使用 CloudTrail 主控台建立或編輯查詢

登入 AWS Management Console ，並在 https：//https://console.aws.amazon.com/cloudtrail/ 開啟 CloudTrail 主控台。

在導覽窗格中，選擇 Lake 下方的查詢。

在 Query (查詢) 頁面上，選擇 Sample queries (範例查詢) 索引標籤。

選擇查詢名稱以打開範例查詢。這會在 Editor (編輯器) 索引標籤中開啟查詢。在此範例中，我們將選取名為調查使用者動作的查詢，然後編輯該查詢以查找名為 Alice 的特定使用者所做的動作。

在編輯器索引標籤中，編輯 WHERE 列以指定您想要調查的使用者，並視需要更新 eventTime 值。FROM 的值是事件資料存放區 ARN 的 ID 部分，會在您選擇該事件資料存放區時由 CloudTrail 自動填入。

SELECT
    eventID, eventName, eventSource, eventTime, userIdentity.arn AS user
FROM
    event-data-store-id
WHERE
    userIdentity.arn LIKE '%Alice%'
    AND eventTime > '2023-06-23 00:00:00' AND eventTime < '2023-06-26 00:00:00'

您可以在儲存查詢之前執行查詢，以驗證查詢是否正常運作。若執行查詢，請從Event data store (事件資料存放區) 下拉式清單中選擇事件資料存放區，然後選擇 Run (執行)。檢視 Command output (命令輸出) 索引標籤的 Status (狀態) 欄，以驗證查詢是否成功執行。

如果您已更新範例查詢，請選擇儲存。

在儲存查詢中，輸入查詢的名稱和描述。選擇 Save query (儲存查詢) 將變更另存為新查詢。若要放棄對查詢的變更，請選擇 Cancel (取消)，或關閉 Save query (儲存查詢) 視窗。

開啟 Saved queries(已儲存的查詢) 索引標籤以查看表格中的新查詢。