本文属于机器翻译版本。若本译文内容与英语原文存在差异,则一律以英文原文为准。
与 L Amazon CloudTrail ake 合作
Amazon CloudTrail Lake 允许您对事件进行SQL基于查询的操作。 CloudTrail Lake 将基于行的格式的现有事件转换为 Apache JSON ORC
CloudTrail 湖泊事件数据存储
在创建事件数据存储时,您可以选择要包括在事件数据存储中的事件的类型。您可以创建事件数据存储以包含CloudTrail 事件(管理事件、数据事件、网络活动事件(预览版))、CloudTrail Insights 事件、Amazon Config 配置项目、Amazon Audit Manager 证据或外部事件 Amazon。每个事件数据存储只能包含一个特定的事件类别(例如, Amazon Config 配置项目),因为事件架构对于事件类别是唯一的。您可以将来自组织的事件存储 Amazon Organizations 在组织事件数据存储中,包括来自多个区域和账户的事件。您还可以使用支持的SQLJOIN关键字在多个事件数据存储中运行SQL查询。有关跨多个事件数据存储运行查询的信息,请参阅 高级多表查询支持。
您可以将跟踪事件复制到新的或现有的事件数据存储中,以创建记录到跟踪的事件的 point-in-time快照。有关更多信息,请参阅 将跟踪事件复制到事件数据存储。
您可以联合事件数据存储以在数据目录中查看与事件数据存储相关的元数据,并使用 Amazon Athena 对事件数据进行SQL查询。 Amazon Glue 存储在 Amazon Glue 数据目录中的表元数据让 Athena 查询引擎知道如何查找、读取和处理您要查询的数据。有关更多信息,请参阅 联合事件数据存储。
默认情况下,事件数据存储中的所有事件都由加密 CloudTrail。配置事件数据存储时,可以选择使用自己的 Amazon Key Management Service 密钥。使用自己的KMS密钥会产生加密和解密的 Amazon KMS 费用。将事件数据存储与KMS密钥关联后,该密KMS钥将无法移除或更改。
您可以通过使用基于标签的授权来控制对事件数据存储的操作的访问。有关更多信息和示例,请参阅本指南中的示例:拒绝基于标签创建或删除事件数据存储的访问权限。
您可以使用 CloudTrail Lake 仪表板对事件数据存储中的数据进行可视化。每个仪表板由多个小组件组成,每个小组件代表一个SQL查询。有关 Lake 控制面板的更多信息,请参阅 使用 CloudTrail 控制台查看 CloudTrail Lake 仪表板。
CloudTrail 湖泊事件数据存储会产生费用。创建事件数据存储时,您可以选择要用于事件数据存储的定价选项。定价选项决定了摄取和存储事件的成本,以及事件数据存储的默认和最长保留期。有关 CloudTrail 定价和管理 Lake 成本的信息,请参阅Amazon CloudTrail 定价
CloudTrail Lake 支持 Amazon CloudWatch 指标,这些指标提供有关摄取的数据和存储字节的信息。有关支持的 CloudWatch 指标的更多信息,请参阅支持的 CloudWatch 指标。
注意
CloudTrail 通常在通API话后平均大约 5 分钟内传送事件。此时间并不能得到保证。
CloudTrail 湖泊整合
您可以使用 La CloudTrail ke 集成来记录和存储来自外部的用户活动数据 Amazon;这些数据来自混合环境中的任何来源,例如本地或云端托管的内部或 SaaS 应用程序、虚拟机或容器。在 CloudTrail Lake 中创建事件数据存储并创建用于记录活动事件的通道后,您可以调用将应用程序活动摄取PutAuditEvents
API到其中 CloudTrail。然后,您可以使用 CloudTrail Lake 来搜索、查询和分析从您的应用程序中记录的数据。
集成还可以将来自十几个 CloudTrail合作伙伴的事件记录到您的事件数据存储中。在合作伙伴集成中,您可以创建目标事件数据存储、通道和资源策略。创建集成后,您将渠道提供ARN给合作伙伴。有两种类型的集成:直接集成和解决方案集成。通过直接集成,合作伙伴会调用,PutAuditEvents
API将事件发送到您 Amazon 账户的事件数据存储。通过解决方案集成,应用程序将在您的 Amazon 账户中运行,应用程序会调用,将事件传送PutAuditEvents
API到您 Amazon 账户的事件数据存储中。
有关集成的更多信息,请参阅与外部的事件源创建集成。 Amazon
CloudTrail 湖泊查询
注意
引入了 La CloudTrail ke 查询的预览功能,该功能使用生成人工智能(生成式 AI)功能从英语提示中生成SQL查询。有关更多信息,请参阅 根据英语提示创建 CloudTrail Lake 查询。
CloudTrail 与事件历史记录或运行LookupEvents
中的简单键和值查找相比,Lake 查询提供了更深入、更可自定义的事件视图。一次事件历史搜索仅限于单个事件 Amazon Web Services 账户,只能返回单个事件中的事件 Amazon Web Services 区域,并且不能查询多个属性。相比之下, CloudTrailLake 用户可以跨多个事件字段运行复杂的SQL查询。 CloudTrail Lake 支持所有有效的 Presto SELECT
语句和函数。有关支持的SQL函数和运算符的更多信息,请参阅 Presto 文档网站上的函数和运算符
您可以保存 CloudTrail Lake 查询以备将来使用,还可以查看查询结果最长七天。运行查询时,您可以将查询结果保存到 Amazon S3 存储桶。
CloudTrail 控制台提供了许多示例查询,可以帮助您开始编写自己的查询。有关更多信息,请参阅 使用 CloudTrail 控制台查看示例查询。
CloudTrail 湖泊查询会产生费用。在 Lake 中运行查询时,您需要按扫描的数据量付费。有关 CloudTrail 定价和管理 Lake 成本的信息,请参阅Amazon CloudTrail 定价
其他资源
以下资源可以帮助您更好地了解 CloudTrail Lake 是什么以及如何使用它。