Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异，请参阅 中国的 Amazon Web Services 服务入门 (PDF)。

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

将跟踪事件复制到事件数据存储

您可以将跟踪事件复制到 CloudTrail Lake 事件数据存储中，以创建记录到跟踪的事件的 point-in-time快照。复制跟踪的事件不会干扰跟踪记录事件的功能，也不会以任何方式修改跟踪。

您可以将跟踪事件复制到为事件配置的现有 CloudTrail 事件数据存储中，也可以创建新的 CloudTrail 事件数据存储并选择复制跟踪事件选项作为事件数据存储创建的一部分。有关将跟踪事件复制到现有事件数据存储的更多信息，请参阅使用控制台将跟踪事件复制到现有事件数据存储。有关创建新的事件数据存储的更多信息，请参阅使用控制台为事件创建 CloudTrail事件数据存储。

如果您要将跟踪事件复制到组织事件数据存储，则必须使用该组织的管理账户。您不能使用组织的委托管理员账户复制跟踪事件。

CloudTrail 湖泊事件数据存储会产生费用。创建事件数据存储时，您可以选择要用于事件数据存储的定价选项。定价选项决定了摄取和存储事件的成本，以及事件数据存储的默认和最长保留期。有关 CloudTrail 定价和管理 Lake 成本的信息，请参阅Amazon CloudTrail 定价和管理 CloudTrail 湖泊成本。

将跟踪事件复制到 CloudTrail Lake 事件数据存储时，会根据事件数据存储提取的未压缩数据量产生费用。

将跟踪事件复制到 CloudTrail Lake 时， CloudTrail 解压缩以 gzip（压缩）格式存储的日志，然后将日志中包含的事件复制到您的事件数据存储中。未压缩数据的大小可能大于 S3 的实际存储大小。要对未压缩数据的大小进行总体估计，可以将 S3 存储桶中日志的大小乘以 10。

您可以通过为复制的事件指定更窄的时间范围来降低成本。如果您计划仅使用事件数据存储来查询复制的事件，则可以关闭事件摄取，以免对将来的事件产生费用。有关更多信息，请参阅 Amazon CloudTrail 定价和管理 CloudTrail 湖泊成本。

SCENARIOS（场景）

下表描述了复制跟踪事件的一些常见场景，以及如何使用控制台完成每个场景。

复制跟踪事件的注意事项

复制跟踪事件时，请将以下因素考虑在内。

复制跟踪事件所需的权限

在复制跟踪事件之前，请确保您拥有IAM角色所需的所有权限。仅当您选择现有IAM角色来复制跟踪事件时，才需要更新IAM角色权限。如果您选择创建新IAM角色，则为该角色 CloudTrail 提供所有必需的权限。

如果源 S3 存储桶使用KMS密钥进行数据加密，请确保KMS密钥策略 CloudTrail 允许解密存储桶中的数据。如果源 S3 存储桶使用多个KMS密钥，则必须更新每个密钥的策略 CloudTrail 以允许解密存储桶中的数据。

IAM复制跟踪事件的权限

复制跟踪事件时，您可以选择创建新IAM角色或使用现有IAM角色。当您选择新IAM角色时， CloudTrail 将创建一个具有所需权限的IAM角色，您无需采取任何进一步的操作。

如果您选择现有角色，请确保该IAM角色的策略 CloudTrail 允许从源 S3 存储桶复制跟踪事件。本节提供了所需的IAM角色权限和信任策略的示例。

以下示例提供了权限策略，该策略 CloudTrail 允许从源 S3 存储桶复制跟踪事件。将amzn-s3-demo-bucket、myAccountID、regionprefix、和eventDataStoreId，替换为适合您的配置的值。myAccountID是用于 CloudTrail Lake 的 Amazon 账户 ID，可能与 S3 存储桶的 Amazon 账户 ID 不同。

将key-regionkeyAccountID、和keyID替换为用于加密源 S3 存储桶的密KMS钥的值。如果源 S3 存储桶不使用KMS密钥进行加密，则可以省略该AWSCloudTrailImportKeyAccess语句。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AWSCloudTrailImportBucketAccess",
      "Effect": "Allow",
      "Action": ["s3:ListBucket", "s3:GetBucketAcl"],
      "Resource": [
        "arn:aws:s3:::amzn-s3-demo-bucket"
      ],
      "Condition": {
        "StringEquals": {
          "aws:SourceAccount": "myAccountID",
          "aws:SourceArn": "arn:aws:cloudtrail:region:myAccountID:eventdataStore/eventDataStoreId"
         }
       }
    },
    {
      "Sid": "AWSCloudTrailImportObjectAccess",
      "Effect": "Allow",
      "Action": ["s3:GetObject"],
      "Resource": [
        "arn:aws:s3:::amzn-s3-demo-bucket/prefix",
        "arn:aws:s3:::amzn-s3-demo-bucket/prefix/*"
      ],
      "Condition": {
        "StringEquals": {
          "aws:SourceAccount": "myAccountID",
          "aws:SourceArn": "arn:aws:cloudtrail:region:myAccountID:eventdataStore/eventDataStoreId"
         }
       }
    },
    {
      "Sid": "AWSCloudTrailImportKeyAccess",
      "Effect": "Allow",
      "Action": ["kms:GenerateDataKey","kms:Decrypt"],
      "Resource": [
        "arn:aws:kms:key-region:keyAccountID:key/keyID"
      ]
    }
  ]
}

以下示例提供了IAM信任策略，该策略 CloudTrail 允许扮演IAM角色从源 S3 存储桶复制跟踪事件。将myAccountIDregion、和，替换为eventDataStoreArn与您的配置对应的值。myAccountID是用于 CloudTrail Lake 的 Amazon Web Services 账户 ID，可能与 S3 存储桶的 Amazon 账户 ID 不同。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "cloudtrail.amazonaws.com"
      },
      "Action": "sts:AssumeRole",
      "Condition": {
        "StringEquals": {
          "aws:SourceAccount": "myAccountID",
          "aws:SourceArn": "arn:aws:cloudtrail:region:myAccountID:eventdataStore/eventDataStoreId"
        }
      }
    }
  ]
}
                

复制跟踪事件所用的 Amazon S3 存储桶策略

默认情况下，Simple Storage Service（Amazon S3）存储桶和对象都是私有的。仅资源所有者（创建存储桶的 Amazon 账户）能够访问存储桶及其包含的对象。资源所有者可以通过编写访问策略来向其他资源和用户授予访问权。

在复制跟踪事件之前，必须更新 S3 存储桶策略 CloudTrail 以允许从源 S3 存储桶复制跟踪事件。

您可以将以下语句添加到 S3 存储桶策略，以授予这些权限。将roleArn和amzn-s3-demo-bucket替换为适合您的配置的值。

{
  "Sid": "AWSCloudTrailImportBucketAccess",
  "Effect": "Allow",
  "Action": [
    "s3:ListBucket",
    "s3:GetBucketAcl",
    "s3:GetObject"
  ],
  "Principal": {
    "AWS": "roleArn"
  },
  "Resource": [
    "arn:aws:s3:::amzn-s3-demo-bucket",
    "arn:aws:s3:::amzn-s3-demo-bucket/*"
  ]
},

KMS用于解密源 S3 存储桶中数据的密钥策略

如果源 S3 存储桶使用KMS密钥进行数据加密，请确保KMS密钥策略提供了 CloudTrail 从启用KMS加密的 S3 存储桶复制跟踪事件所需的kms:Decrypt和kms:GenerateDataKey权限。SSE如果您的源 S3 存储桶使用多个KMS密钥，则必须更新每个密钥的策略。更新密KMS钥策略 CloudTrail 允许解密源 S3 存储桶中的数据，运行验证检查以确保事件符合 CloudTrail标准，并将事件复制到 CloudTrail Lake 事件数据存储中。

以下示例提供了KMS密钥策略，该策略 CloudTrail 允许解密源 S3 存储桶中的数据。将roleArn、amzn-s3-demo-bucket、myAccountIDregion、和eventDataStoreId，替换为适合您的配置的值。myAccountID是用于 CloudTrail Lake 的 Amazon 账户 ID，可能与 S3 存储桶的 Amazon 账户 ID 不同。

{
  "Sid": "AWSCloudTrailImportDecrypt",
  "Effect": "Allow",
  "Action": [
          "kms:Decrypt",
          "kms:GenerateDataKey"
  ],
  "Principal": {
    "AWS": "roleArn"
  },
  "Resource": "*",
  "Condition": {
    "StringLike": {
      "kms:EncryptionContext:aws:s3:arn": "arn:aws:s3:::amzn-s3-demo-bucket/*"
    },
    "StringEquals": {
      "aws:SourceAccount": "myAccountID",
      "aws:SourceArn": "arn:aws:cloudtrail:region:myAccountID:eventdataStore/eventDataStoreId"
    }
  }
}