通过添加资源标签密钥和 IAM 全局条件键来丰富 CloudTrail 事件

在创建或更新事件数据存储时，您可以通过添加资源标签密钥、委托人标签密钥和 IAM 全局条件键来丰富 CloudTrail 管理事件和数据事件。这使您可以根据业务环境对 CloudTrail 事件进行分类、搜索和分析，例如成本分配和财务管理、运营和数据安全要求。您可以通过在 La CloudTrail ke 中运行查询来分析事件。您也可以选择联合您的事件数据存储并在 Amazon Athena 中运行查询。您可以使用CloudTrail 控制台、和，将资源标签密钥和 IAM 全局条件密钥添加到事件数据存储中 SDKs。Amazon CLI

向丰富事件添加资源标签密钥时， CloudTrail 包括与 API 调用中涉及的资源关联的选定标签密钥。

在向事件数据存储中添加 IAM 全局条件密钥时，会 CloudTrail 包含有关在授权过程中评估的所选条件密钥的信息，包括有关委托人、会话和请求本身的其他详细信息。

添加资源标签密钥或 IAM 条件键后，在 CloudTrail 事件中 CloudTrail 包含一个eventContext字段，该字段为 API 操作提供所选上下文信息。

在某些例外情况下，事件不包括该eventContext字段，包括：

Amazon Web Services 服务 支持资源标签

全部 Amazon Web Services 服务 支持资源标签。有关更多信息，请参阅支持的服务 Amazon Resource Groups Tagging API。

CloudTrail 为丰富活动更新了资源标签

配置为这样做时，会 CloudTrail 捕获有关资源标签的信息，并使用它们在丰富的事件中提供信息。在使用资源标签时，在某些情况下，在系统请求事件时，资源标签可能无法准确反映出来。在标准操作期间，在资源创建时应用的标签始终存在，并且延迟最小或根本没有延迟。但是，预计以下服务会延迟 CloudTrail 事件中出现的资源标签更改：

服务中断还可能导致资源标签信息的更新延迟。如果出现服务中断延迟，后续 CloudTrail 事件将包括一个addendum字段，其中包含有关资源标签更改的信息。这些附加信息将按规定用于提供丰富的信息CloudTrailevents。

Amazon Web Services 服务 支持 IAM 全局条件键

以下内容 Amazon Web Services 服务 支持丰富事件的 IAM 全局条件密钥：

支持用于丰富活动的 IAM 全局条件密钥

下表列出了针对 CloudTrail 丰富事件支持的 IAM 全局条件键以及示例值：

事件示例

在以下示例中，该eventContext字段包含值为 IAM 的全局条件密钥 aws:ViaAWSServicefalse，这表示 API 调用不是由进行的 Amazon Web Services 服务。

{
    "eventVersion": "1.11",
    "userIdentity": {
        "type": "AssumedRole",
        "principalId": "ASIAIOSFODNN7EXAMPLE",
        "arn": "arn:aws:sts::123456789012:assumed-role/admin",
        "accountId": "123456789012",
        "accessKeyId": "ASIAIOSFODNN7EXAMPLE",
        "sessionContext": {
            "sessionIssuer": {
                "type": "Role",
                "principalId": "ASIAIOSFODNN7EXAMPLE",
                "arn": "arn:aws:iam::123456789012:role/admin",
                "accountId": "123456789012",
                "userName": "admin"
            },
            "attributes": {
                "creationDate": "2025-01-22T22:05:56Z",
                "mfaAuthenticated": "false"
            }
        }
    },
    "eventTime": "2025-01-22T22:06:16Z",
    "eventSource": "cloudtrail.amazonaws.com",
    "eventName": "GetTrailStatus",
    "awsRegion": "us-east-1",
    "sourceIPAddress": "192.168.0.0",
    "userAgent": "Mozilla/5.0 (Macintosh; Intel Mac OS X 10.15; rv:133.0) Gecko/20100101 Firefox/133.0",
    "requestParameters": {
        "name": "arn:aws:cloudtrail:us-east-1:123456789012:trail/myTrail"
    },
    "responseElements": null,
    "requestID": "d09c4dd2-5698-412b-be7a-example1a23",
    "eventID": "9cb5f426-7806-46e5-9729-exampled135d",
    "readOnly": true,
    "eventType": "AwsApiCall",
    "managementEvent": true,
    "recipientAccountId": "123456789012",
    "eventCategory": "Management",
    "tlsDetails": {
        "tlsVersion": "TLSv1.3",
        "cipherSuite": "TLS_AES_128_GCM_SHA256",
        "clientProvidedHostHeader": "cloudtrail.us-east-1.amazonaws.com"
    },
    "sessionCredentialFromConsole": "true",
    "eventContext": {
        "requestContext": {
            "aws:ViaAWSService": "false"
        },
        "tagContext": {}
    }
}