使用手动分区为整个组织范围的跟踪创建表

为整个组织的 CloudTrail 日志记录创建 Athena 表

1. 在 CREATE TABLE 语句中，修改 LOCATION 子句以包含组织 ID，如下例所示：

   LOCATION 's3://amzn-s3-demo-bucket/AWSLogs/organization_id/'

2. 在 PARTITIONED BY 子句中，为账户 ID 添加一个字符串条目，如下例所示：

   PARTITIONED BY (account string, region string, year string, month string, day string)

   以下示例显示的是综合结果：

   ...
   
   PARTITIONED BY (account string, region string, year string, month string, day string) 
   ROW FORMAT SERDE 'org.apache.hive.hcatalog.data.JsonSerDe'
   STORED AS INPUTFORMAT 'com.amazon.emr.cloudtrail.CloudTrailInputFormat'
   OUTPUTFORMAT 'org.apache.hadoop.hive.ql.io.HiveIgnoreKeyTextOutputFormat'
   LOCATION 's3://amzn-s3-demo-bucket/AWSLogs/organization_id/Account_ID/CloudTrail/'

3. ALTER TABLE 语句的 ADD PARTITION 子句包含账户 ID，如下例所示：

   ALTER TABLE table_name ADD
   PARTITION (account='111122223333',
   region='us-east-1',
   year='2022',
   month='08',
   day='08')

4. ALTER TABLE 语句的 LOCATION 子句包含组织 ID、账户 ID 以及您要添加的分区，如下例所示：

   LOCATION 's3://amzn-s3-demo-bucket/AWSLogs/organization_id/Account_ID/CloudTrail/us-east-1/2022/08/08/'

   以下示例 ALTER TABLE 语句显示的是综合结果：

   ALTER TABLE table_name ADD
   PARTITION (account='111122223333',
   region='us-east-1',
   year='2022',
   month='08',
   day='08')
   LOCATION 's3://amzn-s3-demo-bucket/AWSLogs/organization_id/111122223333/CloudTrail/us-east-1/2022/08/08/'