本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

CloudTrail 概念

本节总结了与之相关的基本概念 CloudTrail。

CloudTrail 事件

中的事件 CloudTrail 是 AWS 账户中某项活动的记录。此活动可以是 IAM 身份或可监控的服务采取的操作。 CloudTrail CloudTrail事件提供通过 AWS Management Console、 AWS SDKs、命令行工具和其他 AWS 服务进行的 API 和非 API 账户活动的历史记录。

CloudTrail 日志文件不是公共 API 调用的有序堆栈跟踪，因此事件不会按任何特定顺序出现。

CloudTrail 记录四种类型的事件：

所有事件类型都使用 CloudTrail JSON 日志格式。

默认情况下，跟踪记录和事件数据存储将记录管理事件，但不记录数据事件或 Insights 事件。

有关如何与 AWS 服务 集成的信息 CloudTrail，请参阅AWS 的服务主题 CloudTrail。

管理事件

管理事件提供有关对您 AWS 账户中的资源执行的管理操作的信息。这些也称为控制层面操作。

示例管理事件包括：

管理事件还包括在您的账户中发生的非 API 事件。例如，当用户登录您的账户时，会 CloudTrail 记录该ConsoleLogin事件。有关更多信息，请参阅 CloudTrail 捕获的非 API 事件。

默认情况下，t CloudTrail rails 和 CloudTrail Lake 事件数据存储日志管理事件。有关记录管理事件的更多信息，请参阅记录管理事件。

数据事件

数据事件提供有关对在资源上或资源内执行的资源操作的信息。这些也称为数据层面操作。数据事件通常是高容量活动。

示例数据事件包括：

下表显示了可用于跟踪和事件数据存储的资源类型。资源类型（控制台）列显示控制台中的相应选择。resources.typ resources.type e 值列显示您要使用或指定的值，以便在跟踪或事件数据存储中包含该类型的数据事件。 AWS CLI CloudTrail APIs

对于跟踪，您可以使用基本或高级事件选择器来记录通用存储桶、Lambda 函数和 DynamoDB 表中的 Amazon S3 对象的数据事件（显示在表的前三行中）。您只能使用高级事件选择器来记录其余行中显示的资源类型。

对于事件数据存储，只能使用高级事件选择器来包含数据事件。

默认情况下，在您创建跟踪或事件数据存储时，未记录数据事件。要记录 CloudTrail 数据事件，必须明确添加要为其收集活动的每种资源类型。有关记录事件数据的更多信息，请参阅记录数据事件。

记录数据事件将收取额外费用。有关 CloudTrail 定价，请参阅AWS CloudTrail 定价。

网络活动事件

CloudTrail 网络活动事件使 VPC 终端节点所有者能够记录使用其 VPC 终端节点从私有 VPC 到的 AWS API 调用 AWS 服务。通过网络活动事件，可以了解在 VPC 中执行的资源操作。

您可以记录以下服务的网络活动事件：

默认情况下，在您创建跟踪或事件数据存储时，未记录网络活动事件。要记录 CloudTrail 网络活动事件，必须明确设置要为其收集活动的事件源。有关更多信息，请参阅 记录网络活动事件。

记录网络活动事件将收取额外费用。有关 CloudTrail 定价，请参阅AWS CloudTrail 定价。

Insights 事件

CloudTrail Insights 事件通过分析 CloudTrail 管理活动来捕获您 AWS 账户中异常的 API 调用率或错误率活动。Insights 事件提供相关信息，例如关联的 API、错误代码、事件时间和统计数据，以帮助您了解异常活动并对其采取措施。与在 CloudTrail 跟踪或事件数据存储中捕获的其他类型的事件不同，Insights 事件仅在 CloudTrail 检测到您的账户 API 使用情况或错误率记录的变化与账户的典型使用模式明显不同时，才会记录 Insights 事件。有关更多信息，请参阅 使用见 CloudTrail 解。

可能生成 Insights 事件的活动的示例包括：

这些示例仅用于说明用途。根据您的使用案例，您的结果可能会有所不同。

要记录 CloudTrail Insights 事件，您必须在新的或现有的跟踪或事件数据存储上明确启用 Insights 事件。有关创建跟踪的更多信息，请参阅使用 CloudTrail 控制台创建跟踪。有关创建事件数据存储的更多信息，请参阅使用控制台为 Insights 事件创建事件数据存储。

将对 Insights 事件收取额外费用。如果您同时为跟踪和事件数据存储启用 Insights，则需要单独付费。有关更多信息，请参阅AWS CloudTrail 定价。

事件历史记录

CloudTrail 事件历史记录提供了过去 90 天中管理事件的可查看、可搜索、可下载且不可变的 CloudTrail 记录。 AWS 区域您可以使用此历史记录在 AWS Management Console、 AWS SDKs、命令行工具和其他 AWS 服务中查看您的 AWS 账户中执行的操作。您可以通过选择显示哪些列来自定义 CloudTrail 控制台中的事件历史记录视图。有关更多信息，请参阅 处理 CloudTrail 事件历史记录。

跟踪

跟踪是一种配置，允许将 CloudTrail 事件传输到 S3 存储桶，也可以选择传送到 L CloudWatch ogs 和 A mazon EventBridge。您可以使用跟踪来选择要传送 CloudTrail 的事件，使用密 AWS KMS 钥加密 CloudTrail 事件日志文件，以及为日志文件传输设置 Amazon SNS 通知。有关如何创建和管理跟踪的更多信息，请参阅为您创建路线 AWS 账户。

多区域和单区域跟踪

您可以为您的 AWS 账户创建多区域和单区域跟踪。

多区域跟踪具有以下优势：

将跟踪应用于所有 AWS 区域时， CloudTrail 使用您在特定区域中创建的跟踪，在您所在AWS 分区的所有其他区域中创建配置相同的跟踪。

这有以下影响：

无论跟踪是多区域还是单区域，发送到 Ama EventBridge zon 的事件都会在每个区域的事件总线中接收，而不是在单个事件总线中接收。

每区域多个跟踪记录

如果您拥有不同但相关的用户组，例如开发人员、安全人员和 IT 审计人员，您可以为每个区域创建多个跟踪记录。这可使每个组均接收各自的日志文件副本。

CloudTrail 每个区域支持五条跟踪。多区域跟踪计为每个区域一个跟踪。

以下是具有五个跟踪的区域的示例：

您可以在 CloudTrail 控制台的 Trails 页面 AWS 区域 中查看跟踪列表。有关更多信息，请参阅 使用 CloudTrail 控制台更新跟踪。有关 CloudTrail 定价，请参阅AWS CloudTrail 定价。

组织跟踪

组织跟踪是一种配置，允许将管理账户和 AWS Organizations 组织中所有成员账户中的 CloudTrail 事件传送到同一 Amazon S3 存储桶、 CloudWatch 日志和 Amazon EventBridge。创建组织跟踪可帮助您为组织定义统一的事件记录策略。

使用控制台创建的所有组织跟踪都是多区域组织跟踪，用于记录组织 AWS 区域 中每个成员账户中已启用的事件。要记录组织中所有 AWS 分区中的事件，请在每个分区中创建多区域组织跟踪。您可以通过使用 AWS CLI创建单区域或多区域组织跟踪。如果您创建单区域跟踪，则只能在该跟踪 AWS 区域 （也称为主区域）中记录活动。

尽管大多数区域默认 AWS 区域 处于启用状态 AWS 账户，但您必须手动启用某些区域（也称为可选区域）。有关默认启用哪些区域的信息，请参阅《AWS Account Management 参考指南》中的 Considerations before enabling and disabling Regions。有关 CloudTrail支持的区域列表，请参阅CloudTrail 支持的区域。

当您创建组织跟踪时，将在属于您组织的成员账户中创建具有您所指定名称的跟踪副本。

拥有成员账户 CloudTrail 权限的用户在从自己的账户登录 CloudTrail 控制台时或运行诸如（尽管成员 AWS 账户在使用时必须使用 ARN 而不是名称）之类的 AWS CLI 命令时，他们将能够看到组织跟踪describe-trails（包括跟踪 ARN）。 AWS CLI但是，成员账户中的用户将没有足够的权限删除组织跟踪、启用和关闭日志记录、更改要记录的事件类型，或以任何其他方式更改组织跟踪。有关 AWS Organizations的更多信息，请参阅 Organizations 术语和概念。有关创建和使用组织跟踪记录的更多信息，请参阅为组织创建跟踪。

CloudTrail 湖泊和事件数据存储

CloudTrail Lake 允许您对事件运行基于 SQL 的精细查询，并记录来自外部 AWS来源（包括您自己的应用程序）以及与之集成的合作伙伴的事件。 CloudTrail您无需在账户中配置跟踪即可使用 CloudTrail Lake。

事件被聚合到事件数据存储，是基于您通过应用高级事件选择器选择的条件的不可变的事件集合。如果您选择一年可延期保留定价选项，则可以将事件数据在事件数据存储中最多保留 3653 天（大约 10 年）；如果您选择七年保留定价选项，则最多可以保留 2557 天（大约 7 年）。您可以保存 Lake 查询以供将来使用，并查看最多七天的查询结果。您还可以将查询结果保存到 S3 存储桶。 CloudTrail Lake 还可以将来自组织的事件存储 AWS Organizations 在事件数据存储中，或者将来自多个区域和账户的事件存储在事件数据存储中。 CloudTrail Lake 是审计解决方案的一部分，可帮助您进行安全调查和故障排除。有关更多信息，请参阅与 L AWS CloudTrail ake 合作 和CloudTrail 湖泊的概念和术语。

CloudTrail 见解

CloudTrail Insights 通过持续分析 CloudTrail 管理事件，帮助 AWS 用户识别和响应异常数量的 API 调用或 API 调用中记录的错误。Insights 事件是异常级别的 write 管理 API 活动，或管理 API 活动返回的异常错误级别。默认情况下，跟踪和事件数据存储不记录 CloudTrail Insights 事件。在控制台中，您可以选择在创建或更新跟踪或事件数据存储时记录 Insights 事件。使用 CloudTrail API 时，您可以通过使用 PutInsightSelectorsAPI 编辑现有跟踪或事件数据存储的设置来记录 Insights 事件。记录 CloudTrail Insights 事件需要支付额外费用。如果您同时为跟踪和事件数据存储启用 Insights，则需要单独付费。有关更多信息，请参阅 使用见 CloudTrail 解 和 AWS CloudTrail 定价。

标签

标签是客户定义的密钥和可选值，可以分配给 AWS 资源，例如 CloudTrail 跟踪、事件数据存储和频道、用于存储 CloudTrail 日志文件的 S3 存储桶、 AWS Organizations 组织和组织单位等等。通过将相同的标签添加到跟踪和您用于存储跟踪记录的日志文件的 S3 存储桶，您可以更轻松地通过 AWS Resource Groups 管理、搜索和筛选这些资源。您可以实施标记策略以帮助您持续、高效且轻松地查找和管理您的资源。有关更多信息，请参阅为AWS 资源添加标签的最佳实践。

AWS Security Token Service 和 CloudTrail

AWS Security Token Service (AWS STS) 是一项具有全局终端节点的服务，还支持特定于区域的终端节点。终端节点是作为 Web 服务请求入口点的 URL。例如，https://cloudtrail.us-west-2.amazonaws.com是该 AWS CloudTrail 服务的美国西部（俄勒冈）区域入口点。区域性终端节点可帮助减少应用程序中的延迟。

当您使用 AWS STS 特定于区域的终端节点时，该区域中的跟踪仅传送该区域中发生 AWS STS 的事件。例如，如果您使用终端节点 sts.us-west-2.amazonaws.com，则 us-west-2 中的跟踪仅传输源自 us-west-2 的 AWS STS 事件。有关 AWS STS 区域终端节点的更多信息，请参阅 IAM 用户指南 AWS STS 中的在 AWS 区域中激活和停用。

有关 AWS 区域终端节点的完整列表，请参阅中的AWS 区域和终端节点AWS 一般参考。有关来自全局 AWS STS 终端节点的事件的详细信息，请参阅全球服务事件。

全球服务事件

对于大多数服务，事件被记录在发生操作的区域。对于诸如 AWS Identity and Access Management (IAM) 和 Amazon 之类的全球服务 CloudFront，事件会发送到包含全球服务的任何跟踪。 AWS STS

对于大多数全球服务，事件记录为发生在美国东部（弗吉尼亚州北部）区域，但有些全球服务事件记录为发生在其他区域，例如美国东部（俄亥俄州）区域或美国西部（俄勒冈州）区域。

要避免接收重复的全球服务事件，请注意：

示例：