本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

# CloudTrail 概念
<a name="cloudtrail-concepts"></a>

本节总结了与之相关的基本概念 CloudTrail。

**Topics**
+ [CloudTrail 事件](#cloudtrail-concepts-events)
+ [事件历史](#cloudtrail-concepts-event-history)
+ [跟踪](#cloudtrail-concepts-trails)
+ [组织跟踪](#cloudtrail-concepts-trails-org)
+ [CloudTrail 见解](#understanding-insight-selectors)
+ [标签](#cloudtrail-concepts-tags)
+ [Amazon Security Token Service 和 CloudTrail](#cloudtrail-concepts-sts-regionalization)
+ [全球服务事件](#cloudtrail-concepts-global-service-events)

## CloudTrail 事件
<a name="cloudtrail-concepts-events"></a>

中的事件 CloudTrail 是 Amazon 账户中某项活动的记录。此活动可以是 IAM 身份或可监控的服务采取的操作。 CloudTrail CloudTrail事件提供通过 Amazon Web Services 管理控制台、 Amazon SDKs、命令行工具和其他 Amazon 服务进行的 API 和非 API 账户活动的历史记录。

CloudTrail 日志文件不是公共 API 调用的有序堆栈跟踪，因此事件不会按任何特定顺序出现。

CloudTrail 记录四种类型的事件：
+ [管理事件](#cloudtrail-concepts-management-events)
+ [数据事件](#cloudtrail-concepts-data-events)
+ [网络活动事件](#cloudtrail-concepts-network-events)
+ [Insights 事件](#cloudtrail-concepts-insights-events)

所有事件类型都使用 CloudTrail JSON 日志格式。

默认情况下，跟踪记录和事件数据存储将记录管理事件，但不记录数据事件或 Insights 事件。

有关如何与 Amazon Web Services 服务 集成的信息 CloudTrail，请参阅[Amazon 的服务主题 CloudTrail](cloudtrail-aws-service-specific-topics.md#cloudtrail-aws-service-specific-topics-list)。

### 管理事件
<a name="cloudtrail-concepts-management-events"></a>

管理事件提供有关对您 Amazon 账户中的资源执行的管理操作的信息。这些也称为*控制层面操作*。

示例管理事件包括：
+ 配置安全性（例如， Amazon Identity and Access Management `AttachRolePolicy`API 操作）。
+ 注册设备（例如，Amazon EC2 `CreateDefaultVpc` API 操作）。
+ 配置传送数据的规则（例如，Amazon EC2 `CreateSubnet` API 操作）。
+ 设置日志记录（例如， Amazon CloudTrail `CreateTrail`API 操作）。

管理事件还包括在您的账户中发生的非 API 事件。例如，当用户登录您的账户时，会 CloudTrail 记录该`ConsoleLogin`事件。有关更多信息，请参阅 [捕获的非 API 事件 CloudTrail](cloudtrail-non-api-events.md)。

默认情况下，t CloudTrail rails 和 CloudTrail Lake 事件数据存储日志管理事件。有关记录管理事件的更多信息，请参阅[记录管理事件](logging-management-events-with-cloudtrail.md)。

### 数据事件
<a name="cloudtrail-concepts-data-events"></a>

数据事件提供有关对在资源上或资源内执行的资源操作的信息。这些也称为*数据层面操作*。数据事件通常是高容量活动。

示例数据事件包括：
+ S3 存储桶中对象上的 [Amazon S3 对象级 API 活动](https://docs.amazonaws.cn/AmazonS3/latest/userguide/cloudtrail-logging-s3-info.html#cloudtrail-data-events)（例如 `GetObject`、`DeleteObject` 和 `PutObject` API 操作）。
+ Amazon Lambda 函数执行活动（`Invoke`API）。
+ CloudTrail [https://docs.amazonaws.cn/awscloudtraildata/latest/APIReference/API_PutAuditEvents.html](https://docs.amazonaws.cn/awscloudtraildata/latest/APIReference/API_PutAuditEvents.html)用于记录外部事件的 L [CloudTrail ake 频道](query-event-data-store-integration.md)上的活动 Amazon。
+ 针对主题的 Amazon SNS [https://docs.amazonaws.cn/sns/latest/api/API_Publish.html](https://docs.amazonaws.cn/sns/latest/api/API_Publish.html) 和 [https://docs.amazonaws.cn/sns/latest/api/API_PublishBatch.html](https://docs.amazonaws.cn/sns/latest/api/API_PublishBatch.html) API 操作。

下表显示可用于跟踪的资源类型。**资源类型（控制台）**列显示控制台中的相应选择。**resources.typ `resources.type` e 值**列显示了您使用或指定的值，以便在跟踪中包含该类型的数据事件。 Amazon CLI CloudTrail APIs

对于跟踪，您可以使用基本或高级事件选择器来记录通用存储桶、Lambda 函数和 DynamoDB 表中的 Amazon S3 对象的数据事件（显示在表的前三行中）。您只能使用高级事件选择器来记录其余行中显示的资源类型。

#### 支持的数据事件 Amazon CloudTrail
<a name="w2aab5c23b7c19c17"></a>


****  

| Amazon Web Services 服务 | 说明 | 资源类型（控制台） | resources.type 值 | 
| --- | --- | --- | --- | 
| Amazon RDS | 数据库集群上的 [Amazon RDS API 活动](https://docs.amazonaws.cn/AmazonRDS/latest/AuroraUserGuide/logging-using-cloudtrail-data-api.html#logging-using-cloudtrail-data-api.including-excluding-cloudtrail-events)。 | RDS 数据 API：数据库集群 | AWS::RDS::DBCluster | 
| Amazon S3 | 通用存储桶中对象上的 [Amazon S3 对象级 API 活动](https://docs.amazonaws.cn/AmazonS3/latest/userguide/cloudtrail-logging-s3-info.html#cloudtrail-data-events)（例如 `GetObject`、`DeleteObject` 和 `PutObject` API 操作）。 | S3 | AWS::S3::Object | 
| Amazon S3 | 接入点上的 [Amazon S3 API 活动](https://docs.amazonaws.cn/AmazonS3/latest/userguide/cloudtrail-logging-s3-info.html#cloudtrail-data-events)。 | S3 接入点 | AWS::S3::AccessPoint | 
| Amazon S3 | 目录存储桶中对象上的 [Amazon S3 对象级 API 活动](https://docs.amazonaws.cn/AmazonS3/latest/userguide/cloudtrail-logging-s3-info.html#cloudtrail-data-events)（例如 `GetObject`、`DeleteObject` 和 `PutObject` API 操作）。 | S3 Express | AWS::S3Express::Object | 
| Amazon S3 | [Amazon S3 对象 Lambda 接入点 API 活动](https://docs.amazonaws.cn/AmazonS3/latest/userguide/cloudtrail-logging-s3-info.html#cloudtrail-data-events)，例如调用 `CompleteMultipartUpload` 和 `GetObject`。 | S3 对象 Lambda | AWS::S3ObjectLambda::AccessPoint | 
| Amazon S3 | 亚马逊 FSx API 在卷上的活动。 | FSx 音量 | AWS::FSx::Volume | 
| Amazon S3 表 | 针对[表](https://docs.amazonaws.cn/AmazonS3/latest/userguide/s3-tables-create.html)的 Amazon S3 API 活动。 | S3 表 | AWS::S3Tables::Table | 
| Amazon S3 表 | 针对[表存储桶](https://docs.amazonaws.cn/AmazonS3/latest/userguide/s3-tables-buckets.html)的 Amazon S3 API 活动。 | S3 表存储桶 | AWS::S3Tables::TableBucket | 
| Amazon S3 Vectors | 针对[向量存储桶](https://docs.amazonaws.cn/AmazonS3/latest/userguide/s3-vectors-buckets.html)的 Amazon S3 API 活动。 | S3 向量存储桶 | AWS::S3Vectors::VectorBucket | 
| Amazon S3 Vectors | 针对[向量索引](https://docs.amazonaws.cn/AmazonS3/latest/userguide/s3-vectors-indexes.html)的 Amazon S3 API 活动。 | S3 向量索引 | AWS::S3Vectors::Index | 
| Amazon S3 on Outposts |  [Amazon S3 on Outposts](https://docs.amazonaws.cn/AmazonS3/latest/userguide/cloudtrail-logging-s3-info.html#cloudtrail-data-events) 对象级别 API 活动。 | S3 Outposts | AWS::S3Outposts::Object | 
| Amazon SNS | 针对平台端点的 Amazon SNS [https://docs.amazonaws.cn/sns/latest/api/API_Publish.html](https://docs.amazonaws.cn/sns/latest/api/API_Publish.html) API 操作。 | SNS 平台端点 | AWS::SNS::PlatformEndpoint | 
| Amazon SNS | 针对主题的 Amazon SNS [https://docs.amazonaws.cn/sns/latest/api/API_Publish.html](https://docs.amazonaws.cn/sns/latest/api/API_Publish.html) 和 [https://docs.amazonaws.cn/sns/latest/api/API_PublishBatch.html](https://docs.amazonaws.cn/sns/latest/api/API_PublishBatch.html) API 操作。 | SNS 主题 | AWS::SNS::Topic | 
| Amazon SQS | 消息上的 [Amazon SQS API 活动](https://docs.amazonaws.cn/AWSSimpleQueueService/latest/SQSDeveloperGuide/sqs-logging-using-cloudtrail.html#sqs-data-events-in-cloud-trail)。  | SQS | AWS::SQS::Queue | 
| Amazon Supply Chain | Amazon Supply Chain 实例上的 API 活动。  | 供应链 | AWS::SCN::Instance | 
| Amazon SWF | [域](https://docs.amazonaws.cn/amazonswf/latest/developerguide/swf-dev-domains.html)上的 [Amazon SWF API 活动](https://docs.amazonaws.cn/amazonswf/latest/developerguide/ct-logging.html#cloudtrail-data-events)。  | SWF 域 | AWS::SWF::Domain | 
| Amazon AppConfig | Amazon AppConfig 用于配置操作的 [API 活动](https://docs.amazonaws.cn/appconfig/latest/userguide/logging-using-cloudtrail.html#appconfig-data-events-cloudtrail)，例如对`StartConfigurationSession`和的调用`GetLatestConfiguration`。 | Amazon AppConfig | AWS::AppConfig::Configuration | 
| Amazon AppSync | Amazon AppSync Graph@@ [QL 上的 AppSync AP APIs I 活动](https://docs.amazonaws.cn/appsync/latest/devguide/cloudtrail-logging.html#cloudtrail-data-events)。 | AppSync GraphQL | AWS::AppSync::GraphQLApi | 
| Amazon Aurora DSQL | 针对集群资源的 Amazon Aurora DSQL API 活动。 | Amazon Aurora DSQL | AWS::DSQL::Cluster | 
| Amazon B2B 数据交换 | 用于转换器操作的 B2B 数据交换 API 活动，例如对 `GetTransformerJob` 和 `StartTransformerJob` 的调用。 | B2B 数据交换 | AWS::B2BI::Transformer | 
| Amazon Backup | Amazon Backup 搜索数据 API 在搜索作业上的活动。 | Amazon Backup 搜索数据 APIs | AWS::Backup::SearchJob | 
| Amazon Bedrock | 代理别名上的 [Amazon Bedrock API 活动](https://docs.amazonaws.cn/bedrock/latest/userguide/logging-using-cloudtrail.html#service-name-data-events-cloudtrail)。 | Bedrock 代理别名 | AWS::Bedrock::AgentAlias | 
| Amazon Bedrock | 针对异步调用的 Amazon Bedrock API 活动。 | Bedrock 异步调用 | AWS::Bedrock::AsyncInvoke | 
| Amazon Bedrock | 流别名上的 Amazon Bedrock API 活动。 | Bedrock 流别名 | AWS::Bedrock::FlowAlias | 
| Amazon Bedrock | 护栏上的 Amazon Bedrock API 活动。 | Bedrock 护栏 | AWS::Bedrock::Guardrail | 
| Amazon Bedrock | 针对内联代理的 Amazon Bedrock API 活动。 | Bedrock 调用内联代理 | AWS::Bedrock::InlineAgent | 
| Amazon Bedrock | 知识库上的 [Amazon Bedrock API 活动](https://docs.amazonaws.cn/bedrock/latest/userguide/logging-using-cloudtrail.html#service-name-data-events-cloudtrail)。 | Bedrock 知识库 | AWS::Bedrock::KnowledgeBase | 
| Amazon Bedrock | 模型上的 Amazon Bedrock API 活动。 | Bedrock 模型 | AWS::Bedrock::Model | 
| Amazon Bedrock | 针对提示的 Amazon Bedrock API 活动。 | Bedrock 提示 | AWS::Bedrock::PromptVersion | 
| Amazon Bedrock | 针对会话的 Amazon Bedrock API 活动。 | Bedrock 会议 | AWS::Bedrock::Session | 
| Amazon Bedrock | 针对流执行的 Amazon Bedrock API 活动。 | Bedrock 流执行 | AWS::Bedrock::FlowExecution | 
| Amazon Bedrock | 针对自动推理策略的 Amazon Bedrock API 活动。 | Bedrock 自动推理策略 | AWS::Bedrock::AutomatedReasoningPolicy | 
| Amazon Bedrock | 针对自动推理策略版本的 Amazon Bedrock API 活动。 | Bedrock 自动推理策略版本 | AWS::Bedrock::AutomatedReasoningPolicyVersion | 
| Amazon Bedrock | Amazon Bedrock 数据自动化项目 API 活动。 | **Bedrock 数据自动化项目** | `AWS::Bedrock::DataAutomationProject` | 
| Amazon Bedrock | Bedrock 数据自动化调用 API 活动。 | **Bedrock 数据自动化调用** | `AWS::Bedrock::DataAutomationInvocation` | 
| Amazon Bedrock | Amazon Bedrock 数据自动化配置文件 API 活动。 | **Bedrock 数据自动化配置文件** | `AWS::Bedrock::DataAutomationProfile` | 
| Amazon Bedrock | Amazon Bedrock 蓝图 API 活动。 | **Bedrock 蓝图** | `AWS::Bedrock::Blueprint` | 
| Amazon Bedrock | Amazon Bedrock 代码解释器 API 活动。 | **Bedrock-代码解释器 AgentCore ** | `AWS::BedrockAgentCore::CodeInterpreter` | 
| Amazon Bedrock | Amazon Bedrock 浏览器 API 活动。 | **Bedrock-浏览器 AgentCore ** | `AWS::BedrockAgentCore::Browser` | 
| Amazon Bedrock | Amazon Bedrock 工作负载身份 API 活动。 | **基石-AgentCore 工作负载身份** | `AWS::BedrockAgentCore::WorkloadIdentity` | 
| Amazon Bedrock | Amazon Bedrock 工作负载身份目录 API 活动。 | **Bedrock-AgentCore 工作负载身份目录** | `AWS::BedrockAgentCore::WorkloadIdentityDirectory` | 
| Amazon Bedrock | Amazon Bedrock 令牌文件库 API 活动。 | **基岩-AgentCore 代币库** | `AWS::BedrockAgentCore::TokenVault` | 
| Amazon Bedrock | 亚马逊 Bedrock APIKey CredentialProvider API 活动。 | **Bedrock-AgentCore APIKey CredentialProvider** | `AWS::BedrockAgentCore::APIKeyCredentialProvider` | 
| Amazon Bedrock | Amazon Bedrock 运行时 API 活动。 | **基岩-运行时间 AgentCore ** | `AWS::BedrockAgentCore::Runtime` | 
| Amazon Bedrock | Amazon Bedrock 运行时端点 API 活动。 | **Bedrock-AgentCore 运行时端点** | `AWS::BedrockAgentCore::RuntimeEndpoint` | 
| Amazon Bedrock | Amazon Bedrock 网关 API 活动。 | **基岩-网关 AgentCore ** | `AWS::BedrockAgentCore::Gateway` | 
| Amazon Bedrock | Amazon Bedrock 内存 API 活动。 | **基岩-记忆 AgentCore ** | `AWS::BedrockAgentCore::Memory` | 
| Amazon Bedrock | 亚马逊 Bedrock Oauth2 API 活动 CredentialProvider 。 | **Bedrock-AgentCore Oauth2 CredentialProvider** | `AWS::BedrockAgentCore::OAuth2CredentialProvider` | 
| Amazon Bedrock | Amazon Bedrock 浏览器自定义 API 活动。 | **基岩-浏览器-自定义 AgentCore ** | `AWS::BedrockAgentCore::BrowserCustom` | 
| Amazon Bedrock | 亚马逊 Bedrock Code-Interpreter-Custom API 活动。 | **基岩-代码解释器-自定义 AgentCore ** | `AWS::BedrockAgentCore::CodeInterpreterCustom` | 
| Amazon Bedrock | Amazon Bedrock 工具 API 活动。 | Bedrock 工具 | AWS::Bedrock::Tool | 
| Amazon Cloud Map | Amazon Cloud Map [命名空间](https://docs.amazonaws.cn/cloud-map/latest/api/API_Namespace.html)上的 [API 活动](https://docs.amazonaws.cn/cloud-map/latest/dg/cloudtrail-data-events.html)。 | Amazon Cloud Map 命名空间 | AWS::ServiceDiscovery::Namespace | 
| Amazon Cloud Map | Amazon Cloud Map [服务](https://docs.amazonaws.cn/cloud-map/latest/api/API_Service.html)上的 [API 活动](https://docs.amazonaws.cn/cloud-map/latest/dg/cloudtrail-data-events.html)。 | Amazon Cloud Map service | AWS::ServiceDiscovery::Service | 
| Amazon CloudFront | CloudFront 在 a [https://docs.amazonaws.cn/cloudfront/latest/APIReference/API_KeyValueStore.html](https://docs.amazonaws.cn/cloudfront/latest/APIReference/API_KeyValueStore.html)上的 API 活动 | CloudFront KeyValueStore | AWS::CloudFront::KeyValueStore | 
| Amazon CloudTrail | CloudTrail [https://docs.amazonaws.cn/awscloudtraildata/latest/APIReference/API_PutAuditEvents.html](https://docs.amazonaws.cn/awscloudtraildata/latest/APIReference/API_PutAuditEvents.html)用于记录外部事件的 L [CloudTrail ake 频道](query-event-data-store-integration.md)上的活动 Amazon。 | CloudTrail 频道 | AWS::CloudTrail::Channel | 
| Amazon CloudWatch | [亚马逊 CloudWatch API 在指标方面的活动](https://docs.amazonaws.cn/AmazonCloudWatch/latest/monitoring/logging_cw_api_calls.html#CloudWatch-data-plane-events)。 | CloudWatch 指标 | AWS::CloudWatch::Metric | 
| Amazon CloudWatch 网络流量监控器 | 监视器上的 Amazon CloudWatch 网络流量监控 API 活动。 | 网络流量监测仪监视器 | AWS::NetworkFlowMonitor::Monitor | 
| Amazon CloudWatch 网络流量监控器 | Amazon CloudWatch 网络流量监控 API 在作用域上的活动。 | 网络流量监测仪作用域 | AWS::NetworkFlowMonitor::Scope | 
| 亚马逊 CloudWatch RUM | 应用程序监视器上的 Amazon CloudWatch RUM API 活动。 | RUM 应用程序监视器 | AWS::RUM::AppMonitor | 
| Amazon P CodeGuru rofiler | CodeGuru Profiler API 在性能分析组上的活动。 | CodeGuru Profiler 分析组 | AWS::CodeGuruProfiler::ProfilingGroup | 
| Amazon CodeWhisperer | 亚马逊 CodeWhisperer API 在自定义方面的活动。 | CodeWhisperer 定制 | AWS::CodeWhisperer::Customization | 
| Amazon CodeWhisperer | 个人资料上的亚马逊 CodeWhisperer API 活动。 | CodeWhisperer | AWS::CodeWhisperer::Profile | 
| Amazon Cognito | 针对 Amazon Cognito [身份池](https://docs.amazonaws.cn/cognito/latest/developerguide/amazon-cognito-info-in-cloudtrail.html#identity-pools-cloudtrail-events)的 Amazon Cognito API 活动。 | Cognito 身份池 | AWS::Cognito::IdentityPool | 
| Amazon Web Services Data Exchange | Amazon Web Services Data Exchange 资产上的 API 活动。 | **Data Exchange 资产** | `AWS::DataExchange::Asset` | 
| Amazon Data Firehose | Amazon Data Firehose 传输流 API 活动。 | **Amazon Data Firehose** | `AWS::KinesisFirehose::DeliveryStream` | 
| Amazon Deadline Cloud | 实例集上的 [Deadline Cloud](https://docs.amazonaws.cn/deadline-cloud/latest/userguide/logging-using-cloudtrail.html#cloudtrail-data-events) API 活动。 | **Deadline Cloud 舰队** | `AWS::Deadline::Fleet` | 
| Amazon Deadline Cloud | 作业上的 [Deadline Cloud](https://docs.amazonaws.cn/deadline-cloud/latest/userguide/logging-using-cloudtrail.html#cloudtrail-data-events) API 活动。 | **Deadline Cloud 工作** | `AWS::Deadline::Job` | 
| Amazon Deadline Cloud | 队列上的 [Deadline Cloud](https://docs.amazonaws.cn/deadline-cloud/latest/userguide/logging-using-cloudtrail.html#cloudtrail-data-events) API 活动。 | **Deadline Cloud queue** | `AWS::Deadline::Queue` | 
| Amazon Deadline Cloud | 工作程序上的 [Deadline Cloud](https://docs.amazonaws.cn/deadline-cloud/latest/userguide/logging-using-cloudtrail.html#cloudtrail-data-events) API 活动。 | **Deadline Cloud 工人** | `AWS::Deadline::Worker` | 
| Amazon DynamoDB | 表上的 [Amazon DynamoDB 项目级 API 活动](https://docs.amazonaws.cn/amazondynamodb/latest/developerguide/logging-using-cloudtrail.html#ddb-data-plane-events-in-cloudtrail)（例如，`PutItem`、`DeleteItem` 和 `UpdateItem` API 操作）。 对于启用了流的表，数据事件中的 `resources` 字段同时包含 `AWS::DynamoDB::Stream` 和 `AWS::DynamoDB::Table`。如果您为 `resources.type` 指定 `AWS::DynamoDB::Table`，则原定设置情况下，它将同时记录 DynamoDB 表和 DynamoDB 流事件。要排除[流事件](https://docs.amazonaws.cn/amazondynamodb/latest/developerguide/logging-using-cloudtrail.html#ddb-data-plane-events-in-cloudtrail)，请对 `eventName` 字段添加筛选条件。   | DynamoDB | `AWS::DynamoDB::Table`  | 
| Amazon DynamoDB | 针对流的 [Amazon DynamoDB](https://docs.amazonaws.cn/amazondynamodb/latest/developerguide/logging-using-cloudtrail.html#ddb-data-plane-events-in-cloudtrail) API 活动 | DynamoDB Streams | AWS::DynamoDB::Stream | 
| Amazon Elastic Block Store | [亚马逊 Elastic Block Store (EBS) Direc](https://docs.amazonaws.cn/ebs/latest/userguide/logging-ebs-apis-using-cloudtrail.html) t APIs，例如`PutSnapshotBlock`、`GetSnapshotBlock`和在`ListChangedBlocks`亚马逊 EBS 快照上。 | 亚马逊 EBS direct APIs | AWS::EC2::Snapshot | 
| Amazon Elastic Compute Cloud | Amazon EC2 Instance Connect 端点 API 活动。 | **EC2 实例连接终端节点** | `AWS::EC2::InstanceConnectEndpoint` | 
| Amazon Elastic Container Service | 对容器实例的 Amazon Elastic Container Service API 活动。 | ECS 容器实例 | AWS::ECS::ContainerInstance | 
| Amazon Elastic Kubernetes Service | 对控制面板的 Amazon Elastic Kubernetes Service API 活动。 | Amazon Elastic Kubernetes Service 控制面板 | AWS::EKS::Dashboard | 
| Amazon EMR | 预写日志工作区上的 [Amazon EMR API 活动](https://docs.amazonaws.cn/emr/latest/ManagementGuide/logging-using-cloudtrail.html#cloudtrail-data-events)。 | EMR 预写日志工作空间 | AWS::EMRWAL::Workspace | 
| Amazon 最终用户消息 SMS | Amazon 关于原始身份@@ [的最终用户消息 SMS](https://docs.amazonaws.cn/sms-voice/latest/userguide/logging-using-cloudtrail.html#cloudtrail-data-events) API 活动。 | SMS 语音发起身份 | AWS::SMSVoice::OriginationIdentity | 
| Amazon 最终用户消息 SMS | [Amazon 最终用户消息 SMS](https://docs.amazonaws.cn/sms-voice/latest/userguide/logging-using-cloudtrail.html#cloudtrail-data-events) API 对消息的活动。 | 短信语音消息 | AWS::SMSVoice::Message | 
| Amazon 最终用户消息社交 | Amazon 电话号码上的@@ [最终用户消息社交](https://docs.amazonaws.cn/social-messaging/latest/userguide/logging-using-cloudtrail.html#cloudtrail-data-events) API 活动 IDs。 | 社交消息电话号码 ID | AWS::SocialMessaging::PhoneNumberId | 
| Amazon 最终用户消息社交 | Amazon Waba IDs 上的 “最终用户消息” 社交 API 活动。 | 社交消息 Waba ID | AWS::SocialMessaging::WabaId | 
| Amazon FinSpace | 针对环境的 [Amazon FinSpace](https://docs.amazonaws.cn/finspace/latest/userguide/logging-cloudtrail-events.html#finspace-dataplane-events) API 活动 | FinSpace | AWS::FinSpace::Environment | 
| Amazon GameLift 直播 | Amazon GameLift [流式传输应用程序上的 API 活动](https://docs.amazonaws.cn/gameliftstreams/latest/developerguide/logging-using-cloudtrail.html#cloudtrail-data-events)。 | GameLift 直播应用程序 | AWS::GameLiftStreams::Application | 
| Amazon GameLift 直播 | Amazon GameLift Streams [直播直播群组上的 API 活动](https://docs.amazonaws.cn/gameliftstreams/latest/developerguide/logging-using-cloudtrail.html#cloudtrail-data-events)。 | GameLift 直播群组 | AWS::GameLiftStreams::StreamGroup | 
| Amazon Glue | Amazon Glue 在 Lake Formation 创建的表格上的 API 活动。 | Lake Formation | AWS::Glue::Table | 
| Amazon GuardDuty | [探测器 GuardDuty ](https://docs.amazonaws.cn/guardduty/latest/ug/logging-using-cloudtrail.html#guardduty-data-events-in-cloudtrail)的 Amazon API 活动。 | GuardDuty 探测器 | AWS::GuardDuty::Detector | 
| Amazon HealthImaging | Amazon HealthImaging 数据存储上的 API 活动。 | MedicalImaging 数据存储 | AWS::MedicalImaging::Datastore | 
| Amazon HealthImaging | Amazon HealthImaging 图像集 API 活动。 | **MedicalImaging 图像集** | `AWS::MedicalImaging::Imageset` | 
| Amazon IoT | Amazon IoT [证书](https://docs.amazonaws.cn/iot/latest/developerguide/x509-client-certs.html)上@@ [的 API 活动](https://docs.amazonaws.cn/greengrass/v2/developerguide/logging-using-cloudtrail.html#greengrass-data-events-cloudtrail)。 | IoT 证书 | AWS::IoT::Certificate | 
| Amazon IoT | [Amazon IoT API 在[事物](https://docs.amazonaws.cn/iot/latest/developerguide/thing-registry.html)上的活动](https://docs.amazonaws.cn/greengrass/v2/developerguide/logging-using-cloudtrail.html#greengrass-data-events-cloudtrail)。 | IoT 事物 | AWS::IoT::Thing | 
| Amazon IoT Greengrass Version 2 | 组件版本上来自 Greengrass 核心设备的 [Greengrass API 活动](https://docs.amazonaws.cn/greengrass/v2/developerguide/logging-using-cloudtrail.html#greengrass-data-events-cloudtrail)。 Greengrass 不会记录访问被拒绝事件。 | IoT Greengrass 组件版本 | AWS::GreengrassV2::ComponentVersion | 
| Amazon IoT Greengrass Version 2 | 部署上来自 Greengrass 核心设备的 [Greengrass API 活动](https://docs.amazonaws.cn/greengrass/v2/developerguide/logging-using-cloudtrail.html#greengrass-data-events-cloudtrail)。 Greengrass 不会记录访问被拒绝事件。 | IoT Greengrass 部署 | AWS::GreengrassV2::Deployment | 
| Amazon IoT SiteWise | [资产](https://docs.amazonaws.cn/iot-sitewise/latest/APIReference/API_CreateAsset.html)上的@@ [物联网 SiteWise API 活动](https://docs.amazonaws.cn/iot-sitewise/latest/userguide/logging-using-cloudtrail.html#service-name-data-events-cloudtrail)。 | 物联网 SiteWise 资产 | AWS::IoTSiteWise::Asset | 
| Amazon IoT SiteWise | [时间序列](https://docs.amazonaws.cn/iot-sitewise/latest/APIReference/API_DescribeTimeSeries.html)上的@@ [物联网 SiteWise API 活动](https://docs.amazonaws.cn/iot-sitewise/latest/userguide/logging-using-cloudtrail.html#service-name-data-events-cloudtrail)。 | 物联网 SiteWise 时间序列 | AWS::IoTSiteWise::TimeSeries | 
| Amazon IoT SiteWise 助手 | 对对话的 Sitewise Assistant API 活动 | Sitewise Assistant 对话 | AWS::SitewiseAssistant::Conversation | 
| Amazon IoT TwinMaker | [实体](https://docs.amazonaws.cn/iot-twinmaker/latest/apireference/API_CreateEntity.html)上的物联网 TwinMaker API 活动。 | 物联网 TwinMaker 实体 | AWS::IoTTwinMaker::Entity | 
| Amazon IoT TwinMaker | [工作空间](https://docs.amazonaws.cn/iot-twinmaker/latest/apireference/API_CreateWorkspace.html)上 TwinMaker 的 IoT API 活动。 | 物联网 TwinMaker 工作空间 | AWS::IoTTwinMaker::Workspace | 
| Amazon Kendra Intelligent Ranking | 针对[重新评分执行计划](https://docs.amazonaws.cn/kendra/latest/dg/cloudtrail-intelligent-ranking.html#cloud-trail-intelligent-ranking-log-entry)的 Amazon Kendra Intelligent Ranking API 活动。 | Kendra 排名 | AWS::KendraRanking::ExecutionPlan | 
| Amazon Keyspaces（Apache Cassandra 兼容） | 表上的 [Amazon Keyspaces API 活动](https://docs.amazonaws.cn/keyspaces/latest/devguide/logging-using-cloudtrail.html#keyspaces-in-cloudtrail-dml)。 | Cassandra 表 | AWS::Cassandra::Table | 
| Amazon Keyspaces（Apache Cassandra 兼容） | 对 Cassandra CDC 流的 Amazon Keyspaces（Apache Cassandra 兼容）API 活动。 | Cassandra CDC 流 | AWS::Cassandra::Stream | 
| Amazon Kinesis Data Streams | [流](https://docs.amazonaws.cn/streams/latest/dev/working-with-streams.html)上的 Kinesis Data Streams API 活动。 | Kinesis 流 | AWS::Kinesis::Stream | 
| Amazon Kinesis Data Streams | [流使用者的](https://docs.amazonaws.cn/streams/latest/dev/building-consumers.html)上的 Kinesis Data Streams API 活动。 | Kinesis 流使用者 | AWS::Kinesis::StreamConsumer | 
| Amazon Kinesis Video Streams | 视频流上的 Kinesis Video Streams API 活动，例如调用 GetMedia 和 PutMedia。 | Kinesis 视频流 | AWS::KinesisVideo::Stream | 
| Amazon Kinesis Video Streams | Kinesis Video Streams 视频信令通道 API 活动。 | **Kinesis 视频信令通道** | `AWS::KinesisVideo::SignalingChannel` | 
| Amazon Lambda | Amazon Lambda 函数执行活动（`Invoke`API）。 | Lambda | AWS::Lambda::Function | 
| Amazon Location 映射 | Amazon Location 地图 API 活动。 | 地理地图 | AWS::GeoMaps::Provider | 
| Amazon Location 位数 | Amazon Location 地点 API 活动。 | 地理地点 | AWS::GeoPlaces::Provider | 
| Amazon Location 路线 | Amazon Location 路线 API 活动。 | 地理路线 | AWS::GeoRoutes::Provider | 
| Amazon Machine Learning | 机器学习模型上的机器学习 API 活动。 | 匹配学习 MlModel | AWS::MachineLearning::MlModel | 
| Amazon Managed Blockchain | 针对网络的 Amazon Managed Blockchain API 活动。 | 托管区块链网络 | AWS::ManagedBlockchain::Network | 
| Amazon Managed Blockchain | 针对 Ethereum 节点的 [Amazon Managed Blockchain](https://docs.amazonaws.cn/managed-blockchain/latest/ethereum-dev/logging-using-cloudtrail.html#ethereum-jsonrpc-logging) JSON-RPC 调用，如 `eth_getBalance` 或 `eth_getBlockByNumber`。 | 托管区块链 | AWS::ManagedBlockchain::Node | 
| Amazon Managed Blockchain 查询 | Amazon Managed Blockchain 查询 API 活动。 | Managed Blockchain 查询 | AWS::ManagedBlockchainQuery::QueryAPI | 
| Amazon Managed Workflows for Apache Airflow | 对环境的 Amazon MWAA API 活动。  | 托管 Apache Airflow | AWS::MWAA::Environment | 
| Amazon Neptune 图形 | Neptune Graph 上的数据 API 活动，例如查询、算法或向量搜索。 | Neptune 图形 | AWS::NeptuneGraph::Graph | 
| Amazon One Enterprise | 上的 Amazon One Enterprise UKey API 活动 | Amazon One UKey | AWS::One::UKey | 
| Amazon One Enterprise | 用户上的 Amazon One Enterprise API 活动。 | Amazon One 用户 | AWS::One::User | 
| Amazon Payment Cryptography | Amazon Payment Cryptography 别名上的 API 活动。 | Payment Cryptography 别名 | AWS::PaymentCryptography::Alias | 
| Amazon Payment Cryptography | Amazon Payment Cryptography 密钥上的 API 活动。 | Payment Cryptography 密钥 | AWS::PaymentCryptography::Key | 
| Amazon Pinpoint | 对移动定位应用程序的 Amazon Pinpoint API 活动。 | 移动定位应用程序 | AWS::Pinpoint::App | 
| Amazon 私有 CA | Amazon 私有 CA 活动目录 API 活动的连接器。 | Amazon 私有 CA 活动目录连接器 | AWS::PCAConnectorAD::Connector | 
| Amazon 私有 CA | Amazon 私有 CA 用于 SCEP API 活动的连接器。 | Amazon 私有 CA 适用于 SCEP 的连接器 | AWS::PCAConnectorSCEP::Connector | 
| Amazon Q 应用程序构建器 | [Amazon Q 应用程序构建器](https://docs.amazonaws.cn/amazonq/latest/qbusiness-ug/purpose-built-qapps.html)上的数据 API 活动。 | Amazon Q 应用程序构建器 | AWS::QApps::QApp | 
| Amazon Q 应用程序构建器 | 对 Amazon Q 应用程序构建器会话的数据 API 活动。 | Amazon Q 应用程序构建器会话 | AWS::QApps::QAppSession | 
| Amazon Q Business | 应用程序上的 [Amazon Q Business API 活动](https://docs.amazonaws.cn/amazonq/latest/business-use-dg/logging-using-cloudtrail.html#service-name-data-plane-events-cloudtrail)。 | Amazon Q Business 应用程序 | AWS::QBusiness::Application | 
| Amazon Q Business | 数据来源上的 [Amazon Q Business API 活动](https://docs.amazonaws.cn/amazonq/latest/business-use-dg/logging-using-cloudtrail.html#service-name-data-plane-events-cloudtrail)。 | Amazon Q Business 数据来源 | AWS::QBusiness::DataSource | 
| Amazon Q Business | 索引上的 [Amazon Q Business API 活动](https://docs.amazonaws.cn/amazonq/latest/business-use-dg/logging-using-cloudtrail.html#service-name-data-plane-events-cloudtrail)。 | Amazon Q Business 索引 | AWS::QBusiness::Index | 
| Amazon Q Business | Web 体验上的 [Amazon Q Business API 活动](https://docs.amazonaws.cn/amazonq/latest/business-use-dg/logging-using-cloudtrail.html#service-name-data-plane-events-cloudtrail)。 | Amazon Q Business Web 体验 | AWS::QBusiness::WebExperience | 
| Amazon Q Business  | Amazon Q Business 集成 API 活动。 | **Amazon Q Business 集成** | `AWS::QBusiness::Integration` | 
| Amazon Q 开发者版 | 对集成的 Amazon Q 开发者版 API 活动。 | Q 开发者版集成 | AWS::QDeveloper::Integration | 
| Amazon Q 开发者版 | 对操作调查的 [Amazon Q 开发者版 API 活动](https://docs.amazonaws.cn/AmazonCloudWatch/latest/monitoring/logging_cw_api_calls.html#Q-Developer-Investigations-Cloudtrail)。 | AIOps 调查组 | AWS::AIOps::InvestigationGroup | 
| Amazon 快速 | 操作连接器上的 Amazon Quick API 活动。 | Amazon QuickSuite 操作 | AWS::Quicksight::ActionConnector | 
| Amazon 快速 | 亚马逊 Quick Flow API 活动。 | **QuickSight 流动** | `AWS::QuickSight::Flow` | 
| Amazon 快速 | 亚马逊 Quick FlowSession API 活动。 | **QuickSight 流程会话** | `AWS::QuickSight::FlowSession` | 
| 亚马逊 SageMaker AI |  终端节点上的亚马逊 SageMaker AI [https://docs.amazonaws.cn/sagemaker/latest/APIReference/API_runtime_InvokeEndpointWithResponseStream.html](https://docs.amazonaws.cn/sagemaker/latest/APIReference/API_runtime_InvokeEndpointWithResponseStream.html)活动。 | SageMaker AI 端点 | AWS::SageMaker::Endpoint | 
| 亚马逊 SageMaker AI | 特色商店上的 SageMaker Amazon AI API 活动。 | SageMaker AI feature store | AWS::SageMaker::FeatureGroup | 
| 亚马逊 SageMaker AI | Amazon SageMaker AI API 在[实验试验组件](https://docs.amazonaws.cn/sagemaker/latest/dg/experiments-monitoring.html)上的活动。 | SageMaker AI 指标实验试用组件 | AWS::SageMaker::ExperimentTrialComponent | 
| 亚马逊 SageMaker AI | 亚马逊 SageMaker AI MLflow API 活动。 | **SageMaker MLflow** | `AWS::SageMaker::MlflowTrackingServer` | 
| Amazon Signer | 对签名作业的签署人 API 活动。 | 签署人签名作业 | AWS::Signer::SigningJob | 
| Amazon Signer | 对签名配置文件的签署人 API 活动。 | 签署人签名配置文件 | AWS::Signer::SigningProfile | 
| Amazon Simple Email Service | 对配置集的 Amazon Simple Email Service（Amazon SES）API 活动。 | SES 配置集 | AWS::SES::ConfigurationSet | 
| Amazon Simple Email Service | 对电子邮件身份的 Amazon Simple Email Service（Amazon SES）API 活动。 | SES 身份 | AWS::SES::EmailIdentity | 
| Amazon Simple Email Service | 对模板的 Amazon Simple Email Service（Amazon SES）API 活动。 | SES 模板 | AWS::SES::Template | 
| Amazon SimpleDB | 对域的 Amazon SimpleDB API 活动。 | SimpleDB 域 | AWS::SDB::Domain | 
| Amazon Step Functions | 对活动的 [Step Functions API 活动](https://docs.amazonaws.cn/step-functions/latest/dg/procedure-cloud-trail.html#cloudtrail-data-events)。  | Step Function | AWS::StepFunctions::Activity | 
| Amazon Step Functions | 对状态机的 [Step Functions API 活动](https://docs.amazonaws.cn/step-functions/latest/dg/procedure-cloud-trail.html#cloudtrail-data-events)。  | Step Functions 状态机 | AWS::StepFunctions::StateMachine | 
| Amazon Systems Manager | 控制通道上的 [Systems Manager API 活动](https://docs.amazonaws.cn/systems-manager/latest/userguide/monitoring-cloudtrail-logs.html#cloudtrail-data-events)。 | Systems Manager (系统管理员) | AWS::SSMMessages::ControlChannel | 
| Amazon Systems Manager | 对影响评测的 Systems Manager API 活动。 | SSM 影响评测 | AWS::SSM::ExecutionPreview | 
| Amazon Systems Manager | 托管节点上的 [Systems Manager API 活动](https://docs.amazonaws.cn/systems-manager/latest/userguide/monitoring-cloudtrail-logs.html#cloudtrail-data-events)。 | Systems Manager 托管式节点 | AWS::SSM::ManagedNode | 
| Amazon Timestream | 针对数据库的 Amazon Timestream [https://docs.amazonaws.cn/timestream/latest/developerguide/API_query_Query.html](https://docs.amazonaws.cn/timestream/latest/developerguide/API_query_Query.html) API 活动。 | Timestream 数据库 | AWS::Timestream::Database | 
| Amazon Timestream | 对区域性端点的 Amazon Timestream API 活动。 | Timestream 区域性端点 | AWS::Timestream::RegionalEndpoint | 
| Amazon Timestream | 针对表的 Amazon Timestream [https://docs.amazonaws.cn/timestream/latest/developerguide/API_query_Query.html](https://docs.amazonaws.cn/timestream/latest/developerguide/API_query_Query.html) API 活动。 | Timestream 表 | AWS::Timestream::Table | 
| Amazon Verified Permissions | 针对策略存储的 Amazon Verified Permissions API 活动。 | Amazon Verified Permissions | AWS::VerifiedPermissions::PolicyStore | 
| Amazon WorkSpaces 瘦客户机 | WorkSpaces 设备上的瘦客户端 API 活动。 | 瘦客户端设备 | AWS::ThinClient::Device | 
| Amazon WorkSpaces 瘦客户机 | WorkSpaces 环境中的瘦客户端 API 活动。 | 瘦客户端环境 | AWS::ThinClient::Environment | 
| Amazon X-Ray | [跟踪](https://docs.amazonaws.cn/xray/latest/devguide/xray-concepts.html#xray-concepts-traces)的 [X-Ray API 活动](https://docs.amazonaws.cn/xray/latest/devguide/xray-api-cloudtrail.html#cloudtrail-data-events)。 | X-Ray 跟踪 | AWS::XRay::Trace | 
| Amazon AIDev Ops | AIDev代理空间上的 Ops API 活动。 | 特工空间 | AWS::AIDevOps::AgentSpace | 
| Amazon AIDev Ops | AIDevOps API 关于关联的活动。 | AIDev行动协会 | AWS::AIDevOps::Association | 
| Amazon AIDev Ops | AIDev运营商应用团队的 Ops API 活动。 | AIDevOps 操作员应用程序团队 | AWS::AIDevOps::OperatorAppTeam | 
| Amazon AIDev Ops | AIDev管道元数据上的 Ops API 活动。 | AIDev运营管道元数据 | AWS::AIDevOps::PipelineMetadata | 
| Amazon AIDev Ops | AIDevOps API 在服务上的活动。 | AIDevOps 服务 | AWS::AIDevOps::Service | 
| Amazon Bedrock | 高级优化提示作业上的 Bedrock API 活动。 | AdvancedOptimizePromptJob | AWS::Bedrock::AdvancedOptimizePromptJob | 
| Amazon Bedrock AgentCore | 评估者身上 AgentCore 的 Bedrock API 活动。 | Bedrock-评估者 AgentCore  | AWS::BedrockAgentCore::Evaluator | 
| 亚马逊成本优化 | CloudOptimization 个人资料上的 API 活动。 | CloudOptimization 配置文件 | AWS::CloudOptimization::Profile | 
| 亚马逊成本优化 | CloudOptimization 针对推荐的 API 活动。 | CloudOptimization 建议 | AWS::CloudOptimization::Recommendation | 
| Amazon GuardDuty | GuardDuty 恶意软件扫描时的 API 活动。 | GuardDuty 恶意软件扫描 | AWS::GuardDuty::MalwareScan | 
| Amazon NovaAct | 亚马逊 NovaAct API 在工作流程定义方面的活动。 | 工作流程定义 | AWS::NovaAct::WorkflowDefinition | 
| Amazon NovaAct | 工作流程运行时亚马逊 NovaAct API 活动。 | 工作流程运行 | AWS::NovaAct::WorkflowRun | 
| Amazon Redshift | 集群上的 Redshift API 活动。 | 亚马逊 Redshift 集群 | AWS::Redshift::Cluster | 
| Amazon Support | SupportAccess 针对租户的 API 活动。 | SupportAccess 租户 | AWS::SupportAccess::Tenant | 
| Amazon Support | SupportAccess 信任账户上的 API 活动。 | SupportAccess 信任账户 | AWS::SupportAccess::TrustingAccount | 
| Amazon Support | SupportAccess 信任角色上的 API 活动。 | SupportAccess 信任角色 | AWS::SupportAccess::TrustingRole | 
| 亚马逊转型 | 转换代理实例上的 API 活动。 | 转换代理实例 | AWS::Transform::AgentInstance | 
| Amazon 自定义转换 | 转换广告活动中的自定义 API 活动。 | 变身定制战役 | AWS::TransformCustom::Campaign | 
| Amazon 自定义转换 | 转换对话中的自定义 API 活动。 | 转换-自定义对话 | AWS::TransformCustom::Conversation | 
| Amazon 自定义转换 | 转换知识项上的自定义 API 活动。 | 变换-自定义知识项目 | AWS::TransformCustom::KnowledgeItem | 
| Amazon 自定义转换 | 转换包上的自定义 API 活动。 | 变换-自定义软件包 | AWS::TransformCustom::Package | 

默认情况下，在您创建跟踪或事件数据存储时，未记录数据事件。要记录 CloudTrail 数据事件，必须明确添加要为其收集活动的每种资源类型。有关记录事件数据的更多信息，请参阅[记录数据事件](logging-data-events-with-cloudtrail.md)。

记录数据事件将收取额外费用。有关 CloudTrail 定价，请参阅[Amazon CloudTrail 定价](https://www.amazonaws.cn/cloudtrail/pricing/)。

### 网络活动事件
<a name="cloudtrail-concepts-network-events"></a>

CloudTrail 网络活动事件使 VPC 终端节点所有者能够记录使用其 VPC 终端节点从私有 VPC 到的 Amazon API 调用 Amazon Web Services 服务。通过网络活动事件，可以了解在 VPC 中执行的资源操作。

您可以记录以下服务的网络活动事件：
+ Amazon AppConfig
+ Amazon App Mesh
+ Amazon Athena
+ Amazon B2B Data Interchange
+ Amazon Backup gateway
+ Amazon Bedrock
+ 账单和成本管理
+ Amazon 定价计算器
+ Amazon Cost Explorer
+ Amazon 云端控制 API
+ Amazon CloudHSM
+ Amazon Cloud Map
+ Amazon CloudFormation
+ Amazon CloudTrail
+ Amazon CloudWatch
+ CloudWatch 应用程序信号
+ Amazon CodeDeploy
+ Amazon Comprehend Medical
+ Amazon Config
+ Amazon Data Exports
+ Amazon Data Firehose
+ Amazon Directory Service
+ Amazon DynamoDB
+ Amazon EC2
+ Amazon Elastic Container Service
+ Amazon Elastic File System
+ Elastic Load Balancing
+ Amazon EventBridge
+ Amazon EventBridge 日程安排
+ Amazon Fraud Detector
+ Amazon Web Services 中国区免费套餐
+ Amazon FSx
+ Amazon Glue
+ Amazon HealthLake
+ Amazon IoT FleetWise
+ Amazon IoT Secure Tunneling
+ Amazon Web Services 开票
+ Amazon Keyspaces（Apache Cassandra 兼容）
+ Amazon KMS
+ Amazon Lake Formation
+ Amazon Lambda
+ Amazon License Manager
+ Amazon Lookout for Equipment
+ Amazon Lookout for Vision
+ Amazon Personalize
+ Amazon Q Business
+ Amazon Rekognition
+ Amazon Relational Database Service
+ Amazon S3
**注意**  
不支持 [Amazon S3 多区域接入点](https://docs.amazonaws.cn/AmazonS3/latest/userguide/MultiRegionAccessPointRequests.html)。
+ 亚马逊 SageMaker AI
+ Amazon Secrets Manager
+ Amazon Simple Notification Service
+ Amazon Simple Queue Service
+ Amazon Simple Workflow Service
+ Amazon Storage Gateway
+ Amazon Systems Manager Incident Manager
+ Amazon Textract
+ Amazon Transcribe
+ Amazon Translate
+ Amazon Transform
+ Amazon Verified Permissions
+ Amazon WorkMail

默认情况下，在您创建跟踪或事件数据存储时，未记录网络活动事件。要记录 CloudTrail 网络活动事件，必须明确设置要为其收集活动的事件源。有关更多信息，请参阅 [记录网络活动事件](logging-network-events-with-cloudtrail.md)。

记录网络活动事件将收取额外费用。有关 CloudTrail 定价，请参阅[Amazon CloudTrail 定价](https://www.amazonaws.cn/cloudtrail/pricing/)。

### Insights 事件
<a name="cloudtrail-concepts-insights-events"></a>

CloudTrail Insights 事件通过分析 CloudTrail 管理活动来捕获您 Amazon 账户中异常的 API 调用率或错误率活动。Insights 事件提供相关信息，例如关联的 API、错误代码、事件时间和统计数据，以帮助您了解异常活动并对其采取措施。与在 CloudTrail 跟踪或事件数据存储中捕获的其他类型的事件不同，Insights 事件仅在 CloudTrail 检测到您的账户 API 使用情况或错误率记录的变化与账户的典型使用模式明显不同时，才会记录 Insights 事件。有关更多信息，请参阅 [使用见 CloudTrail 解](logging-insights-events-with-cloudtrail.md)。

可能生成 Insights 事件的活动的示例包括：
+ 您的账户通常每分钟记录不超过 20 次 Amazon S3 `deleteBucket` API 调用，但是您的账户一开始就平均每分钟记录 100 次 `deleteBucket` API 调用。在异常活动开始时记录一个 Insights 事件，并记录另一个见解事件以标记异常活动的结束。
+ 您的账户通常每分钟记录 20 次对 Amazon EC2 `AuthorizeSecurityGroupIngress` API 的调用，但是您的账户开始记录对 `AuthorizeSecurityGroupIngress` 的零次调用。在异常活动开始时记录一个 Insights 事件，10 分钟后，当异常活动结束时，将记录另一个 Insights 事件以标记异常活动的结束。
+ 您的账户七天内对 Amazon Identity and Access Management API、`DeleteInstanceProfile` 记录的 `AccessDeniedException` 错误通常不到一个。你的账户开始对 `DeleteInstanceProfile` API 调用每分钟平均记录 12 个 `AccessDeniedException` 错误。在异常错误率活动开始时记录一个 Insights 事件，并记录另一个 Insights 事件以标记异常活动的结束。

这些示例仅用于说明用途。根据您的使用案例，您的结果可能会有所不同。

要记录 CloudTrail Insights 事件，您必须在新的或现有的跟踪或事件数据存储上明确启用 Insights 事件。有关创建跟踪的更多信息，请参阅[使用 CloudTrail 控制台创建跟踪](cloudtrail-create-a-trail-using-the-console-first-time.md)。有关创建事件数据存储的更多信息，请参阅[使用控制台为 Insights 事件创建事件数据存储](query-event-data-store-insights.md)。

将对 Insights 事件收取额外费用。如果您同时为跟踪和事件数据存储启用 Insights，则需要单独付费。有关更多信息，请参阅[Amazon CloudTrail 定价](https://www.amazonaws.cn/cloudtrail/pricing/)。

## 事件历史
<a name="cloudtrail-concepts-event-history"></a>

CloudTrail 事件历史记录提供了过去 90 天中管理事件的可查看、可搜索、可下载且不可变的 CloudTrail 记录。 Amazon Web Services 区域您可以使用此历史记录在 Amazon Web Services 管理控制台、 Amazon SDKs、命令行工具和其他 Amazon 服务中查看您的 Amazon 账户中执行的操作。您可以通过选择显示哪些列来自定义 CloudTrail 控制台中的事件历史记录视图。有关更多信息，请参阅 [处理 CloudTrail 事件历史记录](view-cloudtrail-events.md)。

## 跟踪
<a name="cloudtrail-concepts-trails"></a>

跟踪是一种配置，允许将 CloudTrail 事件传输到 S3 存储桶，也可以选择传送到 L [CloudWatch ogs 和 A](send-cloudtrail-events-to-cloudwatch-logs.md) [mazon EventBridge](cloudtrail-aws-service-specific-topics.md#cloudtrail-aws-service-specific-topics-eventbridge)。您可以使用跟踪来选择要传送 CloudTrail 的事件，使用密 Amazon KMS 钥加密 CloudTrail 事件日志文件，以及为日志文件传输设置 Amazon SNS 通知。有关如何创建和管理跟踪的更多信息，请参阅[为您创建路线 Amazon Web Services 账户](cloudtrail-create-and-update-a-trail.md)。

### 多区域和单区域跟踪
<a name="cloudtrail-concepts-regional-and-global-services"></a>

您可以为您的 Amazon Web Services 账户创建多区域和单区域跟踪。

**多区域跟踪**  
当您创建多区域跟踪时，会 CloudTrail 记录所有[已启 Amazon Web Services 区域](https://docs.amazonaws.cn/accounts/latest/reference/manage-acct-regions.html#manage-acct-regions-enable-standalone)用的事件， Amazon Web Services 账户 并将 CloudTrail 事件日志文件传送到您指定的 S3 存储桶。作为最佳实践，我们建议您创建多区域跟踪，因为它能够捕获所有已启用区域中的活动。使用 CloudTrail 控制台创建的所有跟踪均为多区域跟踪。您可以使用将单区域跟踪转换为多区域跟踪。 Amazon CLI有关更多信息，请参阅 [了解多区域跟踪和选择加入区域](cloudtrail-multi-region-trails.md)、[使用控制台创建跟踪](cloudtrail-create-a-trail-using-the-console-first-time.md#creating-a-trail-in-the-console) 和 [将单区域跟踪转换为多区域跟踪](cloudtrail-create-and-update-a-trail-by-using-the-aws-cli-update-trail.md#cloudtrail-create-and-update-a-trail-by-using-the-aws-cli-examples-convert)。

**单区域跟踪**  
创建单区域跟踪时，仅 CloudTrail 记录该区域的事件。然后，它 CloudTrail 会将事件日志文件传送到您指定的 Amazon S3 存储桶。您只能使用 Amazon CLI创建单区域跟踪。如果您创建其他单个跟踪，则可以让这些跟踪将 CloudTrail 事件日志文件传送到同一 S3 存储桶或单独的存储桶。这是您使用 Amazon CLI 或 CloudTrail API 创建跟踪时的默认选项。有关更多信息，请参阅 [使用创建、更新和管理跟踪 Amazon CLI](cloudtrail-create-and-update-a-trail-by-using-the-aws-cli.md)。

**注意**  
对于这两种类型的跟踪，您可以在任何区域中指定 Amazon S3 存储桶。

多区域跟踪具有以下优势：
+ 跟踪的配置设置一致地应用于所有[已启用的](https://docs.amazonaws.cn/accounts/latest/reference/manage-acct-regions.html)轨迹 Amazon Web Services 区域。
+ 您可以在单个 Amazon S3 存储桶 Amazon Web Services 区域 中接收所有已启用的 CloudTrail 事件，也可以从 CloudWatch 日志日志组中接收事件。
+ 您可以 Amazon Web Services 区域 从一个位置管理所有启用的跟踪配置。

创建多区域跟踪会产生以下影响：
+ CloudTrail 将所有[已启](https://docs.amazonaws.cn/accounts/latest/reference/manage-acct-regions.html)用的账户活动日志文件传输 Amazon Web Services 区域 到您指定的单个 Amazon S3 存储桶，也可以传输到 CloudWatch 日志日志组。
+ 如果您为跟踪配置了 Amazon SNS 主题，则有关全部启用 Amazon Web Services 区域 日志文件传输的 SNS 通知将发送到该单个 SNS 主题。
+ 您可以看到多区域跟踪已全部启用 Amazon Web Services 区域，但只能在创建该跟踪的原始区域中修改该跟踪。

无论跟踪是多区域还是单区域，发送到 Ama EventBridge zon 的事件都会在每个区域的事件总线中接收，而不是在单个[事件总线](https://docs.amazonaws.cn/eventbridge/latest/userguide/eb-event-bus.html)中接收。

#### 每区域多个跟踪记录
<a name="cloudtrail-concepts-trails-multiple-trails-per-region"></a>

如果您拥有不同但相关的用户组，例如开发人员、安全人员和 IT 审计人员，您可以为每个区域创建多个跟踪记录。这可使每个组均接收各自的日志文件副本。

CloudTrail 每个区域支持五条跟踪。多区域跟踪计为每个区域一个跟踪。

以下是具有五个跟踪的区域的示例：
+ 您在美国西部（北加利福尼亚）区域创建了两个仅适用于此区域的跟踪记录。
+ 您在美国西部（北加利福尼亚）区域创建了另外两个多区域跟踪。
+ 您在亚太地区（悉尼）区域创建了另一个多区域跟踪。此跟踪也作为美国西部（北加利福尼亚）区域中的跟踪存在。

您可以在 CloudTrail 控制台的 Trails 页面 Amazon Web Services 区域 中查看**跟踪**列表。有关更多信息，请参阅 [使用 CloudTrail 控制台更新跟踪](cloudtrail-update-a-trail-console.md)。有关 CloudTrail 定价，请参阅[Amazon CloudTrail 定价](https://www.amazonaws.cn/cloudtrail/pricing/)。

## 组织跟踪
<a name="cloudtrail-concepts-trails-org"></a>

组织跟踪是一种配置，允许将管理账户和 Amazon Organizations 组织中所有成员账户中的 CloudTrail 事件传送到同一 Amazon S3 存储桶、 CloudWatch 日志和 Amazon EventBridge。创建组织跟踪可帮助您为组织定义统一的事件记录策略。

使用控制台创建的所有组织跟踪都是多区域组织跟踪，用于记录组织 Amazon Web Services 区域 中每个成员账户中[已启用的](https://docs.amazonaws.cn/accounts/latest/reference/manage-acct-regions.html#manage-acct-regions-enable-organization)事件。要记录组织中所有 Amazon 分区中的事件，请在每个分区中创建多区域组织跟踪。您可以通过使用 Amazon CLI创建单区域或多区域组织跟踪。如果您创建单区域跟踪，则只能在该跟踪 Amazon Web Services 区域 （也称为*主*区域）中记录活动。

尽管大多数区域默认 Amazon Web Services 区域 处于启用状态 Amazon Web Services 账户，但您必须手动启用某些区域（也称为可*选区域*）。有关默认启用哪些区域的信息，请参阅《*Amazon 账户管理 参考指南*》中的 [Considerations before enabling and disabling Regions](https://docs.amazonaws.cn/accounts/latest/reference/manage-acct-regions.html#manage-acct-regions-considerations)。有关 CloudTrail支持的区域列表，请参阅[CloudTrail 支持的区域](cloudtrail-supported-regions.md)。

当您创建组织跟踪时，将在属于您组织的成员账户中创建具有您所指定名称的跟踪副本。
+ 如果组织跟踪适用于**单区域**，而跟踪的主区域**不是选择加入区域**，则会在每个成员账户的组织跟踪主区域中创建该跟踪的副本。
+ 如果组织跟踪适用于**单区域**，而跟踪的主区域**不是选择加入区域**，则会在已启用该区域的成员账户中的组织跟踪主区域中创建该跟踪的副本。
+ 如果组织跟踪是**多区域**，并且跟踪的主区域**不是****可选区域，则**会在每个成员账户中启用的 Amazon Web Services 区域 每个跟踪中创建一个跟踪副本。当成员账户启用选择加入区域时，在激活该区域完成后，将在新选择加入的区域中为成员帐户创建多区域跟踪的副本。
+ 如果组织跟踪是**多区域**，而主区域**是****可选区域**，则成员账户将不会向组织跟踪发送活动，除非他们选择进入创建多区域跟踪 Amazon Web Services 区域 的地方。例如，如果您创建了多区域跟踪，并选择欧洲（西班牙）区域作为跟踪的主区域，则只有为其账户启用了欧洲（西班牙）区域的成员账户才会将其账户活动发送到组织跟踪。

**注意**  
CloudTrail 即使资源验证失败，也会在成员账户中创建组织跟踪。验证失败的示例包括：  
Amazon S3 存储桶策略不正确
Amazon SNS 主题策略不正确
无法传送到 CloudWatch 日志组
权限不足，无法使用 KMS 密钥进行加密
拥有 CloudTrail 权限的成员账户可以通过在 CloudTrail 控制台上查看跟踪的详细信息页面或运行 Amazon CLI [https://docs.amazonaws.cn/cli/latest/reference/cloudtrail/get-trail-status.html](https://docs.amazonaws.cn/cli/latest/reference/cloudtrail/get-trail-status.html)命令来查看组织跟踪的任何验证失败。

拥有成员账户 CloudTrail 权限的用户在从自己的账户登录 CloudTrail 控制台时或运行诸如（尽管成员 Amazon 账户在使用时必须使用 ARN 而不是名称）之类的 Amazon CLI 命令时，他们将能够看到组织跟踪`describe-trails`（包括跟踪 ARN）。 Amazon CLI但是，成员账户中的用户将没有足够的权限删除组织跟踪、启用和关闭日志记录、更改要记录的事件类型，或以任何其他方式更改组织跟踪。有关 Amazon Organizations的更多信息，请参阅 [Organizations 术语和概念](https://docs.amazonaws.cn/organizations/latest/userguide/orgs_getting-started_concepts.html)。有关创建和使用组织跟踪记录的更多信息，请参阅[为组织创建跟踪](creating-trail-organization.md)。

## CloudTrail 见解
<a name="understanding-insight-selectors"></a>

CloudTrail Insights 通过持续分析 CloudTrail 管理事件，帮助 Amazon 用户识别和响应异常数量的 API 调用或 API 调用中记录的错误。Insights 事件是异常级别的 `write` 管理 API 活动，或管理 API 活动返回的异常错误级别。默认情况下，跟踪和事件数据存储不记录 CloudTrail Insights 事件。在控制台中，您可以选择在创建或更新跟踪或事件数据存储时记录 Insights 事件。使用 CloudTrail API 时，您可以通过使用 [https://docs.amazonaws.cn/awscloudtrail/latest/APIReference/API_PutInsightSelectors.html](https://docs.amazonaws.cn/awscloudtrail/latest/APIReference/API_PutInsightSelectors.html)API 编辑现有跟踪或事件数据存储的设置来记录 Insights 事件。记录 CloudTrail Insights 事件需要支付额外费用。如果您同时为跟踪和事件数据存储启用 Insights，则需要单独付费。有关更多信息，请参阅 [使用见 CloudTrail 解](logging-insights-events-with-cloudtrail.md) 和 [Amazon CloudTrail 定价](https://www.amazonaws.cn/cloudtrail/pricing/)。

## 标签
<a name="cloudtrail-concepts-tags"></a>

标签是客户定义的密钥和可选值，可以分配给 Amazon 资源，例如 CloudTrail 跟踪、事件数据存储和频道、用于存储 CloudTrail 日志文件的 S3 存储桶、 Amazon Organizations 组织和组织单位等等。通过将相同的标签添加到跟踪和您用于存储跟踪记录的日志文件的 S3 存储桶，您可以更轻松地通过 [Amazon Resource Groups](https://docs.amazonaws.cn/ARG/latest/userguide/) 管理、搜索和筛选这些资源。您可以实施标记策略以帮助您持续、高效且轻松地查找和管理您的资源。有关更多信息，请参阅为[Amazon 资源添加标签的最佳实践](https://docs.amazonaws.cn/whitepapers/latest/tagging-best-practices/tagging-best-practices.html)。

## Amazon Security Token Service 和 CloudTrail
<a name="cloudtrail-concepts-sts-regionalization"></a>

Amazon Security Token Service (Amazon STS) 是一项具有全局终端节点的服务，还支持特定于区域的终端节点。端点是作为 Web 服务请求入口点的 URL。例如，`https://cloudtrail.us-west-2.amazonaws.com`是该 Amazon CloudTrail 服务的美国西部（俄勒冈）区域入口点。区域性端点可帮助减少应用程序中的延迟。

当您使用 Amazon STS 特定于区域的终端节点时，该区域中的跟踪仅传送该区域中发生 Amazon STS 的事件。例如，如果您使用端点 `sts.us-west-2.amazonaws.com`，则 us-west-2 中的跟踪仅传输源自 us-west-2 的 Amazon STS 事件。有关 Amazon STS 区域终端节点的更多信息，请参阅 *IAM 用户指南 Amazon STS *[中的在 Amazon 区域中激活和停用](https://docs.amazonaws.cn/IAM/latest/UserGuide/id_credentials_temp_enable-regions.html)。

有关 Amazon 区域终端节点的完整列表，请参阅中的[Amazon 区域和终端节点*Amazon Web Services 一般参考*](https://docs.amazonaws.cn/general/latest/gr/rande.html)。有关来自全局 Amazon STS 端点的事件的详细信息，请参阅[全球服务事件](#cloudtrail-concepts-global-service-events)。

## 全球服务事件
<a name="cloudtrail-concepts-global-service-events"></a>

**重要**  
自 2021 年 11 月 22 日起，亚马逊 CloudFront 活动仅在处理事件的区域（中国（宁夏）地区 cn-north Amazon CloudTrail west-1 上线。  
对于监控全球服务事件的跟踪，请务必将中国（北京）区域 cn-north-1 的*单区域跟踪*转换为*多区域跟踪*，以包括中国（宁夏）区域 cn-northwest-1 的事件。有关捕获 CloudFront 事件的更多信息，请参阅本节[启用和禁用全球服务事件记录](cloudtrail-create-and-update-a-trail-by-using-the-aws-cli-update-trail.md#cloudtrail-create-and-update-a-trail-by-using-the-aws-cli-examples-gses)后面的内容。

对于大多数服务，事件被记录在发生操作的区域。对于诸如 Amazon Identity and Access Management (IAM) 和 Amazon 之类的全球服务 CloudFront，事件会发送到包含全球服务的任何跟踪。 Amazon STS

对于大多数全球服务，事件记录为发生在中国（北京）区域，但有些全球服务事件记录为发生在中国（宁夏）区域。

要避免接收重复的全球服务事件，请注意：
+ 默认情况下，全局服务事件会传递到使用 CloudTrail 控制台创建的跟踪。事件传输到跟踪的存储桶中。
+ 如果您有多个单区域跟踪记录，可考虑将跟踪配置为只在其中一个跟踪记录中传输全球服务事件。有关更多信息，请参阅 [启用和禁用全球服务事件记录](cloudtrail-create-and-update-a-trail-by-using-the-aws-cli-update-trail.md#cloudtrail-create-and-update-a-trail-by-using-the-aws-cli-examples-gses)。
+ 如果将多区域跟踪转换为单区域跟踪，则该跟踪的全局服务事件日志记录将自动关闭。同样，如果您将单区域跟踪转换为多区域跟踪，则该跟踪的全局服务事件日志记录将自动启用。

  有关更改跟踪的全球服务事件日志记录的更多信息，请参阅[启用和禁用全球服务事件记录](cloudtrail-create-and-update-a-trail-by-using-the-aws-cli-update-trail.md#cloudtrail-create-and-update-a-trail-by-using-the-aws-cli-examples-gses)。

**示例**：

1. 您可以在 CloudTrail 控制台中创建跟踪。默认情况下，此跟踪将记录全球服务事件。

1. 您有多个单区域跟踪记录。

1. 您不需要为单区域跟踪记录包含全球服务。全球服务事件会提交给第一个跟踪。有关更多信息，请参阅 [使用创建、更新和管理跟踪 Amazon CLI](cloudtrail-create-and-update-a-trail-by-using-the-aws-cli.md)。

**注意**  
使用 Amazon CLI、 Amazon SDKs或 CloudTrail API 创建或更新跟踪时，您可以指定是包含还是排除跟踪的全局服务事件。您无法从 CloudTrail 控制台配置全局服务事件日志。