使用控制台将跟踪事件复制到现有的事件数据存储中

要将跟踪事件复制到事件数据存储

1. 登录 AWS Management Console 并打开 CloudTrail 控制台，网址为https://console.aws.amazon.com/cloudtrail/。

2. 在导航窗格中，在 Lake 下，选择事件数据存储。

3. 选择 Copy trail events（复制跟踪事件）。

4. 在 Copy trail events（复制跟踪事件）页面，在 Event source（事件源）下选择您想复制的跟踪。默认情况下， CloudTrail 仅复制 S3 存储桶CloudTrail前缀中包含 CloudTrail 的事件和CloudTrail前缀中的前缀，而不检查其他 AWS 服务的前缀。如果要复制其他前缀中包含 CloudTrail 的事件，请选择 Enter S3 URI，然后选择 Browse S3 浏览到该前缀。如果跟踪的源 S3 存储桶使用KMS密钥进行数据加密，请确保KMS密钥策略 CloudTrail 允许解密数据。如果您的源 S3 存储桶使用多个KMS密钥，则必须更新每个密钥的策略 CloudTrail 以允许解密存储桶中的数据。有关更新KMS密钥策略的更多信息，请参阅KMS用于解密源 S3 存储桶中数据的密钥策略。

   S3 存储桶策略必须授予从 S3 存储桶复制跟踪事件的 CloudTrail 访问权限。有关更新 S3 存储桶策略的更多信息，请参阅 复制跟踪事件所用的 Amazon S3 存储桶策略。

5. 在 “指定事件的时间范围” 中，选择复制事件的时间范围。 CloudTrail 在尝试复制跟踪事件之前，请检查前缀和日志文件名以验证该名称是否包含所选开始日期和结束日期之间的日期。您可以选择 Relative range（相对范围）或者 Absolute range（绝对范围）。为避免源跟踪和目标事件数据存储之间存在重复事件，请选择一个早于事件数据存储创建时间的时间范围。

   注意

   CloudTrail 仅复制在事件数据存储保留期eventTime内的跟踪事件。例如，如果事件数据存储的保留期为 90 天，则 CloudTrail 不会复制任何eventTime超过 90 天的跟踪事件。

   • 如果选择相对范围，则可以选择复制过去 6 个月、1 年、2 年、7 年或自定义范围内记录的事件。 CloudTrail 复制选定时间段内记录的事件。

   • 如果选择 “绝对范围”，则可以选择特定的开始和结束日期。 CloudTrail 复制在所选开始日期和结束日期之间发生的事件。

6. 对于 Delivery location（送达位置），请从下拉列表中选择目标事件数据存储。

7. 对于权限，请从以下IAM角色选项中进行选择。如果您选择现有IAM角色，请验证IAM角色策略是否提供了必要的权限。有关更新IAM角色权限的更多信息，请参阅IAM复制跟踪事件的权限。

   • 选择创建新角色（推荐）以创建新IAM角色。在输入IAM角色名称中，输入角色的名称。 CloudTrail 会自动为这个新角色创建必要的权限。

   • 选择 “使用自定义IAM角色” ARN 以使用未列出的自定义IAM角色。对于 “输入IAM角色”ARN，输入IAMARN。

   • 从下拉列表中选择一个现有IAM角色。

8. 选择 Copy events（复制事件）。

9. 系统将提示您进行确认。如果您已准备好确认，请选择 Copy trail events to Lake（将跟踪事件复制到 Lake），然后选择 Copy events（复制事件）。

10. 在 Copy details（复制详情）页面中，您可以查看复制状态并检查是否复制失败。跟踪事件复制完成后，如果复制未出错，则 Copy status（复制状态）将设置为 Completed（已完成），否则如果出错了，则设置为 Failed（失败）。

    注意

    事件复制详细信息页面上显示的详细信息不是实时的。Prefixes copied（已复制的前缀）等详细信息的实际值可能高于页面上显示的值。 CloudTrail 在事件副本的过程中以增量方式更新详细信息。

11. 如果 Copy status（复制状态）为 Failed（失败），则要先修复 Copy failures（复制失败）中显示的所有错误，然后选择 Retry copy（重试复制）。当您重试复制时，会在出现故障的位置 CloudTrail 恢复副本。