通过添加资源标签密钥和 IAM 全局条件密钥来丰富 CloudTrail 事件

在创建或更新事件数据存储时，您可以通过添加资源标签密钥、主标签密钥和 IAM 全局条件密钥来丰富 CloudTrail 管理事件和数据事件。这使您可以根据业务环境（例如成本分配和财务管理、运营和数据安全要求）对 CloudTrail 事件进行分类、搜索和分析。您可以通过在 CloudTrail Lake 中运行查询来分析事件。您也可以选择联合事件数据存储并在 Amazon Athena 中运行查询。您可以使用CloudTrail 控制台、和 SDK 将资源标签密钥和 IAM 全局条件密钥添加到事件数据存储中。AWS CLI

当您向丰富活动添加资源标签密钥时， CloudTrail 包括与 API 调用中涉及的资源相关的选定标签密钥。

当您将 IAM 全局条件密钥添加到事件数据存储时，应 CloudTrail 包括有关在授权过程中评估的选定条件密钥的信息，包括有关委托人、会话和请求本身的更多详细信息。

添加资源标签密钥或 IAM 条件密钥后 CloudTrail ，在 CloudTrail 事件中添加一个eventContext字段，为 API 操作提供选定的上下文信息。

在某些例外情况下，事件不包括 eventContext 字段，包括：

AWS 服务 支持资源标签

全部 AWS 服务 支持资源标签。有关更多信息，请参阅 Services that support the AWS Resource Groups Tagging API。

丰富活动的资源标签已更新 CloudTrail

进行配置后， CloudTrail 捕获有关资源标签的信息，并使用它们在丰富的活动中提供信息。在使用资源标签时，在某些情况下，系统请求事件时可能无法准确反映资源标签。在标准操作期间，创建资源时应用的标签始终存在，并且不会出现延迟或延迟极少。但是，预计以下服务在 CloudTrail 事件中出现资源标签更改时会出现延迟：

服务中断也可能导致资源标签信息更新出现延迟。如果服务中断延迟，后续 CloudTrail 事件将包括一个包含有关资源标签更改的信息的addendum字段。这些附加信息将按规定用于提供丰富的信息CloudTrailevents。

AWS 服务 支持 IAM 全局条件密钥

以下 AWS 服务 支持丰富活动的 IAM 全局条件密钥：

丰富事件支持的 IAM 全局条件键

下表列出了 CloudTrail 丰富活动支持的 IAM 全局条件密钥和示例值：

事件示例

在以下示例中，eventContext 字段包含值为 false 的 IAM 全局条件键 aws:ViaAWSService，这表示 API 调用不是由 AWS 服务进行的。

{
    "eventVersion": "1.11",
    "userIdentity": {
        "type": "AssumedRole",
        "principalId": "ASIAIOSFODNN7EXAMPLE",
        "arn": "arn:aws:sts::123456789012:assumed-role/admin",
        "accountId": "123456789012",
        "accessKeyId": "ASIAIOSFODNN7EXAMPLE",
        "sessionContext": {
            "sessionIssuer": {
                "type": "Role",
                "principalId": "ASIAIOSFODNN7EXAMPLE",
                "arn": "arn:aws:iam::123456789012:role/admin",
                "accountId": "123456789012",
                "userName": "admin"
            },
            "attributes": {
                "creationDate": "2025-01-22T22:05:56Z",
                "mfaAuthenticated": "false"
            }
        }
    },
    "eventTime": "2025-01-22T22:06:16Z",
    "eventSource": "cloudtrail.amazonaws.com",
    "eventName": "GetTrailStatus",
    "awsRegion": "us-east-1",
    "sourceIPAddress": "192.168.0.0",
    "userAgent": "Mozilla/5.0 (Macintosh; Intel Mac OS X 10.15; rv:133.0) Gecko/20100101 Firefox/133.0",
    "requestParameters": {
        "name": "arn:aws:cloudtrail:us-east-1:123456789012:trail/myTrail"
    },
    "responseElements": null,
    "requestID": "d09c4dd2-5698-412b-be7a-example1a23",
    "eventID": "9cb5f426-7806-46e5-9729-exampled135d",
    "readOnly": true,
    "eventType": "AwsApiCall",
    "managementEvent": true,
    "recipientAccountId": "123456789012",
    "eventCategory": "Management",
    "tlsDetails": {
        "tlsVersion": "TLSv1.3",
        "cipherSuite": "TLS_AES_128_GCM_SHA256",
        "clientProvidedHostHeader": "cloudtrail.us-east-1.amazonaws.com"
    },
    "sessionCredentialFromConsole": "true",
    "eventContext": {
        "requestContext": {
            "aws:ViaAWSService": "false"
        },
        "tagContext": {}
    }
}