接收来自多个账户的 CloudTrail 日志文件 - Amazon CloudTrail
Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异,请参阅 中国的 Amazon Web Services 服务入门 (PDF)

本文属于机器翻译版本。若本译文内容与英语原文存在差异,则一律以英文原文为准。

接收来自多个账户的 CloudTrail 日志文件

您可以让Amazon Web Services 账户将多个日志文件 CloudTrail 传输到单个 Amazon S3 存储桶中。例如,您有四个Amazon Web Services 账户账户 ID 为 111111111111、2222222222、333333333333333 和 4444444444444,并且您想要配置为将所有四个账户中的日志文件传输到属于账户 111111111111 的存储桶。 CloudTrail 要完成此操作,请依次完成以下步骤:

  1. 在目标存储桶所属的账户(此示例中为 111111111111)中创建跟踪。不要为任何其他账户创建跟踪。

    有关说明,请参阅在控制台中创建跟踪

  2. 更新目标存储桶的存储桶策略,以便向 CloudTrail 授予跨账户权限。

    有关说明,请参阅设置适用于多个账户的存储桶策略

  3. 在要为其记录活动的其他账户(此示例中为 222222222222、333333333333 和 444444444444)中创建跟踪。在每个账户中创建跟踪时,指定属于您在步骤 1 中指定的账户(此示例中为 111111111111)的 Amazon S3 存储桶。有关说明,请参阅在其他账户中创建跟踪

    注意

    如果您选择启用 SSE-KMS 加密,KMS 密钥策略必须 CloudTrail 允许使用该密钥加密您的日志文件,并允许您指定的用户读取未加密形式的日志文件。有关手动编辑密钥政策的信息,请参阅为 CloudTrail 配置 Amazon KMS 密钥策略

为其他账户调用的数据事件修订存储桶拥有者账户 ID

过去,如果在 Amazon S3 CloudTrail 数据事件 API 调用者中启用了数据事件,则会在数据事件中 CloudTrail 显示 S3 存储桶拥有者的账户 ID(例如PutObject)。Amazon Web Services 账户即使存储桶拥有者账户没有启用 S3 数据事件,也会出现这种情况。

现在,如果满足以下两个条件,则 CloudTrail 删除resources区块中 S3 存储桶所有者的账户 ID:

  • 数据事件 API 调用来自不同Amazon Web Services 账户于 Amazon S3 存储桶拥有者的人。

  • API 调用程序收到了一个仅适用于该调用程序账户的 AccessDenied 错误。

在其上面进行 API 调用的资源的拥有者仍收到完整的事件。

以下事件记录片段是一个预期行为的示例。在 Historic 片段中,将向不同账户中的 API 调用程序显示 S3 存储桶拥有者的账户 ID 123456789012。在当前行为示例中,不会显示存储桶拥有者的账户 ID。

# Historic "resources": [ { "type": "AWS::S3::Object", "ARNPrefix": "arn:aws:s3:::test-my-bucket-2/" }, { "accountId": "123456789012", "type": "AWS::S3::Bucket", "ARN": "arn:aws:s3:::test-my-bucket-2" } ]

以下是当前的行为。

# Current "resources": [ { "type": "AWS::S3::Object", "ARNPrefix": "arn:aws:s3:::test-my-bucket-2/" }, { "accountId": "", "type": "AWS::S3::Bucket", "ARN": "arn:aws:s3:::test-my-bucket-2" } ]