Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异，请参阅 中国的 Amazon Web Services 服务入门 (PDF)。

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

记录 Insights 事件

通过持续分析 CloudTrail 管理事件，Amazon CloudTrail Insights 可帮助 Amazon 用户识别和应对与 API 调用相关的异常活动和 API 错误率。CloudTrail Insights 可分析 API 调用量和 API 错误率的正常模式，又称为基准，当调用量或错误率超出正常模式范围时生成 Insights 事件。针对 write 管理 API 生成的 API 调用量的 Insights 事件，以及针对 read 和 write 管理 API 生成的 API 错误率的 Insights 事件。

CloudTrail Insights 分析在单个区域（而非全局）发生的管理事件。在其支持性管理事件的相同区域中生成 CloudTrail 见解事件。

将对 Insights 事件收取额外费用。如果您同时为跟踪和事件数据存储启用 Insights，则需要单独付费。有关更多信息，请参阅Amazon CloudTrail 定价。

了解 Insights 事件传输情况

与 CloudTrail 捕获的其他类型的事件不同，仅在 CloudTrail 检测到账户的 API 使用情况的变化与账户的典型使用模式有显著差异时，才会记录 Insights 事件。

CloudTrail 传输事件的位置以及接收 Insights 事件所需的时间因跟踪和事件数据存储而异。

跟踪的 Insights 事件传输

如果已在跟踪上启用 Insights 事件并且 CloudTrail 检测到异常活动，CloudTrail 会将 Insights 事件传输到跟踪的所选目标 S3 存储桶中的 /CloudTrail-Insight 文件夹。首次对跟踪记录启用 CloudTrail 见解后，如果检测到异常活动，则 CloudTrail 供传递第一个见解事件可能需要长达 36 个小时。

如果您关闭跟踪上的 Insights 事件日志记录，然后重新启用 Insights 事件，或者停止并重新开始跟踪上的日志记录，则如果检测到异常活动，CloudTrail 可能需要最长 36 个小时才能重新启动 Insights 事件的传输。

事件数据存储的 Insights 事件传输

如果您在源事件数据存储上启用了 Insights 事件，CloudTrail 会将 Insights 事件传输到目标事件数据存储。首次对源事件数据存储启用 CloudTrail Insights 后，如果检测到异常活动，则 CloudTrail 将第一个 Insights 事件传输到目标事件数据存储最长可能需要 7 天。

如果您关闭源事件数据存储上的 Insights 事件日志记录，然后重新启用 Insights 事件，或者停止并重新开始源事件数据存储上的事件摄取，则如果检测到异常活动，CloudTrail 可能需要最长 7 天才能重新启动 Insights 事件的传输。在 CloudTrail Lake 中摄取 Insights 事件将收取额外费用。如果您同时为跟踪和事件数据存储启用 Insights，则需要单独付费。有关 CloudTrail 定价的信息，请参阅 Amazon CloudTrail 定价。

使用 Amazon Web Services Management Console 记录见解事件

您可以使用控制台在跟踪上启用 Insights 事件。

在现有跟踪记录上启用 CloudTrail Insights 事件

按照以下过程在现有跟踪记录上启用 CloudTrail Insights 事件。默认情况下，不启用见解事件。

如果检测到异常活动，则 CloudTrail 最多可能需要 36 小时才能传递第一个见解事件。

使用 Amazon Command Line Interface 记录见解事件

您可以使用 Amazon CLI 配置跟踪和事件数据存储以记录 Insights 事件。

使用 Amazon CLI 记录跟踪记录的 Insights 事件

要查看您的跟踪是否正在记录见解事件，请运行 get-insight-selectors 命令。

aws cloudtrail get-insight-selectors --trail-name TrailName

以下结果显示跟踪的默认设置。默认情况下，跟踪记录不记录见解事件。InsightType 属性值为空，并且未指定见解事件选择器，因为未启用见解事件收集。

如果您未添加 Insights 选择器，则 get-insight-selectors 命令会返回以下错误消息：“An error occurred (InsightNotEnabledException) when calling the GetInsightSelectors operation: Trail name does not have Insights enabled。Edit the trail settings to enable Insights, and then try the operation again.”

{
  "InsightSelectors": [ ],
  "TrailARN": "arn:aws:cloudtrail:us-east-1:123456789012:trail/TrailName"
}

要将跟踪配置为记录见解事件，请运行 put-insight-selectors 命令。以下示例说明如何配置跟踪以包含见解事件。Insights 选择器值可以是 ApiCallRateInsight 和/或 ApiErrorRateInsight。

aws cloudtrail put-insight-selectors --trail-name TrailName --insight-selectors '[{"InsightType": "ApiCallRateInsight"},{"InsightType": "ApiErrorRateInsight"}]'

以下结果显示为跟踪配置的见解事件选择器。

{
  "InsightSelectors":
      [
         {
            "InsightType": "ApiErrorRateInsight"
         },
         {
            "InsightType": "ApiCallRateInsight"
         }
      ],
  "TrailARN": "arn:aws:cloudtrail:us-east-1:123456789012:trail/TrailName"
}

使用 Amazon 开发工具包记录事件

运行 GetInsightSelectors 操作以查看跟踪是否启用了 Insights 事件。您可以配置您的跟踪记录以使用 PutInsightSelectors 操作启用 Insights 事件。有关更多信息，请参阅 Amazon CloudTrail API 参考。

跟踪的其他信息

本部分提供特定于跟踪的其他信息。本部分介绍如何从 CloudTrail 控制台的 Insights 页面查看已订阅跟踪的事件，以及如何选择性地将这些事件发送到 CloudWatch Logs 进行监控。

在控制台中查看跟踪的 Insights 事件

对于跟踪，您还可以在 CloudTrail 控制台的 Insights 页面中访问和查看 Insights 事件。有关如何在控制台中以及使用 Amazon CLI 访问和查看见解事件的信息，请参阅本指南中的 查看跟踪的 CloudTrail Insights 事件。

下图显示了一个跟踪 Insights 事件的示例。通过从 Dashboard (控制面板) 或 Insights (见解) 页面中选择见解事件名称，可以打开见解事件的详细信息页面。

如果对跟踪禁用 CloudTrail 见解或对跟踪停止日志记录（禁用 CloudTrail 见解），则可能已将见解事件存储在目标 S3 存储桶中或显示在控制台的 Insights（见解）页面上，该日期来自您启用见解的较早时间。

筛选条件列

左列列出了与主题 API 相关的见解事件，并且具有相同的见解事件类型。通过该列，您可以选择希望了解其详细信息的见解事件。在此列中选择事件时，该事件将在 Insights graph（见解图表）选项卡上的图形中突出显示。默认情况下，CloudTrail 应用一个筛选条件将 CloudTrail events（CloudTrail 事件）选项卡限制为关于在触发见解事件的异常活动期间调用的特定 API 的事件。要显示在异常活动期间调用的所有 CloudTrail 事件，包括与见解事件无关的事件，请关闭筛选条件。

Insights graph（见解图表）选项卡

在 Insights graph（Insights 图）选项卡上，Insights 事件的详细信息页面显示在记录一个或多个 Insights 事件之前和之后的一段时间内发生的 API 调用量或错误率的图表。在图表中，见解事件以垂直条突出显示，条的宽度显示见解事件的开始和结束时间。

在此示例中，突出显示的垂直带显示了账户中异常数量的 Amazon Systems Manager SendCommand API 调用。在突出显示的区域中，由于 SendCommand 调用数量上升到该账户每分钟 0.0442 次调用的基线平均值以上，因此 CloudTrail 在检测到异常活动时记录了一个 Insights 事件。已记录在上午 5:50 至 5:55 之间的 5 分钟内多达 15 次 SendCommand 调用的 Insights 事件。每分钟对该 API 的调用大约比该账户预期的次数多两次。在此示例中，图表的时间跨度为三小时：上午 4:30。太平洋时间 2021 年 7 月 15 日 上午 4:30 至上午 7:30。此事件的开始时间为 2021 年 7 月 15 日 上午 6:00，结束时间为两分钟后。未突出显示的结束 Insights 事件显示，该异常活动在上午 6:16 左右结束。

按照见解事件开始前七天的时间计算基准。虽然基准持续时间的值（CloudTrail 针对 API 上的正常活动分析的时间段）大约为七天，但 CloudTrail 会将基准持续时间舍入为整数天，因此确切的基准持续时间可能会有所不同。

您可以使用工具栏上的 Zoom（缩放）命令放大结束 Insights 事件，显示开始和结束时间。在此示例中，选择 Zoom（缩放），然后在突出显示的 Insights 事件的一边短距离拖动Zoom（缩放）光标,展开 Insights 事件并显示更多时间线详细信息。

请打开 CloudTrail events（CloudTrail 事件）选项卡，查看用来分析以确定发生异常活动的 CloudTrail 事件。在此示例中，CloudTrail 分析了 12 个事件，其中四个事件触发了 Insights 事件。

以下图片显示 API 错误率 Insights 事件的Insights图选项卡。突出显示的区域显示，由于 GetRolePolicy IAM API 调用上发生的 NoSuchEntityException 错误数量超出此 API 调用每分钟 0.0017 次 NoSuchEntityException 错误的基线平均值，在洞察期间记录了一个平均每分钟出现 18 次错误的 Insights 事件。在此示例中，触发 Insights 事件的 CloudTrail 事件数量与一分钟内出现 18 个 NoSuchEntityException 错误的 Insights 平均值相匹配。与 API 调用率图不同的是，API 错误率图显示为两条不同颜色的线：一条线衡量导致异常错误数量的 IAM API 调用（GetRolePolicy），另一条线衡量记录异常活动的错误（NoSuchEntityException）。

Attributions（属性）选项卡

Attributions（归因）选项卡显示有关见解事件的以下信息。Attributions（归因）选项卡上的信息可以帮助您识别 Insights 活动的原因和来源。展开排名较高的基准区域，将正常时段内的用户身份、用户代理和错误代码活动与 Insights 活动期间归因的活动进行比较。Top baseline user identity ARNs（排名靠前的基准用户身份 ARN）、Top baseline user agents（排名靠前的基准用户代理）和 Top baseline error codes（排名靠前的基准错误代码）中仅显示基线平均值 – 在 Insights 事件开始时间前大约七天内按用户身份、用户代理记录的或导致错误代码的 API 事件的历史平均值。

Attributions（归因）选项卡仅显示错误率 Insights 事件中排名靠前的用户身份 ARN 和用户代理，如下图所示。错误率 Insights 事件不需要顶级错误代码。

基线平均值和 Insights 平均值

Baseline average（基线平均值）和 Insights average（Insights 平均值）显示排名靠前的用户身份、排名靠前的用户代理和排名靠前的错误代码。

CloudTrail events（CloudTrail 事件）选项卡

在 CloudTrail events（CloudTrail 事件）选项卡上，查看 CloudTrail 用来分析以确定发生异常活动的相关事件。默认情况下，已对见解事件名称应用了筛选条件，该名称也是相关 API 的名称。要显示在异常活动期间记录的所有 CloudTrail 事件，请关闭 Only show events for selected Insights event（仅显示所选见解事件的事件）。CloudTrail events（CloudTrail 事件）选项卡显示与见解事件的开始和结束时间之间发生的主题 API 相关的 CloudTrail 管理事件。这些事件可帮助您执行更深入的分析，以确定 Insights 事件的可能原因以及异常 API 活动和错误率的原因。

Insights event record（见解事件记录）选项卡

与任何 CloudTrail 事件相似，CloudTrail 见解事件是 JSON 格式的记录。Insights event record（见解事件记录）选项卡显示见解开始和结束事件的 JSON 结构和内容，有时称为事件负载。有关见解事件记录的字段和内容的更多信息，请参阅本指南中的 Insights 事件的记录字段 和 CloudTrail 见解 insightDetails 元素。

将跟踪事件发送到 Amazon CloudWatch Logs

CloudTrail 支持将跟踪的 Insights 事件发送到 CloudWatch Logs。在配置您的跟踪以将见解事件发送到 CloudWatch Logs 日志组时，CloudTrail 见解只发送您在跟踪中指定的事件。例如，如果您将跟踪配置为记录管理和见解事件，则您的跟踪会将管理事件和见解事件传递至您的 CloudWatch Logs 日志组。有关更多信息，请参阅使用 Amazon CloudWatch Logs 监控 CloudTrail 日志文件。