View a markdown version of this page

CloudTrail 湖泊仪表板 - AWS CloudTrail
先决条件限制区域支持所需的权限

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

CloudTrail 湖泊仪表板

注意

AWS CloudTrail 从 2026 年 5 月 31 日起，Lake 将不再向新客户开放。如果您想使用 CloudTrail Lake，请在该日期之前注册。现有客户可以继续正常使用该服务。有关更多信息，请参阅 CloudTrail 湖泊可用性变更。

您可以使用 CloudTrail Lake 控制面板查看账户中事件数据存储的事件趋势。 CloudTrail Lake 提供以下类型的仪表板：

  • 托管的控制面板：可以查看托管的控制面板，以查看收集管理事件、数据事件或 Insights 事件的事件数据存储的事件趋势。这些仪表板将自动提供给您，并由 CloudTrail Lake 管理。 CloudTrail 提供 14 个托管仪表板供您选择。您可以手动刷新托管的控制面板。您无法修改、添加或移除这些控制面板的小组件，但是，如果要修改小组件或设置刷新计划，则可以将托管的控制面板另存为自定义控制面板。

  • 自定义控制面板：自定义控制面板可让您查询任何事件数据存储类型中的事件。最多可以向自定义控制面板添加 10 个小组件。可以手动刷新自定义控制面板，也可以设置刷新计划。

  • “要点”控制面板：启用“要点”控制面板，以便一目了然地查看由账户中的事件数据存储收集的 AWS 活动的概览。Highlights 控制面板由您管理 CloudTrail 并包含与您的账户相关的小部件。“要点”控制面板上显示的小组件对于每个账户都是独一无二的。这些小组件可能会显示检测到的异常活动或异常。例如，您的 Highlights 控制面板可能包含跨账户访问权限总额小工具，它会显示异常跨账户活动是否有所增加。 CloudTrail 每 6 小时更新一次 “亮点” 控制面板。控制面板显示自上次更新以来最近 24 小时的数据。

每个控制面板由一个或多个小组件组成，每个小组件都提供 SQL 查询结果的图形表示。要查看小组件的查询，请选择查看和编辑查询以打开查询编辑器。

刷新仪表板后， CloudTrail Lake 会运行查询以填充仪表板的微件。由于运行查询会产生成本，因此 CloudTrail 要求您确认与运行查询相关的成本。有关 CloudTrail 定价的更多信息，请参阅CloudTrail 定价。

主题

先决条件

以下先决条件适用于 CloudTrail Lake 仪表板：

限制

以下限制适用于 CloudTrail Lake 仪表板：

  • 您只能为账户中存在的事件数据存储启用“要点”控制面板。

  • 您只能查看您的账户中存在的事件数据存储的托管的控制面板。

  • 对于自定义控制面板，您只能添加示例小组件或创建新的小组件来查询账户中存在的事件数据存储。

  • AWS Organizations 组织的授权管理员无法查看或管理管理账户拥有的仪表板。

区域支持

所有支持 CloudTrail Lake AWS 区域 的地方都支持 CloudTrail Lake 仪表板。

以下区域支持要点控制面板上的活动摘要小组件：

  • 亚太地区（东京）区域（ap-northeast-1）

  • 美国东部（弗吉尼亚州北部）（us-east-1）

  • 美国西部（俄勒冈州）区域（us-west-1）

所有支持 CloudTrail Lake AWS 区域 的地方都支持所有其他控件。

有关 CloudTrail Lake 支持区域的信息，请参阅CloudTrail 支持湖泊的区域。

所需的权限

本节介绍了 CloudTrail Lake 控制面板所需的权限，并讨论了两种类型的 IAM 策略：

  • Identity-based 允许您执行创建、管理和删除仪表板的操作的策略。

  • Resource-based 这些策略 CloudTrail 允许在仪表板刷新时对事件数据存储进行查询，并代表您按计划刷新自定义仪表板和 Highlights 仪表板。使用 CloudTrail 控制台创建仪表板时，您可以选择附加基于资源的策略。您也可以运行 AWS CLI put-resource-policy命令将基于资源的策略添加到事件数据存储或仪表板。

Identity-based 政策要求

Identity-based 策略是您可以附加到身份（例如 IAM 用户、用户组或角色）的 JSON 权限策略文档。这些策略控制用户和角色可在何种条件下对哪些资源执行哪些操作。要了解如何创建基于身份的策略，请参阅《IAM 用户指南》中的使用客户管理型策略定义自定义 IAM 权限。

要查看和管理 CloudTrail Lake 仪表板，您需要以下策略之一：

创建控制面板所需的权限

以下示例策略提供了创建控制面板所需的最低权限。将partition、regionaccount-id、和，eds-id替换为您的配置值。

  • 只有当请求包含小组件时，才需要 StartQuery 权限。为小组件查询中包含的所有事件数据存储提供 StartQuery 权限。

  • 只有当控制面板有刷新计划时，才需要 StartDashboardRefresh 权限。

  • 对于“要点”控制面板，调用方必须对账户中的所有事件数据存储拥有 StartQuery 权限。

JSON
{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Sid": "Statement1",
            "Effect": "Allow",
            "Action": [
                "cloudtrail:CreateDashboard",
                "cloudtrail:StartDashboardRefresh",
                "cloudtrail:StartQuery"
            ],
            "Resource": [
                "arn:aws:cloudtrail:us-east-1:111111111111:dashboard/*",
                "arn:aws:cloudtrail:us-east-1:111111111111:eventdatastore/eds-id"
            ]
        }
    ]
}

更新控制面板所需的权限

以下示例策略提供了更新控制面板所需的最低权限。将partition、regionaccount-id、和，eds-id替换为您的配置值。

  • 只有当请求包含小组件时，才需要 StartQuery 权限。为小组件查询中包含的所有事件数据存储提供 StartQuery 权限。

  • 只有当控制面板有刷新计划时，才需要 StartDashboardRefresh 权限。

  • 对于“要点”控制面板，调用方必须对账户中的所有事件数据存储拥有 StartQuery 权限。

JSON
{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Sid": "Statement1",
            "Effect": "Allow",
            "Action": [
                "cloudtrail:UpdateDashboard",
                "cloudtrail:StartDashboardRefresh",
                "cloudtrail:StartQuery"
            ],
            "Resource": [
                "arn:aws:cloudtrail:us-east-1:111111111111:dashboard/*",
                "arn:aws:cloudtrail:us-east-1:111111111111:eventdatastore/eds-id"
            ]
        }
    ]
}

刷新控制面板所需的权限

以下示例策略提供了刷新控制面板所需的最低权限。将partition、region、account-iddashboard-name、和eds-id替换为您的配置值。

  • 对于自定义控制面板和“要点”控制面板，调用方必须拥有 cloudtrail:StartDashboardRefresh permissions。

  • 对于托管的控制面板，调用方必须对刷新中涉及的事件数据存储拥有 cloudtrail:StartDashboardRefresh 权限和 cloudtrail:StartQuery 权限。

JSON
{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Sid": "Statement1",
            "Effect": "Allow",
            "Action": [
                "cloudtrail:StartDashboardRefresh",
                "cloudtrail:StartQuery"
            ],
            "Resource": [
                "arn:aws:cloudtrail:us-east-1:111111111111:dashboard/dashboard-name",
                "arn:aws:cloudtrail:us-east-1:111111111111:eventdatastore/eds-id"
            ]
        }
    ]
}

Resource-based 仪表板和事件数据存储的策略

Resource-based 策略是您附加到资源的 JSON 策略文档。基于资源的策略的示例包括 IAM 角色信任策略和 Amazon S3 存储桶策略。对于在其中附加策略的资源，策略定义指定主体可以对该资源执行哪些操作以及在什么条件下执行。您必须在基于资源的策略中指定主体。

要在手动或计划刷新期间对控制面板运行查询，您必须将基于资源的策略附加到与控制面板上的小组件关联的每个事件数据存储。这允许 CloudTrail Lake 代表您运行查询。当您创建自定义仪表板或使用 CloudTrail 控制台启用 High li ghts 仪表板时， CloudTrail 您可以选择要向哪些事件数据存储应用权限。有关基于资源的策略的更多信息，请参阅 示例：允许 CloudTrail 运行查询以刷新仪表板。

要为仪表板设置刷新计划，您必须将基于资源的策略附加到仪表板，以允许 CloudTrail Lake 代表您刷新仪表板。当您为自定义仪表板设置刷新计划或使用 CloudTrail 控制台启用 High li ghts 仪表板时， CloudTrail 您可以选择将基于资源的策略附加到仪表板。有关策略示例，请参阅 Resource-based 仪表板的策略示例。

您可以使用 CloudTrail 控制台AWS CLI、或 PutResourcePolicyAPI 操作附加基于资源的策略。

用于解密事件数据存储中的数据的 KMS 密钥权限

如果查询的事件数据存储使用 KMS 密钥加密，请确保 KMS 密钥策略 CloudTrail 允许解密事件数据存储中的数据。以下示例策略语句允许 CloudTrail 服务主体解密事件数据存储。

{
      "Sid": "AllowCloudTrailDecryptAccess",
      "Effect": "Allow",
      "Principal": {
          "Service": "cloudtrail.amazonaws.com"
        },
      "Action": "kms:Decrypt",
      "Resource": "*"
}