在控制台中为您的组织创建跟踪

要使用创建组织跟踪 Amazon Web Services Management Console

1. 登录 Amazon Web Services Management Console 并打开 CloudTrail 控制台，网址为https://console.aws.amazon.com/cloudtrail/。

   您必须使用具有足够权限的管理账户或委托管理员账户中的IAM身份进行登录，才能创建组织跟踪。

2. 选择 Trails（跟踪记录），然后选择 Create trail（创建跟踪记录）。

3. 在 Create Trail 页面上，对于 Trail name，键入一个跟踪名。有关更多信息，请参阅 CloudTrail 资源、S3 存储桶和 KMS 密钥的命名要求。

4. 选择 Enable for all accounts in my organization（为我的组织中的所有账户启用）。如果您使用管理账户或委托管理员账户中的用户或角色登录到控制台，则只会看到此选项。要成功创建组织跟踪，请确保相应用户或角色具有足够的权限。

5. 对于 Storage location（存储位置，选择 Create new S3 bucket（创建 S3 存储桶）以创建存储桶。创建存储桶时， CloudTrail 会创建并应用所需的存储桶策略。

   注意

   如果选择 Use existing S3 bucket（使用现有 S3 存储桶），则在 Trail log bucket name（跟踪日志存储桶名称）中指定一个存储桶，或选择 Browse（浏览）以选择存储桶。您可以选择属于任何账户的存储桶，但是，存储桶策略必须授予写入该存储桶的 CloudTrail权限。有关手动编辑存储桶策略的信息，请参阅针对 CloudTrail 的 Simple Storage Service（Amazon S3）存储桶策略。

   为了便于查找日志，请在现有存储桶中创建一个新文件夹（也称为前缀）来存储 CloudTrail 日志。在 Prefix（前缀）字段中输入前缀。

6. 对于日志文件 SSE-KMS 加密，如果您要使用 SSE-加密而不是 SSE-S3 加密来KMS加密日志文件，请选择启用。默认值为 Enabled（已启用）。如果您未启用 SSE-KMS 加密，则您的日志将使用 SSE-S3 加密进行加密。有关 SSE-KMS 加密的更多信息，请参阅通过 Amazon Key Management Service (SSE-KMS) 使用服务器端加密。有关 SSE-S3 加密的更多信息，请参阅对 Ama zon S3 托管加密密钥 (-S3) 使用服务器端加密。SSE

   如果启用 SSE-KMS 加密，请选择 “新建” 或 “现有” Amazon KMS key。在Amazon KMS 别名中，按以下格式指定别名alias/MyAliasName。有关更多信息，请参阅 通过控制台更新资源以使用 KMS 密钥。

   注意

   您也可以键入其他账户ARN的密钥。有关更多信息，请参阅 通过控制台更新资源以使用 KMS 密钥。密钥策略必须 CloudTrail 允许使用密钥加密您的日志文件，并允许您指定的用户读取未加密形式的日志文件。有关手动编辑密钥政策的信息，请参阅为以下各项配置 Amazon KMS 密钥策略 CloudTrail。

7. 在 Additional configuration（其他配置）中，请配置以下内容。

   1. 对于 Log file validation（日志文件验证），选择 Enabled（已启用）以将日志摘要传输到您的 S3 存储桶。您可以使用摘要文件来验证您的日志文件在 CloudTrail 交付后是否没有更改。有关更多信息，请参阅 验证 CloudTrail 日志文件完整性。

   2. 要SNS发送通知，请选择 “启用”，以便每次向您的存储桶传输日志时都会收到通知。 CloudTrail 在日志文件中存储多个事件。 SNS通知是针对每个日志文件发送的，而不是针对每个事件发送的。有关更多信息，请参阅 为 CloudTrail 配置 Amazon SNS 通知。

      如果您启用SNS通知，请在 “创建新SNS主题” 中选择 “新建” 来创建主题，或者选择 “现有” 以使用现有主题。如果您正在创建适用于所有区域的跟踪，则所有区域的日志文件传输SNS通知将发送到您创建的单个SNS主题。

      如果选择 “新建”，则会为您 CloudTrail 指定新主题的名称，也可以键入名称。如果选择 “现有”，请从下拉列表中选择一个SNS主题。您也可以从其他地区或具有适当权限的账户输入主题的。ARN有关更多信息，请参阅 针对 CloudTrail 的 Amazon SNS 主题策略。

      如果您创建一个主题，则必须订阅该主题以便获取日志文件传送的通知。您可以从 Amazon SNS 控制台订阅。由于通知的频率，我们建议您将订阅配置为使用 Amazon SQS 队列以编程方式处理通知。有关更多信息，请参阅《亚马逊简单通知服务开发者指南》SNS中的亚马逊入门。

8. 或者，通过选择在日志中启用，配置 CloudTrail 为将 CloudWatch 日志文件发送到CloudWatch 日志。有关更多信息，请参阅 将事件发送到 CloudWatch Logs。

   注意

   只有管理账户才能使用控制台为组织跟踪配置 CloudWatch 日志组。授权的管理员可以使用 Amazon CLI 或 CloudTrail CreateTrail或UpdateTrailAPI操作配置 CloudWatch 日志组。

   1. 如果您启用了与 CloudWatch 日志的集成，请选择 “新建” 来创建新的日志组，或者选择 “现有” 以使用现有的日志组。如果选择 “新建”，则会为您 CloudTrail 指定新日志组的名称，也可以键入名称。

   2. 如果选择 Existing（现有），则从下拉列表中选择一个日志组。

   3. 选择 “新建” 为向 CloudWatch 日志发送日志的权限创建新IAM角色。选择 “现有”，从下拉列表中选择现有IAM角色。展开 Policy document（策略文档）时，将显示新角色或现有角色的策略语句。有关该角色的更多信息，请参阅 与 CloudTrail 使用 CloudWatch Logs 进行监控对应的角色策略文档。

      注意

      配置跟踪时，您可以选择属于其他账户的 S3 存储桶和 Amazon SNS 主题。但是，如果 CloudTrail 要将事件传送到 CloudWatch 日志日志组，则必须选择当前账户中存在的日志组。

9. 对于标签，您最多可以添加 50 个标签键对，以帮助您对跟踪的访问进行识别、排序和控制。标签可以帮助您识别您的 CloudTrail 跟踪和包含 CloudTrail 日志文件的 Amazon S3 存储桶。然后，您可以为您的 CloudTrail 资源使用资源组。有关更多信息，请参阅Amazon Resource Groups 和标签。

10. 在 Choose log events（选择日志事件）页面中，选择要记录的事件类型。对于 Management events (管理事件)，请执行以下操作。

    1. 对于API活动，请选择是否要让您的跟踪记录读取事件、写入事件或两者兼而有之。有关更多信息，请参阅 管理事件。

    2. 选择 “排除 Amazon KMS 事件”，从您的跟踪中筛选 Amazon Key Management Service (Amazon KMS) 事件。默认设置是包含所有 Amazon KMS 事件。

       只有在跟踪中记录管理 Amazon KMS 事件时，才可使用记录或排除事件的选项。如果您选择不记录管理事件，则不会记录 Amazon KMS 事件，也无法更改 Amazon KMS 事件日志记录设置。

       Amazon KMS 诸如EncryptDecrypt、和之类的操作GenerateDataKey通常会生成大量事件（超过 99%）。这些操作现在记录为读取事件。诸如DisableDelete、和ScheduleKey（通常占事件量不到 0.5%）之类的低容量相关 Amazon KMS 操作被记录为写入 Amazon KMS 事件。

       如果要排除大批量事件（例如 Encrypt、Decrypt 和 GenerateDataKey），但仍然记录相关事件（例如 Disable、Delete 和 ScheduleKey），选择记录 Write（写入）管理事件，然后清除 Exclude Amazon KMS events（排除 Amazon KMS 事件）复选框。

11. 要记录数据事件，请选择 Data events（数据事件）。记录数据事件将收取额外费用。有关更多信息，请参阅Amazon CloudTrail 定价。

12. 重要

    默认情况下，步骤 12-16 用于使用高级事件选择器配置数据事件。高级事件选择器允许您配置更多资源类型，并对跟踪捕获的数据事件进行精细控制。如果您计划记录网络活动事件（预览版），则必须使用高级事件选择器。如果使用基本事件选择器，请完成 使用基本事件选择器配置数据事件设置 中的步骤，然后返回到此过程的步骤 17。

    对于资源类型，选择要记录数据事件的资源类型。有关可用资源类型的更多信息，请参阅数据事件。

13. 选择日志选择器模板。 CloudTrail 包括用于记录该资源类型的所有数据事件的预定义模板。要构建自定义日志选择器模板，请选择 Custom（自定义）。

    注意

    为 S3 存储桶选择预定义的模板可以记录当前您 Amazon 账户中的所有存储分段以及您在创建完跟踪后创建的任何存储分段的数据事件。它还允许记录您 Amazon 账户中任何IAM身份执行的数据事件活动，即使该活动是在属于另一个 Amazon 账户的存储桶上执行的。

    如果跟踪仅应用于一个区域，则选择记录所有 S3 存储桶的预定义模板可为跟踪所在的区域中的所有存储桶和您后来在该区域中创建的任何存储桶启用数据事件日志记录。不会为您的 Amazon 账户的其他区域中的 Simple Storage Service（Amazon S3）存储桶记录数据事件。

    如果您要为所有区域创建跟踪，则选择 Lambda 函数的预定义模板可以记录当前 Amazon 账户中的所有函数以及您在完成跟踪创建后可能在任何区域创建的任何 Lambda 函数的数据事件。如果您要为单个区域创建跟踪（使用完成 Amazon CLI），则此选择将启用您 Amazon 账户中该区域中当前所有函数的数据事件记录，以及您在完成跟踪创建后可能在该区域创建的任何 Lambda 函数的数据事件记录。它不会为在其他区域中创建的 Lambda 函数启用数据事件日志记录。

    记录所有函数的数据事件还可以记录 Amazon 账户中任何IAM身份执行的数据事件活动，即使该活动是在属于另一个 Amazon 账户的函数上执行的。

14. （可选）在选择器名称中，输入用于标识选择器的名称。选择器名称是高级事件选择器的描述性名称，例如“仅记录两个 S3 桶的数据事件”。选择器名称在高级事件选择器Name中列出，如果展开视图，则可以JSON查看。

15. 如果您选择了 “自定义”，则在 “高级” 事件选择器中，将基于高级事件选择器字段的值生成表达式。

    1. 从下面的字段中选择。

       • readOnly - readOnly 可以设置为等于值 true 或 false。只读数据事件是不会更改资源状态的事件，例如 Get* 或 Describe* 事件。写入事件可添加、更改或删除资源、属性或构件，例如 Put*、Delete* 或 Write* 事件。要记录 read 和 write 两种事件，请不要添加 readOnly 选择器。

       • eventName - eventName 可以使用任何运算符。您可以使用它来包含或排除记录到的任何数据事件 CloudTrail，例如PutBucketGetItem、或GetSnapshotBlock。

       • resources.ARN-您可以将任何运算符与一起使用resources.ARN，但是如果您使用等于或不等于，则该ARN值必须与您在模板中指定为的值的resources.type有效资源的值完全匹配。有关更多信息，请参阅 通过 resources.ARN 筛选数据事件。

         注意

         您不能使用该resources.ARN字段筛选没有的资源类型ARNs。

       有关数据事件资源ARN格式的更多信息，请参阅《Amazon Identity and Access Management 用户指南》中的操作、资源和条件键。

    2. 对于每个字段，请选择 + 条件以根据需要添加任意数量的条件，所有条件总共可有最多 500 个指定值。例如，要从事件数据存储中记录的数据事件中排除两个 S3 存储桶的数据事件，可以将该字段设置为 resources。 ARN，将运算符设置为 “不是” 开头，然后粘贴到您不想ARN为其记录事件的 S3 存储桶中。

       要添加第二个 S3 存储桶，请选择 + Condition，然后重复前面的指令，粘贴到 f ARN or 中或浏览其他存储桶。

       有关如何 CloudTrail 评估多个条件的信息，请参阅如何 CloudTrail 评估一个字段的多个条件。

       注意

       对于事件数据存储上的所有选择器，最多可以有 500 个值。这包括选择器的多个值的数组，例如 eventName。如果所有选择器均为单个值，则最多可以向选择器添加 500 个条件。

    3. 根据需要，选择 + Field（+ 字段）以添加其他字段。为了避免错误，请不要为字段设置冲突或重复的值。例如，不要将一个选择器ARN中的一个指定为等于一个值，然后在另一个选择器中指定ARN不等于相同的值。

16. 要添加用于记录数据事件的资源类型，请选择添加数据事件类型。重复步骤 12 至此步骤，为资源类型配置高级事件选择器。

17. 要记录网络活动事件，请选择网络活动事件。网络活动事件使VPC端点所有者能够记录使用其VPC端点从私有VPC到的 Amazon API呼叫 Amazon Web Services 服务。记录数据事件将收取额外费用。有关更多信息，请参阅Amazon CloudTrail 定价。

    注意

    网络活动事件处于预览版 CloudTrail ，可能会发生变化。

    要记录网络活动事件，请执行下列操作：

    1. 从网络活动事件源中，选择网络活动事件的来源。

    2. 在 Log selector template（日志选择器模板）中，选择一个模板。您可以选择记录所有网络活动事件、记录所有网络活动访问被拒绝的事件，或者选择自定义来构建自定义日志选择器以筛选多个字段（例如 eventName 和 vpcEndpointId）。

    3. （可选）输入用于标识选择器的名称。选择器名称在高级事件选择器中列为名称，如果您展开视图，则可以JSON查看。

    4. 在高级事件选择器中，通过为字段、运算符和值选择值来构建表达式。如果您使用的是预定义日志模板，则可跳过此步骤。

       1. 要排除或包括网络活动事件，您可以从控制台中的以下字段中进行选择。

          • eventName – 您可以将任何运算符与 eventName 配合使用。您可以使用它来包含或排除任何事件（如 CreateKey）。

          • errorCode – 您可以使用它来筛选错误代码。目前，唯一支持的 errorCode 是 VpceAccessDenied。

          • vpcEndpointId— 标识操作所经过的VPC端点。您可以将任何运算符与 vpcEndpointId 配合使用。

       2. 对于每个字段，请选择 + 条件以根据需要添加任意数量的条件，所有条件总共可有最多 500 个指定值。

       3. 根据需要，选择 + Field（+ 字段）以添加其他字段。为了避免错误，请不要为字段设置冲突或重复的值。

    5. 要添加您想要记录网络活动事件的另一个事件源，请选择添加网络活动事件选择器。

    6. （可选）展开JSON视图，将您的高级事件选择器视为一个JSON方块。

18. 如果您希望跟踪记录见解事件，请选择 CloudTrail Insights 事件。

    在 Event type（事件类型）中，选择 Insights events（Insights 事件）。在 Insights 事件中，选择API通话率、API错误率或两者兼而有之。您必须记录写入管理事件才能记录API通话费率的 Insights 事件。您必须记录读取或写入管理事件才能记录 Insights 事件以了解API错误率。

    CloudTrail Insights 会分析管理事件中是否存在异常活动，并在检测到异常时记录事件。默认情况下，跟踪记录不记录 Insights 事件。有关 Insights 事件的更多信息，请参阅记录 Insights 事件。记录 Insights 事件将收取额外费用。有关 CloudTrail 定价，请参阅Amazon CloudTrail 定价。

    Insights 事件将传送到另一个文件夹，该文件夹以同一 S3 存储桶命名/CloudTrail-Insight，该存储桶在跟踪详细信息页面的存储位置区域中指定。 CloudTrail为您创建新的前缀。例如，如果当前目标 S3 存储桶命名为 amzn-s3-demo-destination-bucket/AWSLogs/CloudTrail/，则带有新前缀的 S3 存储桶名称会命名为 amzn-s3-demo-destination-bucket/AWSLogs/CloudTrail-Insight/。

19. 完成选择要记录的事件类型的操作后，选择 Next（下一步）。

20. 在 Review and create（审核和重建）页面上，审核您的选择。在相关部分中选择 Edit（编辑）以更改该部分中显示的跟踪设置。在准备好创建跟踪时，选择 Create trail（创建跟踪）。

21. 新跟踪记录出现在 Trails（跟踪记录）页面上。一个组织跟踪最多可能需要 24 小时才能在所有成员账户的所有区域中创建完成。Trails（跟踪记录）页面显示您的账户中来自所有区域的跟踪记录。大约 5 分钟后，将 CloudTrail 发布显示组织中 Amazon API拨打的呼叫的日志文件。您可以在指定的 Simple Storage Service（Amazon S3）存储桶中查看日志文件。