本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

使用高级事件选择器筛选数据事件

本节介绍如何使用高级事件选择器来创建细粒度选择器以记录数据事件，从而通过仅记录感兴趣的特定数据事件来帮助您控制成本。

例如：

下表描述了筛选数据事件时支持的字段。有关每种 CloudTrail 事件类型的支持字段的列表，请参阅 AWS CloudTrail API 参考AdvancedEventSelector中的。

要使用 CloudTrail 控制台记录数据事件，请选择数据事件选项，然后在创建或更新跟踪或事件数据存储时选择感兴趣的资源类型。数据事件表显示了您可以在 CloudTrail 控制台上选择的可能资源类型。

要使用记录数据事件 AWS CLI，请将--advanced-event-selector参数配置为设置eventCategory等于，将resources.type值设置为等于要记录数据事件的资源类型值。Data数据事件表列出了可用的资源类型。

例如，如果您想记录所有 Cognito 身份池的数据事件，则可以将 --advanced-event-selectors 参数配置为如下所示：

--advanced-event-selectors '[
    {
       "Name": "Log Cognito data events on Identity pools",
       "FieldSelectors": [
         { "Field": "eventCategory", "Equals": ["Data"] },
         { "Field": "resources.type", "Equals": ["AWS::Cognito::IdentityPool"] }
       ]
     }
]'

上述示例记录了身份池上的所有 Cognito 数据事件。您可以进一步优化高级事件选择器来筛选 eventName、readOnly 和 resources.ARN 字段，以记录感兴趣的特定事件或排除不感兴趣的事件。

您可以配置高级事件选择器来根据多个字段筛选数据事件。例如，您可以将高级事件选择器配置为记录所有 Amazon S3 PutObject 和 DeleteObject API 调用，但排除特定 S3 存储桶的事件日志记录，如以下示例所示。将 amzn-s3-demo-bucket 替换为您的存储桶的名称。

--advanced-event-selectors
'[
  {
    "Name": "Log PutObject and DeleteObject events for all but one bucket",
    "FieldSelectors": [
      { "Field": "eventCategory", "Equals": ["Data"] },
      { "Field": "resources.type", "Equals": ["AWS::S3::Object"] },
      { "Field": "eventName", "Equals": ["PutObject","DeleteObject"] },
      { "Field": "resources.ARN", "NotStartsWith": ["arn:aws:s3:::amzn-s3-demo-bucket/"] }
    ]
  }
]'

您还可以为一个字段包含多个条件。有关如何评估多个条件的信息，请参阅如何 CloudTrail 评估一个字段的多个条件。

您可以使用高级事件选择器来同时记录管理事件和数据事件。要记录多种资源类型的数据事件，请为要记录数据事件的每种资源类型添加一个字段选择器语句。

如何 CloudTrail 评估一个字段的多个条件

对于高级事件选择器，按 CloudTrail 如下方式评估字段的多个条件：

显示 Resources .arn 字段的多个条件的示例

以下示例事件选择器语句收集 AWS::S3::Object 资源类型的数据事件，并对 resources.ARN 字段应用多个条件。

{
    "Name": "S3Select",
    "FieldSelectors": [
      {
        "Field": "eventCategory",
        "Equals": [
          "Data"
        ]
      },
      {
        "Field": "resources.type",
        "Equals": [
          "AWS::S3::Object"
        ]
      },
      {
        "Field": "resources.ARN",
        "Equals": [
          "arn:aws:s3:::amzn-s3-demo-bucket/object1"
        ],
        "StartsWith": [
          "arn:aws:s3:::amzn-s3-demo-bucket/"
        ],
        "EndsWith": [
          "object3"
        ],
        "NotStartsWith": [
          "arn:aws:s3:::amzn-s3-demo-bucket/deselect"
        ],
        "NotEndsWith": [
          "object5"
        ],
        "NotEquals": [
          "arn:aws:s3:::amzn-s3-demo-bucket/object6"
        ]
      }
    ]
  }

在前面的示例中，在以下情况下，将传输 AWS::S3::Object 资源的 Amazon S3 数据事件：

基于评估逻辑：

AWS CLI 过滤数据事件的示例

本节提供 AWS CLI 示例，说明如何筛选不同字段上的数据事件。有关其他 AWS CLI 示例，请参见使用高级事件选择器记录跟踪的数据事件和使用记录事件数据存储的数据事件 AWS CLI。

有关如何使用控制台记录数据事件的信息，请参阅使用记录数据事件 AWS 管理控制台。

示例 1：在 eventN ame 字段上进行筛选

在第一个示例中，跟踪的 --advanced-event-selectors 配置为仅针对通用存储桶中的 Amazon S3 对象记录 GetObject、PutObject 和 DeleteObject API 调用。

aws cloudtrail put-event-selectors \
--trail-name trailName \
--advanced-event-selectors '[
  {
    "Name": "Log GetObject, PutObject and DeleteObject S3 data events",
    "FieldSelectors": [
      { "Field": "eventCategory", "Equals": ["Data"] },
      { "Field": "resources.type", "Equals": ["AWS::S3::Object"] },
      { "Field": "eventName", "Equals": ["GetObject","PutObject","DeleteObject"] }
    ]
  }
]'   

下一个示例创建了一个新的事件数据存储，用于记录 EBS Direct API 的数据事件，但不包括 ListChangedBlocks API 调用。您可以使用 update-event-data-store 命令来更新现有事件数据存储库。

aws cloudtrail create-event-data-store \
--name "eventDataStoreName"
--advanced-event-selectors '[
    {
        "Name": "Log all EBS Direct API data events except ListChangedBlocks",
        "FieldSelectors": [
            { "Field": "eventCategory", "Equals": ["Data"] },
            { "Field": "resources.type", "Equals": ["AWS::EC2::Snapshot"] },
            { "Field": "eventName", "NotEquals": ["ListChangedBlocks"] }
         ]
    }
]'        

示例 2：筛选 resources.AR N 和用户字段 Identity.arn

以下示例展示了如何包含特定通用 S3 存储桶中所有 Amazon S3 对象的所有数据事件，并排除 bucket-scanner-role userIdentity 生成的事件。S3 事件在 resources.type 字段中的值为 AWS::S3::Object。由于 S3 对象和 S3 存储桶的 ARN 值略有不同，因此必须为 resources.ARN 添加 StartsWith 运算符。

aws cloudtrail put-event-selectors \
--trail-name trailName \
--advanced-event-selectors \
'[
    {
        "Name": "S3EventSelector",
        "FieldSelectors": [
            { "Field": "eventCategory", "Equals": ["Data"] },
            { "Field": "resources.type", "Equals": ["AWS::S3::Object"] },
            { "Field": "resources.ARN", "StartsWith": ["arn:partition:s3:::amzn-s3-demo-bucket/"] },
            { "Field": "userIdentity.arn", "NotStartsWith": ["arn:aws:sts::123456789012:assumed-role/bucket-scanner-role"]}
        ]
    }
]'

示例 3：对 resources. type 和 eventName 字段进行筛选以排除 Amazon S3 事件删除的单个对象 DeleteObjects

以下示例展示了如何包含特定通用 Amazon S3 存储桶中所有 Amazon S3 对象的所有数据事件，并排除 DeleteObject 操作删除的各个事件。S3 事件在 resources.type 字段中的值为 AWS::S3::Object。事件名称的值是 DeleteObject。

aws cloudtrail put-event-selectors \
--trail-name trailName \
--advanced-event-selectors \

{
    "Name": "Exclude Events for DeleteObject operation",
    "FieldSelectors": [
      {
        "Field": "eventCategory",
        "Equals": [
          "Data"
        ]
      },
      {
        "Field": "resources.type",
        "Equals": [
          "AWS::S3::Object"
        ]
      },
      {
        "Field": "eventName",
        "NotEquals": [
          "DeleteObject"
        ]
      }
    ]
  },
  {
    "Name": "Exclude DeleteObject Events for individual objects deleted by DeleteObjects Operation",
    "FieldSelectors": [
      {
        "Field": "eventCategory",
        "Equals": [
          "Data"
        ]
      },
      {
        "Field": "resources.type",
        "Equals": [
          "AWS::S3::Object"
        ]
      },
      {
        "Field": "eventName",
        "Equals": [
          "DeleteObject"
        ]
      },
      {
        "Field": "eventType",
        "NotEquals": [
          "AwsServiceEvent"
        ]
      }
    ]
  }
] (edited) 

示例 4：在 EventSource 字段上进行筛选以排除 Amazon S3 生命周期数据事件

以下示例显示如何记录所有 Amazon S3 数据事件，但不包括 Amazon S3 生命周期操作。这些操作包括对象过期、删除标记创建、存储类转换和分段上传中止。Amazon S3 生命周期事件使用s3lifecycle.amazonaws.com事件源。通过使用NotEquals操作员对s3lifecycle.amazonaws.com事件源进行筛选，您可以排除这些服务启动的事件，同时继续记录所有用户发起的 Amazon S3 数据事件。

aws cloudtrail put-event-selectors \
--trail-name trailName \
--advanced-event-selectors \
'[
  {
    "Name": "Log S3 data events but exclude lifecycle operations",
    "FieldSelectors": [
      { "Field": "eventCategory", "Equals": ["Data"] },
      { "Field": "resources.type", "Equals": ["AWS::S3::Object"] },
      { "Field": "eventSource", "NotEquals": ["s3lifecycle.amazonaws.com"] }
    ]
  }
]'

示例 5：在 EventSource 字段上进行筛选以排除 Amazon S3 身份验证失败数据事件

以下示例显示如何记录所有 Amazon S3 数据事件，但排除 Amazon S3 身份验证失败事件，例如AuthenticateSignatureDoesNotMatchAuthenticateInvalidAccessKeyId、和AuthenticateExpiredToken。Amazon S3 身份验证失败事件使用s3-authn-errors.amazonaws.com事件源。通过使用NotEquals运算符对s3-authn-errors.amazonaws.com事件源进行筛选，您可以排除这些事件，同时继续记录所有成功的 Amazon S3 数据事件。

aws cloudtrail put-event-selectors \
--trail-name trailName \
--advanced-event-selectors \
'[
  {
    "Name": "Log S3 data events but exclude authentication failure events",
    "FieldSelectors": [
      { "Field": "eventCategory", "Equals": ["Data"] },
      { "Field": "resources.type", "Equals": ["AWS::S3::Object"] },
      { "Field": "eventSource", "NotEquals": ["s3-authn-errors.amazonaws.com"] }
    ]
  }
]'

这个高级事件选择器会过滤掉所有的事件s3-authn-errors.amazonaws.com。eventSource身份验证失败事件遵循命名模式，Authenticate后跟错误代码（例如AuthenticateSignatureDoesNotMatch、AuthenticateInvalidAccessKeyId、、AuthenticateExpiredToken、AuthenticateInvalidToken）。如果您无需审核针对您的 Amazon S3 资源的失败身份验证尝试，则排除这些事件有助于降低成本。