使用 CloudTrail 控制台将跟踪事件复制到现有的事件数据存储中 - AWS CloudTrail

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

使用 CloudTrail 控制台将跟踪事件复制到现有的事件数据存储中

按照以下程序将跟踪事件复制到事件数据存储中。有关如何创建新的事件数据存储的信息，请参阅使用控制台为事件创建 CloudTrail事件数据存储。

注意

在将跟踪事件复制到现有的事件数据存储之前，请确保根据您的应用场景适当配置了事件数据存储的定价选项和保留期。

  • 定价选项：定价选项决定了摄取和存储事件的成本。有关定价选项的更多信息，请参阅 AWS CloudTrail 定价和事件数据存储定价选项。

  • 保留期：保留期限决定事件数据在事件数据存储中保存多长时间。 CloudTrail 仅复制在事件数据存储保留期eventTime内的跟踪事件。要确定适当的保留期，请计算要复制的最早事件（以天为单位）和要在事件数据存储中保留这些事件的天数（保留期 = oldest-event-in-days +number-days-to-retain）的总和。例如，如果您要复制的最早事件已有 45 天，并且您想将事件在事件数据存储中再保留 45 天，则可以将保留期设置为 90 天。

要将跟踪事件复制到事件数据存储

  1. 登录 AWS Management Console 并打开 CloudTrail 控制台，网址为https://console.aws.amazon.com/cloudtrail/。

  2. 在 CloudTrail 控制台的左侧导航窗格中选择 T rail s。

  3. 在 Trails（跟踪）页面上，选择跟踪，然后选择 Copy events to Lake（将事件复制到 Lake）。如果跟踪的源 S3 存储桶使用 KMS 密钥进行数据加密，请确保 KMS 密钥策略 CloudTrail 允许解密存储桶中的数据。如果源 S3 存储桶使用多个 KMS 密钥，则必须更新每个密钥的策略 CloudTrail 以允许解密存储桶中的数据。有关更新 KMS 密钥政策的更多信息，请参阅用于解密源 S3 存储桶中数据的 KMS 密钥政策。

  4. （可选）默认情况下， CloudTrail 仅复制 S3 存储桶CloudTrail前缀中包含 CloudTrail 的事件和CloudTrail前缀中的事件，而不检查其他 AWS 服务的前缀。如果要复制其他前缀中包含 CloudTrail 的事件，请选择 Enter S3 URI，然后选择 Browse S3 浏览到该前缀。

    S3 存储桶策略必须授予对复制跟踪事件的 CloudTrail 访问权限。有关更新 S3 存储桶策略的更多信息，请参阅复制跟踪事件所用的 Amazon S3 存储桶策略。

  5. 在 “指定事件的时间范围” 中，选择复制事件的时间范围。 CloudTrail 在尝试复制跟踪事件之前，请检查前缀和日志文件名以验证该名称是否包含所选开始日期和结束日期之间的日期。您可以选择 Relative range（相对范围）或者 Absolute range（绝对范围）。为避免源跟踪和目标事件数据存储之间存在重复事件，请选择一个早于事件数据存储创建时间的时间范围。

    注意

    CloudTrail 仅复制在事件数据存储保留期eventTime内的跟踪事件。例如，如果事件数据存储的保留期为 90 天，则 CloudTrail 不会复制任何eventTime超过 90 天的跟踪事件。

    • 如果选择 “相对范围”，则可以选择复制过去 6 个月、1 年、2 年、7 年或自定义范围内记录的事件。 CloudTrail 复制选定时间段内记录的事件。

    • 如果选择 “绝对范围”，则可以选择特定的开始和结束日期。 CloudTrail 复制在所选开始日期和结束日期之间发生的事件。

  6. 对于 Delivery location（送达位置），请从下拉列表中选择目标事件数据存储。

  7. 对于 Permissions（权限），请从以下 IAM 角色选项中进行选择。如果您选择现有的 IAM 角色，请验证 IAM 角色策略是否提供了必要的权限。有关更新 IAM 角色权限的更多信息，请参阅复制跟踪事件所需的 IAM 权限。

    • 选择 Create a new role (recommended)（创建新角色（推荐））以创建新的 IAM 角色。在输入 IAM 角色名称中，输入角色的名称。 CloudTrail 会自动为这个新角色创建必要的权限。

    • 选择使用自定义 IAM 角色 ARN以使用未列出的自定义 IAM 角色。对于 Enter IAM role ARN（输入 IAM 角色 ARN），输入 IAM ARN。

    • 从下拉列表中选择现有的 IAM 角色。

  8. 选择 Copy events（复制事件）。

  9. 系统将提示您确认复制。如果您已准备好确认，请选择 Copy trail events to Lake（将跟踪事件复制到 Lake），然后选择 Copy events（复制事件）。

  10. 在 Copy details（复制详情）页面中，您可以查看复制状态并检查是否复制失败。跟踪事件复制完成后，如果复制未出错，则 Copy status（复制状态）将设置为 Completed（已完成），否则如果出错了，则设置为 Failed（失败）。

    注意

    事件复制详细信息页面上显示的详细信息不是实时的。诸如复制的前缀之类的详细信息的实际值可能高于页面上显示的值。 CloudTrail 在事件副本的过程中以增量方式更新详细信息。

  11. 如果 Copy status（复制状态）为 Failed（失败），则要先修复 Copy failures（复制失败）中显示的所有错误，然后选择 Retry copy（重试复制）。当您重试复制时，会在出现故障的位置 CloudTrail 恢复副本。

有关查看跟踪事件复制详细信息的更多信息，请参阅使用 CloudTrail 控制台查看活动副本详细信息。