Criar um armazenamento de dados de eventos para eventos do Insights com o console

Faça login no AWS Management Console e abra o CloudTrail console em https://console.aws.amazon.com/cloudtrail/.

No painel de navegação, abra o submenu Lake e escolha Event data stores (Armazenamentos de dados de eventos).

Selecione Create event data store (Criar armazenamento de dados de eventos).

Na página Configure event data store (Configurar armazenamento de dados de eventos), em General details (Detalhes gerais), insira um nome para o armazenamento de dados de eventos. Um nome é obrigatório.

Escolha a opção de preço que você deseja usar para o armazenamento de dados de eventos. A opção de preço determina o custo para a ingestão e para o armazenamento de eventos, e os períodos de retenção padrão e máximo para o armazenamento de dados de eventos. Para obter mais informações, consulte Preços do AWS CloudTrail e Gerenciando os custos CloudTrail do Lake.

As seguintes opções estão disponíveis:

Especifique um período de retenção para o armazenamento de dados de eventos em dias. Os períodos de retenção podem ser entre 7 dias e 3.653 dias (cerca de 10 anos) para a opção de preço de retenção extensível de um ano ou entre 7 dias e 2.557 dias (cerca de sete anos) para a opção de preço de retenção de sete anos. O armazenamento de dados de eventos retém os dados de eventos pelo número especificado de dias.

(Opcional) Para ativar o uso da criptografia AWS Key Management Service, escolha Usar minha própria AWS KMS key. Escolha Novo para AWS KMS key criar uma para você ou escolha Existente para usar uma KMS chave existente. Em Inserir KMS alias, especifique um alias, no formato. alias/ MyAliasName Usar sua própria KMS chave exige que você edite sua política de KMS chaves para permitir que seu armazenamento de dados de eventos seja criptografado e descriptografado. Para obter mais informações, consulteConfigure as AWS KMS principais políticas para CloudTrail. CloudTrail também suporta chaves AWS KMS multirregionais. Para obter mais informações sobre chaves de várias regiões, consulte Usar chaves de várias regiões no Manual do desenvolvedor do AWS Key Management Service .

Usar sua própria KMS chave gera AWS KMS custos de criptografia e decodificação. Depois de associar um armazenamento de dados de eventos a uma KMS chave, a KMS chave não pode ser removida ou alterada.

(Opcional) Se você quiser consultar os dados do seu evento usando o Amazon Athena, escolha Habilitar na federação de consultas do Lake. A federação permite que você visualize os metadados associados ao armazenamento de dados do evento no Catálogo de AWS Glue Dados e execute SQL consultas nos dados do evento no Athena. Os metadados da tabela armazenados no Catálogo de AWS Glue Dados permitem que o mecanismo de consulta do Athena saiba como encontrar, ler e processar os dados que você deseja consultar. Para obter mais informações, consulte Federar um armazenamento de dados de eventos.

Para habilitar a federação de consultas do Lake, escolha Habilitar e faça o seguinte:

1. Escolha se você deseja criar uma nova função ou usar uma IAM função existente. AWS Lake Formationusa essa função para gerenciar permissões para o armazenamento de dados de eventos federados. Quando você cria uma nova função usando o CloudTrail console, cria CloudTrail automaticamente uma função com as permissões necessárias. Se você escolher um perfil existente, a política do perfil deve fornecer as permissões mínimas necessárias.

2. Se você estiver criando um perfil, insira um nome para identificá-lo.

3. Se você estiver usando um perfil existente, escolha o perfilo que deseja usar. O perfil deve existir em sua conta.

(Opcional) Escolha Habilitar política de recursos para adicionar uma política baseada em recursos ao seu armazenamento de dados de eventos. As políticas baseadas em recursos permitem que você controle quais diretores podem realizar ações em seu armazenamento de dados de eventos. Por exemplo, você pode adicionar uma política baseada em recursos que permita que os usuários root em outras contas consultem esse armazenamento de dados de eventos e visualizem os resultados da consulta. Para obter exemplos de políticas, consulte Exemplos de políticas baseadas em recursos para armazenamentos de dados de eventos.

Uma política baseada em recursos inclui uma ou mais declarações. Cada declaração na política define os diretores que têm acesso permitido ou negado ao armazenamento de dados de eventos e as ações que os diretores podem realizar no recurso de armazenamento de dados de eventos.

As ações a seguir são suportadas em políticas baseadas em recursos para armazenamentos de dados de eventos:

Para armazenamentos de dados de eventos da organização, CloudTrail cria uma política padrão baseada em recursos que lista as ações que as contas de administrador delegado podem realizar nos armazenamentos de dados de eventos da organização. As permissões nesta política são derivadas das permissões de administrador delegado em AWS Organizations. Essa política é atualizada automaticamente após alterações no armazenamento de dados de eventos da organização ou na organização (por exemplo, uma conta de administrador CloudTrail delegado é registrada ou removida).

(Opcional) Na seção Tags, é possível adicionar até 50 pares de chave de tag para ajudar a identificar, classificar e controlar o acesso ao seu armazenamento de dados de eventos. Para obter mais informações sobre como usar IAM políticas para autorizar o acesso a um armazenamento de dados de eventos com base em tags, consulteExemplos: negação de acesso para criar ou excluir armazenamentos de dados de eventos com base em tags. Para obter mais informações sobre como você pode usar tags em AWS, consulte Como marcar seus AWS recursos no Guia do usuário de AWS recursos de marcação.

Escolha Next (Avançar) para configurar o armazenamento de dados de eventos.

Na página Escolher eventos, escolha AWS eventos e, em seguida, escolha Eventos do CloudTrail Insights.

Em eventos do CloudTrail Insights, faça o seguinte.

1. Escolha Permitir acesso de administrador delegado se quiser dar acesso ao administrador delegado da sua organização a esse armazenamento de dados de eventos. Essa opção só está disponível se você estiver conectado com a conta de gerenciamento de uma AWS Organizations organização.

2. (Opcional) Escolha um armazenamento de dados de eventos de origem existente que registre eventos de gerenciamento e especifique os tipos de Insights que deseja receber.

   Para adicionar um armazenamento de dados de eventos de origem, faça o seguinte:

   1. Escolha Adicionar armazenamento de dados de eventos de origem.

   2. Escolha o armazenamento de dados de eventos de origem.

   3. Escolha o Tipo de insights que deseja receber.

      • ApiCallRateInsight— O tipo ApiCallRateInsight Insights analisa as API chamadas de gerenciamento somente de gravação que são agregadas por minuto em relação a um volume básico de chamadas. API Para receber insights de ApiCallRateInsight, o armazenamento de dados de eventos de origem deve registrar os eventos de gerenciamento de gravação.

      • ApiErrorRateInsight— O tipo ApiErrorRateInsight Insights analisa as API chamadas de gerenciamento que resultam em códigos de erro. O erro é exibido se a API chamada não for bem-sucedida. Para receber insights de ApiErrorRateInsight, o armazenamento de dados de eventos de origem deve registrar os eventos de gerenciamento de gravação ou de leitura.

   4. Repita as duas etapas anteriores (ii e iii) para adicionar outros tipos de insights que você deseja receber.

Selecione Next (Próximo) para revisar suas escolhas.

Na página Review and create (Revisar e criar), revise as suas escolhas. Escolha Edit (Editar) para fazer alterações a uma seção. Quando estiver pronto para criar o armazenamento de dados de eventos, escolha Create event data store (Criar armazenamento de dados de eventos).

O novo armazenamento de dados de eventos está visível na tabela Armazenamentos de dados de eventos na página Armazenamento de dados de eventos.

Se você não escolheu um armazenamento de dados de eventos de origem na etapa 10, siga as etapas em Para criar um armazenamento de dados de eventos de origem que registra eventos do Insights para criar um armazenamento de dados de eventos de origem.

Faça login no AWS Management Console e abra o CloudTrail console em https://console.aws.amazon.com/cloudtrail/.

No painel de navegação, abra o submenu Lake e escolha Event data stores (Armazenamentos de dados de eventos).

Selecione Create event data store (Criar armazenamento de dados de eventos).

Na página Configure event data store (Configurar armazenamento de dados de eventos), em General details (Detalhes gerais), insira um nome para o armazenamento de dados de eventos. Um nome é obrigatório.

Escolha a opção de preço que você deseja usar para o armazenamento de dados de eventos. A opção de preço determina o custo para a ingestão e para o armazenamento de eventos, e os períodos de retenção padrão e máximo para o armazenamento de dados de eventos. Para obter mais informações, consulte Preços do AWS CloudTrail e Gerenciando os custos CloudTrail do Lake.

As seguintes opções estão disponíveis:

Especifique um período de retenção para o armazenamento de dados de eventos. Os períodos de retenção podem ser entre 7 dias e 3.653 dias (cerca de 10 anos) para a opção de preço de retenção extensível de um ano ou entre 7 dias e 2.557 dias (cerca de sete anos) para a opção de preço de retenção de sete anos.

CloudTrail Lake determina se deve reter um evento verificando se o eventTime evento está dentro do período de retenção especificado. Por exemplo, se você especificar um período de retenção de 90 dias, CloudTrail removerá eventos quando forem mais antigos do que 90 dias. eventTime

(Opcional) Para ativar o uso da criptografia AWS Key Management Service, escolha Usar minha própria AWS KMS key. Escolha Novo para AWS KMS key criar uma para você ou escolha Existente para usar uma KMS chave existente. Em Inserir KMS alias, especifique um alias, no formato. alias/ MyAliasName Usar sua própria KMS chave exige que você edite sua política de KMS chaves para permitir que seu armazenamento de dados de eventos seja criptografado e descriptografado. Para obter mais informações, consulteConfigure as AWS KMS principais políticas para CloudTrail. CloudTrail também suporta chaves AWS KMS multirregionais. Para obter mais informações sobre chaves de várias regiões, consulte Usar chaves de várias regiões no Manual do desenvolvedor do AWS Key Management Service .

Usar sua própria KMS chave gera AWS KMS custos de criptografia e decodificação. Depois de associar um armazenamento de dados de eventos a uma KMS chave, a KMS chave não pode ser removida ou alterada.

(Opcional) Se você quiser consultar os dados do seu evento usando o Amazon Athena, escolha Habilitar na federação de consultas do Lake. A federação permite que você visualize os metadados associados ao armazenamento de dados do evento no Catálogo de AWS Glue Dados e execute SQL consultas nos dados do evento no Athena. Os metadados da tabela armazenados no Catálogo de AWS Glue Dados permitem que o mecanismo de consulta do Athena saiba como encontrar, ler e processar os dados que você deseja consultar. Para obter mais informações, consulte Federar um armazenamento de dados de eventos.

Para habilitar a federação de consultas do Lake, escolha Habilitar e faça o seguinte:

1. Escolha se você deseja criar uma nova função ou usar uma IAM função existente. AWS Lake Formationusa essa função para gerenciar permissões para o armazenamento de dados de eventos federados. Quando você cria uma nova função usando o CloudTrail console, cria CloudTrail automaticamente uma função com as permissões necessárias. Se você escolher um perfil existente, a política do perfil deve fornecer as permissões mínimas necessárias.

2. Se você estiver criando um perfil, insira um nome para identificá-lo.

3. Se você estiver usando um perfil existente, escolha o perfilo que deseja usar. O perfil deve existir em sua conta.

(Opcional) Escolha Habilitar política de recursos para adicionar uma política baseada em recursos ao seu armazenamento de dados de eventos. As políticas baseadas em recursos permitem que você controle quais diretores podem realizar ações em seu armazenamento de dados de eventos. Por exemplo, você pode adicionar uma política baseada em recursos que permita que os usuários root em outras contas consultem esse armazenamento de dados de eventos e visualizem os resultados da consulta. Para obter exemplos de políticas, consulte Exemplos de políticas baseadas em recursos para armazenamentos de dados de eventos.

Uma política baseada em recursos inclui uma ou mais declarações. Cada declaração na política define os diretores que têm acesso permitido ou negado ao armazenamento de dados de eventos e as ações que os diretores podem realizar no recurso de armazenamento de dados de eventos.

As ações a seguir são suportadas em políticas baseadas em recursos para armazenamentos de dados de eventos:

Para armazenamentos de dados de eventos da organização, CloudTrail cria uma política padrão baseada em recursos que lista as ações que as contas de administrador delegado podem realizar nos armazenamentos de dados de eventos da organização. As permissões nesta política são derivadas das permissões de administrador delegado em AWS Organizations. Essa política é atualizada automaticamente após alterações no armazenamento de dados de eventos da organização ou na organização (por exemplo, uma conta de administrador CloudTrail delegado é registrada ou removida).

(Opcional) Na seção Tags, é possível adicionar até 50 pares de chave de tag para ajudar a identificar, classificar e controlar o acesso ao seu armazenamento de dados de eventos. Para obter mais informações sobre como usar IAM políticas para autorizar o acesso a um armazenamento de dados de eventos com base em tags, consulteExemplos: negação de acesso para criar ou excluir armazenamentos de dados de eventos com base em tags. Para obter mais informações sobre como você pode usar tags em AWS, consulte Como marcar seus AWS recursos no Guia do usuário de AWS recursos de marcação.

Escolha Next (Avançar) para configurar o armazenamento de dados de eventos.

Na página Escolher eventos, escolha AWS eventos e, em seguida, escolha CloudTraileventos.

Em CloudTrail eventos, deixe a opção Eventos de gerenciamento selecionada.

Para que o armazenamento de dados do seu evento colete eventos de todas as contas em uma organização do AWS Organizations , selecione Enable for all accounts in my organization (Habilitar para todas as contas na minha organização). Você deve estar conectado à conta de gerenciamento da organização para criar um armazenamento de dados de eventos que habilite o Insights.

Expanda Configurações adicionais para escolher se você deseja que seu armazenamento de dados de eventos colete eventos para todos Regiões da AWS ou somente para os atuais Região da AWS, e escolha se o armazenamento de dados de eventos ingere eventos. Por padrão, seu armazenamento de dados de eventos coleta eventos de todas as regiões em sua conta e começa a ingerir eventos ao ser criado.

1. Opcionalmente, selecione Incluir somente a região atual no meu armazenamento de dados de eventos para incluir somente eventos que são registrados em log na região atual. Se você não escolher essa opção, o armazenamento de dados de eventos incluirá eventos de todas as regiões.

2. Mantenha a opção Ingerir eventos selecionada.

Escolha entre coleção de eventos simples ou coleção de eventos avançada:

Se você selecionou Coleção de eventos simples, escolha se deseja registrar todos os eventos, registrar somente eventos de leitura ou registrar somente eventos de gravação. Você também pode optar por excluir AWS KMS API eventos do Amazon RDS Data.

Se você selecionou Coleção avançada de eventos, faça as seguintes seleções:

1. Em Modelo do seletor de log, escolha um modelo ou Personalizado para criar uma configuração personalizada com base nos valores avançados do campo do seletor de eventos.

2. (Opcional) Em Nome do seletor, insira um nome para identificar o seletor. O nome do seletor é um nome descritivo para um seletor de eventos avançado, como “Registrar eventos de gerenciamento de sessões”. AWS Management Console O nome do seletor é listado como Name no seletor de eventos avançado e pode ser visualizado se você expandir a exibição. JSON

3. Se você escolher Personalizado, em Seletores de eventos avançados, crie uma expressão com base nos valores de campo do seletor de eventos avançados.

   1. Escolha um dos seguintes campos:

      • readOnly— readOnly pode ser definido como igual a um valor de true ou. false Quando definido comofalse, o armazenamento de dados de eventos registra eventos de gerenciamento somente para gravação. Eventos de gerenciamento somente para leitura são eventos que não alteram o estado de um recurso, como eventos Get* ouDescribe*. Eventos de gravação adicionam, alteram ou excluem recursos, atributos ou artefatos, como Put*, Delete* ou Write*. Para registrar eventos de leitura e gravação, não adicione um readOnly seletor.

      • eventName— eventName pode usar qualquer operador. Você pode usá-lo para incluir ou excluir qualquer evento de gerenciamento, como CreateAccessPoint ouGetAccessPoint.

      • userIdentity.arn— Inclua ou exclua eventos para ações tomadas por IAM identidades específicas. Para obter mais informações, consulte o CloudTrail userIdentity elemento.

      • sessionCredentialFromConsole— Inclua ou exclua eventos originados de uma AWS Management Console sessão. Esse campo pode ser definido como igual ou não igual a um valor de. true

      • eventSource— Você pode usá-lo para incluir ou excluir fontes de eventos específicas. Normalmente, eventSource é uma forma abreviada do nome do serviço sem mais espaços.amazonaws.com. Por exemplo, você pode definir eventSource equales ec2.amazonaws.com para registrar somente eventos de EC2 gerenciamento da Amazon.

      • eventType— O eventTypepara incluir ou excluir. Por exemplo, você pode definir esse campo como não igualAwsServiceEvent para excluir AWS service (Serviço da AWS) eventos.

   2. Para cada campo, escolha + Condição para adicionar quantas condições forem necessárias até o máximo de 500 valores especificados para todas as condições.

      Para obter informações sobre como CloudTrail avalia várias condições, consulteComo CloudTrail avalia várias condições para um campo.

      nota

      É possível ter no máximo 500 valores para todos os seletores em um armazenamento de dados de eventos. Isso inclui matrizes de vários valores para um seletor, como eventName. Se você tiver valores únicos para todos os seletores, poderá ter um máximo de 500 condições adicionadas a um seletor.

   3. Selecione + Field (+ Campo) para adicionar outros campos, conforme necessário. Para evitar erros, não defina valores conflitantes ou duplicados para campos.

4. Opcionalmente, expanda a JSONvisualização para ver seus seletores de eventos avançados como um JSON bloco.

Escolha Ativar captura de eventos do Insights.

Escolha a loja de eventos de destino que registrará os eventos do Insights. O armazenamento de dados de eventos de destino coletará eventos do Insights com base na atividade de gerenciamento de eventos nesse armazenamento de dados de eventos. Para obter informações sobre como criar o armazenamento de dados de eventos de destino, consulte Para criar um armazenamento de dados de eventos de destino que registra eventos do Insights.

Escolha os tipos de Insights. Você pode escolher a taxa de API chamadas, a taxa de API erro ou ambas. Você deve registrar eventos de gerenciamento de gravação para registrar eventos do Insights sobre a taxa de API chamadas. Você deve registrar eventos de gerenciamento de leitura ou gravação para registrar a taxa de API erro dos eventos do Insights.

Selecione Next (Próximo) para revisar suas escolhas.

Na página Review and create (Revisar e criar), revise as suas escolhas. Escolha Edit (Editar) para fazer alterações a uma seção. Quando estiver pronto para criar o armazenamento de dados de eventos, escolha Create event data store (Criar armazenamento de dados de eventos).

O novo armazenamento de dados de eventos está visível na tabela Armazenamentos de dados de eventos na página Armazenamento de dados de eventos.

Deste ponto em diante, o armazenamento de dados de eventos captura eventos que correspondem aos seletores de eventos avançados. Depois de ativar o CloudTrail Insights pela primeira vez em seu armazenamento de dados de eventos de origem, pode levar até 7 dias CloudTrail para entregar o primeiro evento do Insights ao armazenamento de dados de eventos de destino, se uma atividade incomum for detectada.

Você pode visualizar o painel do CloudTrail Lake para visualizar os eventos do Insights em seu armazenamento de dados de eventos de destino. Para obter mais informações sobre painéis do Lake, consulte CloudTrail Painéis do Lake.