本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

將追蹤事件複製到 CloudTrail Lake

您可以將現有追蹤事件複製到 CloudTrail Lake 事件資料存放區，以建立記錄至追蹤之事件的時間點快照。複製追蹤事件不會干擾追蹤記錄事件的功能，也不會以任何方式修改追蹤。

您可以將追蹤事件複製到為 CloudTrail 事件設定的現有事件資料存放區，或者您可以建立一個新的 CloudTrail 事件資料存放區，然後在建立事件資料存放區的過程中選擇複製追蹤事件選項。如需有關將追蹤事件複製到現有事件資料存放區的詳細資訊，請參閱 使用 CloudTrail 主控台將追蹤事件複製到現有的事件資料存放區。如需有關建立新的事件資料存放區的詳細資訊，請參閱 使用主控台建立 CloudTrail 事件的事件資料存放區。

將追蹤事件複製到 CloudTrail Lake 事件資料存放區，可讓您對複製的事件執行查詢。與事件歷史記錄中單純的索引鍵和值查詢或執行 LookupEvents 相比，CloudTrail Lake 查詢提供了更深入、自訂功能更多的事件檢視畫面。如需有關 CloudTrail Lake 的詳細資訊，請參閱 使用 AWS CloudTrail Lake。

如果您要將追蹤事件複製到組織事件資料存放區，您必須使用組織的管理帳戶。您無法使用組織的委派管理員帳戶複製追蹤事件。

CloudTrail Lake 事件資料存放區會產生費用。建立事件資料存放區時，您可以選擇要用於事件資料存放區的定價選項。此定價選項將決定擷取和儲存事件的成本，以及事件資料存放區的預設和最長保留期。如需有關 CloudTrail 定價和管理 Lake 成本的詳細資訊，請參閱 AWS CloudTrail 定價 和 管理 CloudTrail Lake 成本。

在將追蹤事件複製到 CloudTrail Lake 事件資料存放區時，您需要按事件資料存放區擷取的未壓縮的資料量支付費用。

當您將追蹤事件複製到 CloudTrail Lake 時，CloudTrail 會解壓縮以 gzip (已壓縮) 格式存放的日誌，然後將日誌中的事件複製到您的事件資料存放區。未壓縮資料的大小可能大於實際的 S3 儲存大小。若要取得未壓縮資料大小的一般估計值，您可以將 S3 儲存貯體中的日誌大小乘以 10。

您可以縮小指定的複製事件的時間範圍，來降低該費用。如果您計劃只使用事件資料存放區來查詢複製的事件，可以關閉事件擷取以避免因未來事件而產生費用。如需詳細資訊，請參閱 AWS CloudTrail 定價和 管理 CloudTrail Lake 成本。

案例

下表描述一些複製追蹤事件的常見案例，以及您可以如何使用主控台應對每個案例。

複製追蹤事件的考量

複製追蹤事件時，請考慮下列因素。

複製追蹤事件所需的許可

複製追蹤事件之前，請確定您擁有 IAM 角色所需的所有必要許可。如果您選擇現有的 IAM 角色來複製追蹤事件，則只需更新 IAM 角色許可。如果您選擇建立新的 IAM 角色，CloudTrail 會為角色提供所需的所有許可。

如果來源 S3 儲存貯體使用 KMS 金鑰進行資料加密，請確保 KMS 金鑰政策允許 CloudTrail 解密儲存貯體中的資料。如果來源 S3 儲存貯體使用多個 KMS 金鑰，則必須更新每個金鑰的政策以允許 CloudTrail 解密儲存貯體中的資料。

複製追蹤事件的 IAM 許可

複製追蹤事件時，您可以選擇建立新的 IAM 角色，也可以使用現有的 IAM 角色。當您選擇新的 IAM 角色時，CloudTrail 會建立具有所需許可的 IAM 角色，您不需要進一步採取任何動作。

如果您選擇現有的角色，請確定 IAM 角色的政策允許 CloudTrail 從來源 S3 儲存貯體複製追蹤事件。此區段提供所需 IAM 角色許可和信任政策的範例。

下列範例提供許可政策，允許 CloudTrail 從來源 S3 儲存貯體複製追蹤事件。將 amzn-s3-demo-bucket、myAccountID、 region、 prefix 和 eventDataStoreId 取代為您的組態的適當值。myAccountID 是用於 CloudTrail Lake AWS 的帳戶 ID，可能與 S3 儲存貯體 AWS 的帳戶 ID 不同。

使用用於加密來源 S3 儲存貯體的 KMS 金鑰的值來取代 key-region、keyAccountID 和 keyID。如果來源 S3 儲存貯體不使用 KMS 金鑰進行加密，則您可以省略 AWSCloudTrailImportKeyAccess 陳述式。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AWSCloudTrailImportBucketAccess",
      "Effect": "Allow",
      "Action": ["s3:ListBucket", "s3:GetBucketAcl"],
      "Resource": [
        "arn:aws:s3:::amzn-s3-demo-bucket"
      ],
      "Condition": {
        "StringEquals": {
          "aws:SourceAccount": "myAccountID",
          "aws:SourceArn": "arn:aws:cloudtrail:region:myAccountID:eventdatastore/eventDataStoreId"
         }
       }
    },
    {
      "Sid": "AWSCloudTrailImportObjectAccess",
      "Effect": "Allow",
      "Action": ["s3:GetObject"],
      "Resource": [
        "arn:aws:s3:::amzn-s3-demo-bucket/prefix",
        "arn:aws:s3:::amzn-s3-demo-bucket/prefix/*"
      ],
      "Condition": {
        "StringEquals": {
          "aws:SourceAccount": "myAccountID",
          "aws:SourceArn": "arn:aws:cloudtrail:region:myAccountID:eventdatastore/eventDataStoreId"
         }
       }
    },
    {
      "Sid": "AWSCloudTrailImportKeyAccess",
      "Effect": "Allow",
      "Action": ["kms:GenerateDataKey","kms:Decrypt"],
      "Resource": [
        "arn:aws:kms:key-region:keyAccountID:key/keyID"
      ]
    }
  ]
}

下列範例提供 IAM 信任政策，允許 CloudTrail 擔任 IAM 角色，從來源 S3 儲存貯體複製追蹤事件。將 myAccountID、region 和 eventDataStoreArn 取代為適當的組態值。myAccountID 是用於 CloudTrail Lake 的 AWS 帳戶 ID，可能與 S3 儲存貯體 AWS 的帳戶 ID 不同。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "cloudtrail.amazonaws.com"
      },
      "Action": "sts:AssumeRole",
      "Condition": {
        "StringEquals": {
          "aws:SourceAccount": "myAccountID",
          "aws:SourceArn": "arn:aws:cloudtrail:region:myAccountID:eventdatastore/eventDataStoreId"
        }
      }
    }
  ]
}
                

複製追蹤事件的 Amazon S3 儲存貯體政策

根據預設，所有 Amazon S3 儲存貯體和物件皆為私有。只有資源擁有者 (建立儲存貯體的 AWS 帳戶)，可存取儲存貯體及其包含的物件。資源擁有者可藉由編寫存取政策，將存取許可授予其他資源和使用者。

複製追蹤事件之前，您必須更新 S3 儲存貯體政策，以允許 CloudTrail 從來源 S3 儲存貯體複製追蹤事件。

您可以將下列陳述式新增至 S3 儲存貯體政策，以授予這些許可。將 roleArn 和 amzn-s3-demo-bucket 取代為您的組態的適當值。

{
  "Sid": "AWSCloudTrailImportBucketAccess",
  "Effect": "Allow",
  "Action": [
    "s3:ListBucket",
    "s3:GetBucketAcl",
    "s3:GetObject"
  ],
  "Principal": {
    "AWS": "roleArn"
  },
  "Resource": [
    "arn:aws:s3:::amzn-s3-demo-bucket",
    "arn:aws:s3:::amzn-s3-demo-bucket/*"
  ]
},

用於解密來源 S3 儲存貯體中資料的 KMS 金鑰政策

如果來源 S3 儲存貯體使用 KMS 金鑰進行資料加密，請確保 KMS 金鑰政策為 CloudTrail 提供從已啟用 SSE-KMS 加密的 S3 儲存貯體複製追蹤事件所需的 kms:Decrypt 和 kms:GenerateDataKey 許可。如果您的來源 S3 儲存貯體使用多個 KMS 金鑰，則必須更新每個金鑰的政策。更新 KMS 金鑰政策可讓 CloudTrail 解密來源 S3 儲存貯體中的資料、執行驗證檢查以確保事件符合 CloudTrail 標準，以及將事件複製到 CloudTrail Lake 事件資料存放區。

下列範例提供 KMS 金鑰政策，該政策允許 CloudTrail 解密來源 S3 儲存貯體中的資料。將 roleArn、amzn-s3-demo-bucket、myAccountID、region 和 eventDataStoreId 取代為您的組態的適當值。myAccountID 是用於 CloudTrail Lake AWS 的帳戶 ID，可能與 S3 儲存貯體 AWS 的帳戶 ID 不同。

{
  "Sid": "AWSCloudTrailImportDecrypt",
  "Effect": "Allow",
  "Action": [
          "kms:Decrypt",
          "kms:GenerateDataKey"
  ],
  "Principal": {
    "AWS": "roleArn"
  },
  "Resource": "*",
  "Condition": {
    "StringLike": {
      "kms:EncryptionContext:aws:s3:arn": "arn:aws:s3:::amzn-s3-demo-bucket/*"
    },
    "StringEquals": {
      "aws:SourceAccount": "myAccountID",
      "aws:SourceArn": "arn:aws:cloudtrail:region:myAccountID:eventdatastore/eventDataStoreId"
    }
  }
}