使用高级事件选择器筛选数据事件

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

本节介绍如何使用高级事件选择器来创建细粒度选择器，通过仅记录感兴趣的特定数据事件来帮助您控制成本。

例如：

下表提供了有关高级事件选择器的可配置字段的更多信息。

要使用 CloudTrail 控制台记录数据事件，请在创建或更新跟踪或事件数据存储时选择数据事件选项，然后选择感兴趣的资源类型。数据事件表显示了您可以在 CloudTrail 控制台上选择的可能资源类型。

要使用记录数据事件 AWS CLI，请将--advanced-event-selector参数配置为将eventCategory等于，将resources.type值设置为等于Data且值等于您要记录数据事件的资源类型值。数据事件表列出了可用的资源类型。

例如，如果您想记录所有 Cognito 身份池的数据事件，则可以将 --advanced-event-selectors 参数配置为如下所示：

--advanced-event-selectors '[
    {
       "Name": "Log Cognito data events on Identity pools",
       "FieldSelectors": [
         { "Field": "eventCategory", "Equals": ["Data"] },
         { "Field": "resources.type", "Equals": ["AWS::Cognito::IdentityPool"] }
       ]
     }
]'

上述示例记录了身份池上的所有 Cognito 数据事件。您可以进一步优化高级事件选择器来筛选 eventName、readOnly 和 resources.ARN 字段，以记录感兴趣的特定事件或排除不感兴趣的事件。

您可以配置高级事件选择器来根据多个字段筛选数据事件。例如，您可以将高级事件选择器配置为记录所有 Amazon S3 PutObject 和 DeleteObject API 调用，但排除特定 S3 存储桶的事件日志记录，如以下示例所示。将 amzn-s3-demo-bucket 替换为您的存储桶的名称。

--advanced-event-selectors
'[
  {
    "Name": "Log PutObject and DeleteObject events for all but one bucket",
    "FieldSelectors": [
      { "Field": "eventCategory", "Equals": ["Data"] },
      { "Field": "resources.type", "Equals": ["AWS::S3::Object"] },
      { "Field": "eventName", "Equals": ["PutObject","DeleteObject"] },
      { "Field": "resources.ARN", "NotStartsWith": ["arn:aws:s3:::amzn-s3-demo-bucket/"] }
    ]
  }
]'

您还可以为一个字段包含多个条件。有关如何评估多个条件的信息，请参阅如何 CloudTrail 评估一个字段的多个条件。

您可以使用高级事件选择器来同时记录管理事件和数据事件。要记录多种资源类型的数据事件，请为要记录数据事件的每种资源类型添加一个字段选择器语句。

如何 CloudTrail 评估一个字段的多个条件

对于高级事件选择器，按 CloudTrail 如下方式计算字段的多个条件：

显示 resources.ARN 字段的多个条件的示例

以下示例事件选择器语句收集 AWS::S3::Object 资源类型的数据事件，并对 resources.ARN 字段应用多个条件。

{
    "Name": "S3Select",
    "FieldSelectors": [
      {
        "Field": "eventCategory",
        "Equals": [
          "Data"
        ]
      },
      {
        "Field": "resources.type",
        "Equals": [
          "AWS::S3::Object"
        ]
      },
      {
        "Field": "resources.ARN",
        "Equals": [
          "arn:aws:s3:::amzn-s3-demo-bucket/object1"
        ],
        "StartsWith": [
          "arn:aws:s3:::amzn-s3-demo-bucket/"
        ],
        "EndsWith": [
          "object3"
        ],
        "NotStartsWith": [
          "arn:aws:s3:::amzn-s3-demo-bucket/deselect"
        ],
        "NotEndsWith": [
          "object5"
        ],
        "NotEquals": [
          "arn:aws:s3:::amzn-s3-demo-bucket/object6"
        ]
      }
    ]
  }

在前面的示例中，在以下情况下，将传输 AWS::S3::Object 资源的 Amazon S3 数据事件：

基于评估逻辑：

通过 eventName 筛选数据事件

使用高级事件选择器，您可以根据 eventName 字段的值包含或排除事件。筛选eventName可以帮助控制成本，因为在记录数据事件时可以避免产生成本，从而增加对新数据的 APIs支持。 AWS 服务

您可以将任何运算符与 eventName 字段配合使用。您可以使用它来筛选或筛选出记录到的任何数据事件 CloudTrail，例如或。PutBucket GetSnapshotBlock

eventName使用筛选数据事件 AWS Management Console

按照以下步骤使用 CloudTrail 控制台对eventName字段进行筛选。

eventName使用筛选数据事件 AWS CLI

使用 AWS CLI，您可以对eventName字段进行筛选，以包含或排除特定事件。

如果您正在更新现有跟踪或事件数据存储以记录其他事件选择器，请通过对跟踪运行 get-event-selectors 命令或对事件数据存储运行 get-event-data-store 命令来获取当前事件选择器。然后，更新事件选择器，为您想要记录的每种数据资源类型添加一个字段选择器。

以下示例记录跟踪的 S3 数据事件。--advanced-event-selectors 配置为仅记录 GetObject、PutObject 和 DeleteObject API 调用的数据事件。

aws cloudtrail put-event-selectors \
--trail-name trailName \
--advanced-event-selectors '[
  {
    "Name": "Log GetObject, PutObject and DeleteObject S3 data events",
    "FieldSelectors": [
      { "Field": "eventCategory", "Equals": ["Data"] },
      { "Field": "resources.type", "Equals": ["AWS::S3::Object"] },
      { "Field": "eventName", "Equals": ["GetObject","PutObject","DeleteObject"] }
    ]
  }
]'   

下一个示例创建了一个新的事件数据存储，用于记录 EBS Direct 的数据事件， APIs 但不包括 ListChangedBlocks API 调用。你可以使用 update-event-data-store命令来更新现有的事件数据存储。

aws cloudtrail create-event-data-store \
--name "eventDataStoreName"
--advanced-event-selectors '[
    {
        "Name": "Log all EBS Direct API data events except ListChangedBlocks",
        "FieldSelectors": [
            { "Field": "eventCategory", "Equals": ["Data"] },
            { "Field": "resources.type", "Equals": ["AWS::EC2::Snapshot"] },
            { "Field": "eventName", "NotEquals": ["ListChangedBlocks"] }
         ]
    }
]'        

通过 resources.ARN 筛选数据事件

使用高级事件选择器，您可以根据 resources.ARN 字段的值进行筛选。

您可以将任意运算符与 resources.ARN 结合使用，但是如果使用 Equals 或 NotEquals，则值必须与您指定的 resources.type 值的有效资源的 ARN 完全匹配。要记录特定 S3 桶中所有对象的所有数据事件，请使用 StartsWith 运算符，并且仅包含存储桶 ARN 作为匹配值。

有关数据事件资源的 ARN 格式的更多信息，请参阅《服务授权参考》 AWS 服务中的操作、资源和条件密钥。

resources.ARN使用筛选数据事件 AWS Management Console

按照以下步骤使用 CloudTrail 控制台对resources.ARN字段进行筛选。

resources.ARN使用筛选数据事件 AWS CLI

使用 AWS CLI，您可以对该resources.ARN字段进行筛选以记录特定 ARN 的事件或排除特定 ARN 的日志记录。

如果您正在更新现有跟踪或事件数据存储以记录其他事件选择器，请通过对跟踪运行 get-event-selectors 命令或对事件数据存储运行 get-event-data-store 命令来获取当前事件选择器。然后，更新事件选择器，为您想要记录的每种数据资源类型添加一个字段选择器。

以下示例说明如何配置您的跟踪以包含特定 S3 存储桶中的所有 Simple Storage Service（Amazon S3）对象的所有数据事件。S3 事件在 resources.type 字段中的值为 AWS::S3::Object。由于 S3 对象和 S3 存储桶的 ARN 值略有不同，因此必须为 resources.ARN 添加 StartsWith 运算符以捕获所有事件。

aws cloudtrail put-event-selectors \ 
--trail-name TrailName \ 
--region region \
--advanced-event-selectors \
'[
    {
        "Name": "S3EventSelector",
        "FieldSelectors": [
            { "Field": "eventCategory", "Equals": ["Data"] },
                { "Field": "resources.type", "Equals": ["AWS::S3::Object"] },
                { "Field": "resources.ARN", "StartsWith": ["arn:aws:s3:::amzn-s3-demo-bucket/"] }
            ]
    }
]'

按 readOnly 值筛选数据事件

使用高级事件选择器，您可以根据 readOnly 字段的值进行筛选。

您只能将 Equals 运算符与 readOnly 字段配合使用。您可以将 readOnly 值设置为 true 或 false。如果不添加此字段，则会同时 CloudTrail 记录读取和写入事件。true 的值仅记录读取事件。false 的值仅记录写入事件。

使用按readOnly值筛选数据事件 AWS Management Console

按照以下步骤使用 CloudTrail 控制台对readOnly字段进行筛选。

使用按readOnly值筛选数据事件 AWS CLI

使用 AWS CLI，您可以对readOnly字段进行筛选。

您只能将 Equals 运算符与 readOnly 字段配合使用。您可以将 readOnly 值设置为 true 或 false。如果不添加此字段，则会同时 CloudTrail记录读取和写入事件。true 的值仅记录读取事件。false 的值仅记录写入事件。

如果您正在更新现有跟踪或事件数据存储以记录其他事件选择器，请通过对跟踪运行 get-event-selectors 命令或对事件数据存储运行 get-event-data-store 命令来获取当前事件选择器。然后，更新事件选择器，为您想要记录的每种数据资源类型添加一个字段选择器。

以下示例说明如何配置您的跟踪以记录所有 Amazon S3 对象的只读数据事件。

aws cloudtrail put-event-selectors \
--trail-name TrailName \
--region region \
--advanced-event-selectors '[
    {
            "Name": "Log read-only S3 data events",
            "FieldSelectors": [
                { "Field": "eventCategory", "Equals": ["Data"] },
                { "Field": "resources.type", "Equals": ["AWS::S3::Object"] },
                { "Field": "readOnly", "Equals": ["true"] }
            ]
    }
]'       

下一个示例创建了一个新的事件数据存储，该存储仅记录 EBS Direct 的只写数据事件。 APIs你可以使用 update-event-data-store命令来更新现有的事件数据存储。

aws cloudtrail create-event-data-store \
--name "eventDataStoreName" \
--advanced-event-selectors \
'[
    {
            "Name": "Log write-only EBS Direct API data events",
            "FieldSelectors": [
                { "Field": "eventCategory", "Equals": ["Data"] },
                { "Field": "resources.type", "Equals": ["AWS::EC2::Snapshot"] },
                { "Field": "readOnly", "Equals": ["false"] }
            ]
     }
]'