 90 dias.eventTime - Período de retenção padrão
-
O período de retenção padrão de um armazenamento de dados de eventos é o número padrão de dias em que os dados do evento são mantidos no armazenamento de dados de eventos. Durante o período de retenção padrão do armazenamento de dados de eventos, o armazenamento é incluído no preço de ingestão sem custo adicional. Após o período de retenção padrão, o preço do armazenamento é pay-as-you-go.
- Período máximo de retenção
-
O período máximo de retenção de um armazenamento de dados de eventos representa o número máximo de dias em que você pode manter os dados em um armazenamento de dados de eventos.
- Termination protection
-
Por padrão, os armazenamentos de dados de eventos habilitam a proteção contra encerramento, que evita que um armazenamento de dados de eventos seja excluído acidentalmente. Para excluir um armazenamento de dados de eventos com a proteção contra encerramento habilitada, escolha Alterar proteção contra encerramento no menu Ações na página de detalhes do armazenamento de dados de eventos. Em seguida, você pode continuar com a exclusão do armazenamento de dados de eventos. Para obter mais informações, consulte Alterar a proteção contra encerramento com o console.
Integrações
Você pode usar as integrações do CloudTrail Lake para registrar e armazenar dados de atividades do usuário das seguintes fontes:
-
Fora de AWS
-
Qualquer fonte em seus ambientes híbridos, como aplicações internas ou de software como serviço (SaaS) hospedados on-premises ou na nuvem, máquinas virtuais ou contêineres
Uma integração requer um canal para entregar os eventos e um armazenamento de dados de eventos para receber os eventos. Depois de configurar sua integração, chame a operação da PutAuditEventsAPI para ingerir a atividade do seu aplicativo. CloudTrail Em seguida, você pode usar o CloudTrail Lake para pesquisar, consultar e analisar os dados que são registrados em seus aplicativos. Para obter mais informações, consulte Crie uma integração com uma fonte de eventos fora do AWS.
- Tipo de integração
-
Há dois tipos de integração: a direta e a de solução. Com as integrações diretas, o parceiro chama a operação da API
PutAuditEventspara entregar eventos ao armazenamento de dados de eventos da sua Conta da AWS. Com as integrações de soluções, o aplicativo é executado em você Conta da AWS e chama a operação daPutAuditEventsAPI para entregar eventos ao armazenamento de dados de eventos para você Conta da AWS. - Canais
-
Realize eventos de fontes externas ao AWS trabalho usando canais para trazer eventos para o CloudTrail Lake de parceiros externos que trabalham com CloudTrail ou de suas próprias fontes. Ao criar um canal, você escolhe um ou mais armazenamentos de dados de eventos para armazenar eventos que cheguem da fonte do canal. É possível alterar os armazenamentos de dados de eventos de destino de um canal conforme necessário, desde que os armazenamentos de dados de eventos de destino estejam configurados para registrar em log eventos do
eventCategory="ActivityAuditLog". Ao criar um canal para eventos de um parceiro externo, você fornece um nome do recurso da Amazon (ARN) de canal para o parceiro ou aplicação da fonte. - Políticas baseadas em recursos
-
Políticas baseadas em atributos são documentos de políticas JSON que você anexa a um atributo. A política baseada em atributos anexada ao canal permite que a fonte transmita eventos pelo canal. Se um canal não tiver uma política de recursos para o canal, somente o proprietário do canal poderá chamar a operação da API
PutAuditEventsno canal. Para obter mais informações, consulte AWS CloudTrail exemplos de políticas baseadas em recursos.
Consultas
As consultas no CloudTrail Lake são criadas em SQL. Você pode criar uma consulta na guia CloudTrail Lake Editor escrevendo a consulta em SQL do zero, abrindo uma consulta salva ou de amostra e editando-a ou usando o gerador de consultas para produzir uma consulta a partir de um prompt em inglês. Para ter mais informações, consulte Crie ou edite uma consulta com o CloudTrail console e Crie consultas CloudTrail do Lake a partir de solicitações em linguagem natural.
CloudTrail O Lake suporta todos os itens válidos Presto SELECTdeclarações e funções. Para obter mais informações sobre as funções e operadores SQL suportados, consulte Funções e operadores
Painéis
Ao usar os painéis do CloudTrail Lake, você pode visualizar os eventos em um armazenamento de dados de eventos e ver as tendências dos eventos, como principais Serviços da AWS, usuários e erros. Para obter mais informações, consulte CloudTrail Painéis do Lake.
- Tipos de painel
-
CloudTrail O Lake oferece os seguintes tipos de painéis:
-
Painéis gerenciados — Você pode visualizar um painel gerenciado para ver as tendências de eventos de um armazenamento de dados de eventos que coleta eventos de gerenciamento, eventos de dados ou eventos do Insights. Esses painéis estão automaticamente disponíveis para você e são gerenciados pelo CloudTrail Lake. CloudTrail oferece 14 painéis gerenciados para você escolher. Você pode atualizar manualmente os painéis gerenciados. Você não pode modificar, adicionar ou remover os widgets desses painéis. No entanto, você pode salvar um painel gerenciado como um painel personalizado se quiser modificar os widgets ou definir um cronograma de atualização.
-
Painéis personalizados — Os painéis personalizados permitem que você consulte eventos em qualquer tipo de armazenamento de dados de eventos. Você pode adicionar até 10 widgets a um painel personalizado. Você pode atualizar manualmente um painel personalizado ou definir um cronograma de atualização.
-
Painéis de destaques — Ative o painel de destaques para ver uma at-a-glance visão geral da AWS atividade coletada pelos armazenamentos de dados de eventos em sua conta. O painel de Destaques é gerenciado CloudTrail e inclui widgets que são relevantes para sua conta. Os widgets mostrados no painel de Destaques são exclusivos para cada conta. Esses widgets podem revelar atividades ou anomalias anormais detectadas. Por exemplo, seu painel de Destaques pode incluir o widget Total de acesso entre contas, que mostra se há um aumento na atividade anormal entre contas. CloudTrail atualiza o painel de Destaques a cada 6 horas. O painel mostra as últimas 24 horas de dados da última atualização.
-
- Widgets
-
Os widgets são os componentes que compõem um painel e fornecem uma visualização, como um gráfico de linhas ou gráfico de barras. Cada widget corresponde a uma consulta SQL. Quando você atualiza um painel, CloudTrail executa uma consulta para cada widget no painel para preencher os dados do widget.
