本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

CloudTrail Lake 儀表板

您可以使用 CloudTrail Lake 儀表板來查看帳戶中事件資料存放區的事件趨勢。 CloudTrail Lake 提供下列儀表板類型：

每個儀表板都包含一或多個小工具，每個小工具提供SQL查詢結果的圖形表示。若要檢視小工具的查詢，請選擇檢視和編輯查詢以開啟查詢編輯器。

重新整理儀表板時， CloudTrail Lake 會執行查詢以填入儀表板的小工具。由於執行查詢會產生成本， CloudTrail 因此 會要求您確認與執行查詢相關聯的成本。如需 CloudTrail 定價的詳細資訊，請參閱CloudTrail 定價。

必要條件

下列先決條件適用於 CloudTrail Lake 儀表板：

限制

下列限制適用於 CloudTrail Lake 儀表板：

區域支援

支援 CloudTrail Lake 的所有 都支援 AWS 區域 CloudTrail Lake 儀表板。

下列 區域支援醒目提示儀表板上的活動摘要小工具：

支援 AWS 區域 CloudTrail Lake 的所有 都支援所有其他小工具。

如需 CloudTrail Lake 支援區域的詳細資訊，請參閱 CloudTrail 湖泊支持的地區。

所需的許可

本節說明 CloudTrail Lake 儀表板的必要許可，並討論兩種類型的IAM政策：

身分型政策需求

以身分為基礎的政策是您可以連接到身分的JSON許可政策文件，例如IAM使用者、使用者群組或角色。這些政策可控制身分在何種條件下能對哪些資源執行哪些動作。若要了解如何建立以身分為基礎的政策，請參閱 IAM 使用者指南中的使用客戶受管政策定義自訂IAM許可。

若要檢視和管理 CloudTrail Lake 儀表板，您需要下列其中一個政策：

建立儀表板所需的許可

下列範例政策提供建立儀表板所需的最低許可。eds-id 將 partition、account-id、 region和 取代為您的組態值。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "Statement1",
            "Effect": "Allow",
            "Action": [
                "cloudtrail:CreateDashboard",
                "cloudtrail:StartDashboardRefresh",
                "cloudtrail:StartQuery"
            ],
            "Resource": [
                "arn:partition:cloudtrail:region:account-id:dashboard/*",
                "arn:partition:cloudtrail:region:account-id:eventdatastore/eds-id"
            ]
        }
    ]
}

更新儀表板所需的許可

下列範例政策提供更新儀表板所需的最低許可。eds-id 將 partition、account-id、 region和 取代為您的組態值。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "Statement1",
            "Effect": "Allow",
            "Action": [
                "cloudtrail:UpdateDashboard",
                "cloudtrail:StartDashboardRefresh",
                "cloudtrail:StartQuery"
            ],
            "Resource": [
                "arn:partition:cloudtrail:region:account-id:dashboard/*",
                "arn:partition:cloudtrail:region:account-id:eventdatastore/eds-id"
            ]
        }
    ]
}

重新整理儀表板所需的許可

下列範例政策提供重新整理儀表板所需的最低許可。eds-id 將 partition、region、dashboard-name、 account-id和 取代為您的組態值。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "Statement1",
            "Effect": "Allow",
            "Action": [
                "cloudtrail:StartDashboardRefresh",
                "cloudtrail:StartQuery"
            ],
            "Resource": [
                "arn:partition:cloudtrail:region:account-id:dashboard/dashboard-name",
                "arn:partition:cloudtrail:region:account-id:eventdatastore/eds-id"
            ]
        }
    ]
}

儀表板和事件資料存放區的資源型政策

資源型政策是您附加至資源JSON的政策文件。資源型政策的範例包括IAM角色信任政策和 Amazon S3 儲存貯體政策。對於附加政策的資源，政策會定義指定的主體可以對該資源執行的動作以及在何種條件下執行的動作。您必須在資源型政策中指定主體。

若要在手動或排程重新整理期間對儀表板執行查詢，您必須將資源型政策連接至與儀表板上的小工具相關聯的每個事件資料存放區。這可讓 CloudTrail Lake 代表您執行查詢。當您建立自訂儀表板，或使用 CloudTrail 主控台啟用醒目提示儀表板時， CloudTrail 可讓您選擇想要套用許可的事件資料存放區。如需資源型政策的詳細資訊，請參閱範例：允許 CloudTrail 執行查詢以重新整理儀表板。

若要設定儀表板的重新整理排程，您必須將資源型政策連接至儀表板，以允許 CloudTrail Lake 代表您重新整理儀表板。當您設定自訂儀表板的重新整理排程，或使用 CloudTrail 主控台啟用反白儀表板時， CloudTrail 可讓您選擇將資源型政策連接至儀表板。如需政策範例，請參閱 儀表板的資源型政策範例。

您可以使用 CloudTrail 主控台、 AWS CLI或 PutResourcePolicyAPI操作連接資源型政策。

KMS 解密事件資料存放區中資料的金鑰許可

如果查詢的事件資料存放區使用KMS金鑰加密，請確定KMS金鑰政策允許 CloudTrail 解密事件資料存放區中的資料。下列範例政策陳述式允許 CloudTrail 服務主體解密事件資料存放區。

{
      "Sid": "AllowCloudTrailDecryptAccess",
      "Effect": "Allow",
      "Principal": {
          "Service": "cloudtrail.amazonaws.com"
        },
      "Action": "kms:Decrypt",
      "Resource": "*"
}