本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。
如何 CloudTrail 运作
CloudTrail 在您创建Amazon账户时在您的账户中处于活动状态。当您的Amazon账户中出现活动时，该活动就会记录在 CloudTrail 事件中。您可以前往事件历史记录，在 CloudTrail 控制台中查看过去 90 天记录的 API 活动（管理事件）。Amazon Web Services 区域
要持续记录 Amazon Web Services 账户 中的事件，请创建跟踪。Trails 可以记录 CloudTrail 管理、数据和 Insights 事件的事件。
要开始使用 CloudTrail，请参阅Amazon CloudTrail 教程入门。
有关 CloudTrail 定价，请参阅Amazon CloudTrail定价
事件历史记录
事件历史记录提供对 Amazon Web Services 区域 中过去 90 天的已记录管理事件的可查看、可搜索、可下载和不可变记录。您可以前往事件历史记录页面，在 CloudTrail 控制台中轻松查看管理事件。您还可以通过运行 aws cloudtrail lookup-events 命令或 LookupEvents API 操作来查看事件历史记录。您可以针对单个属性筛选事件，来搜索 Event history（事件历史记录）中的事件。有关更多信息，请参阅 处理 CloudTrail 事件历史记录。
事件历史记录与您账户中存在的任何跟踪无关，也不会受到您对跟踪所做的配置更改的影响。
CloudTrail 步道
您还可以创建 CloudTrail 跟踪来存档、分析和响应Amazon资源中的更改。Trails 可以记录 CloudTrail 管理事件、数据事件和 Insights 事件。
跟踪是一种配置，可用于将事件传送到您指定的 Amazon S3 存储桶。您还可以使用 Amazon L CloudWatch ogs 和 Amazon 在跟踪中交付和分析事件 EventBridge。您可以使用 CloudTrail 控制台Amazon CLI、或 CloudTrail API 创建跟踪。
您可为 Amazon 账户创建两种类型的跟踪：
- 应用于所有区域的跟踪
-
当您创建适用于所有区域的跟踪时，会 CloudTrail 记录每个区域的事件并将 CloudTrail 事件日志文件传送到您指定的 S3 存储桶。如果您在创建应用到所有区域的跟踪后又添加了一个区域，则该新区域会自动包括在内，该区域中的事件也将被记录。推荐的最佳实践是创建多区域跟踪，因为您可记录您账户中的所有区域的活动。您使用 CloudTrail 控制台创建的所有跟踪都是多区域的。您可以使用 Amazon CLI 将单区域跟踪更新为记录所有区域。有关更多信息，请参阅 在控制台中创建跟踪和 将应用到一个区域的跟踪转换为应用到所有区域。
- 应用于一个区域的跟踪
-
当您创建适用于一个区域的跟踪时，仅 CloudTrail 记录该区域的事件。然后，它 CloudTrail 会将事件日志文件传送到您指定的 Amazon S3 存储桶。您只能使用 Amazon CLI 创建单区域跟踪。如果您创建其他单个跟踪，则可以让这些跟踪将 CloudTrail 事件日志文件传输到相同的 Amazon S3 存储桶或单独的存储桶。这是您使用Amazon CLI或 CloudTrail API 创建跟踪时的默认选项。有关更多信息，请参阅 使用创建、更新和管理跟踪 Amazon Command Line Interface。
注意
对于这两种类型的跟踪，您可以在任何区域中指定 Amazon S3 存储桶。
从 2019 年 4 月 12 日开始，跟踪只能在其记录事件的 Amazon 区域中查看。如果您创建记录所有 Amazon 区域中事件的跟踪，则它会显示在所有 Amazon 区域的控制台中。如果您创建仅记录单个 Amazon 区域中事件的日志，则可以在该 Amazon 区域中查看和管理它。
如果您已在 Amazon Organizations 中创建组织，则可以创建组织跟踪，用于记录该组织中所有 Amazon 账户的所有事件。组织跟踪可以应用于所有 Amazon 区域或当前区域。组织跟踪必须使用管理账户或委托管理员账户创建，并且在指定为应用于某个组织时，组织跟踪将自动应用于该组织中的所有成员账户。成员账户可以查看组织跟踪，但无法对其进行修改或删除。默认情况下，成员账户无权访问 Amazon S3 存储桶中组织跟踪的日志文件。
您可以在创建跟踪后更改其配置，包括是记录一个区域内的事件还是所有区域内的事件。要将单区域跟踪更改为全区域跟踪，或者相反，必须运行 Amazon CLI update-trail 命令。您还可以更改它是记录数据还是 CloudTrail Insights 事件。更改有关跟踪是记录一个区域内的事件还是所有区域内的事件的配置将影响记录的事件。有关更多信息，请参阅 使用管理跟踪 Amazon CLI (Amazon CLI) 和 使用 CloudTrail 日志文件。
默认情况下，来自跟踪 CloudTrail 的事件日志文件使用 Amazon S3 服务器端加密 (SSE) 进行加密。您还可以选择使用 Amazon Key Management Service (Amazon KMS) 密钥加密您的日志文件。您可以将日志文件在 存储桶中存储任意长的时间。您也可以定义 Amazon S3 生命周期规则以自动存档或删除日志文件。如果您想接收有关日志文件传送和验证的通知，可以设置 Amazon SNS 通知。
CloudTrail 每小时发布多次日志文件，大约每 5 分钟发布一次。这些日志文件包含账户中来自支持 CloudTrail 的服务的 API 调用。有关更多信息，请参阅 CloudTrail 支持的服务和集成。
注意
CloudTrail 通常在 API 调用后的平均大约 5 分钟内传送日志。此时间并不能得到保证。
如果您错误配置了跟踪（例如，无法访问 S3 存储桶），则 CloudTrail 会尝试将日志文件重新传送到您的 S3 存储桶，持续 30 天，这些 attempted-to-deliver 事件将按标准费用收费。 CloudTrail 为避免配置错误的跟踪产生费用，您需要删除跟踪。
CloudTrail 捕获用户直接执行的操作或Amazon服务代表用户执行的操作。例如，Amazon CloudFormation CreateStack 调用会导致对 Amazon EC2、Amazon RDS、Amazon EBS 或其他服务进行其他的 API 调用（根据 Amazon CloudFormation 模板的要求）。这是正常的，也是预期的行为。您可以通过 CloudTrail 事件中的invokedby字段来识别操作是否由Amazon服务机构执行。
CloudTrail 频道
CloudTrail 支持与服务相关的频道。
- 服务相关通道
-
Amazon服务可以创建与服务相关的渠道来代表您接收 CloudTrail 事件。创建服务相关通道的 Amazon 服务为该通道配置高级事件选择器，并指定该通道是适用于所有区域还是适用于单个区域。
您可以使用CloudTrail 控制台或Amazon CLI查看由Amazon Web Services创建的任何 CloudTrail 服务相关频道的相关信息。