AWS CloudTrail
用户指南 (版本 1.0)
AWS 文档中描述的 AWS 服务或功能可能因区域而异。要查看适用于中国区域的差异,请参阅中国的 AWS 服务入门

为组织创建跟踪

如果您已在 AWS Organizations 中创建组织,则可以创建跟踪,此跟踪将记录该组织中所有 AWS 账户的所有事件。这种方法有时称为组织跟踪。您还可以选择在主账户中编辑现有跟踪并将其应用于组织,从而使其成为组织跟踪。组织跟踪组织内的主账户和所有成员账户的日志事件。有关 AWS Organizations 的更多信息,请参阅 组织 术语和概念

注意

您必须使用组织的主账户登录,才能创建组织跟踪。您还必须对主账户中的 IAM 用户或角色具有足够的权限,才能成功创建组织跟踪。如果您没有足够的权限,则不会显示用于将跟踪应用到组织的选项。

当您创建组织跟踪时,将在属于您的组织的每个 AWS 账户中创建具有您所指定名称的跟踪。在成员账户中具有 CloudTrail 权限的用户在从其 AWS 账户登录 AWS CloudTrail 控制台时,或者当他们运行 AWS CLI 命令(如 describe-trail)时,将能够看到此跟踪。但是,成员账户中的用户将没有足够的权限删除组织跟踪、启用和关闭日志记录、更改要记录的事件类型,或以任何其他方式更改组织跟踪。

当您在控制台中创建组织跟踪时,或当您在 组织 中将 CloudTrail 作为可信服务启用时,这样做会创建服务相关角色,以在您组织的成员账户中执行日志记录任务。该角色名为 AWSServiceRoleForCloudTrail,是 CloudTrail 成功记录组织事件所必需的。如果某个 AWS 账户已添加到组织,则会将组织跟踪和服务相关角色添加到该 AWS 账户,并将在组织跟踪中自动开始针对该账户的日志记录。如果从组织中删除了 AWS 账户,则将会从不再是该组织一部分的 AWS 账户中删除组织跟踪和服务相关角色。但是,在删除账户之前创建的已删除账户的日志文件仍将保留在 Amazon S3 存储桶(其中存储了日志文件以用于跟踪)中。

在下面的示例中,主账户 111111111111 中的用户为组织 o-exampleorgid 创建了一个名为 MyOrganizationTrail 的跟踪。此跟踪将组织中所有账户的活动记录在同一 Amazon S3 存储桶中。组织中的所有账户均可以在其跟踪列表中看到 MyOrganizationTrail,但成员账户将无法删除或修改组织跟踪。只有主账户才能更改或删除组织的跟踪,正如只有主账户才可以从组织中删除成员账户一样。同样,默认情况下,只有主账户可以访问跟踪的 Amazon S3 存储桶 my-organization-bucket 以及其中包含的日志。日志文件的高级存储桶结构包含一个以组织 ID 命名的文件夹,其子文件夹以组织中每个账户的账户 ID 命名。每个成员账户的事件均记录在与相应成员账户 ID 对应的文件夹中。如果在将来的某个时刻从组织中删除了成员账户 444444444444,则 MyOrganizationTrail 和服务相关角色将不再显示在 AWS 账户 444444444444 中,并且组织跟踪不会再进一步记录该账户的其他事件。但是,444444444444 文件夹将与从组织中删除该账户之前创建的所有日志一起保留在 Amazon S3 存储桶中。


            组织 中示例组织的概念性概述,如何通过组织跟踪 CloudTrail 记录该组织,以及 Amazon S3 存储桶中生成的高级文件夹结构

在此示例中,主账户中所创建跟踪的 ARN 为 aws:cloudtrail:us-east-2:111111111111:trail/MyOrganizationTrail。此 ARN 也是所有成员账户中的跟踪的 ARN。

组织跟踪在很多方面都类似于常规跟踪。可以为您的组织创建多个跟踪,并选择是在所有区域还是在单个区域中创建组织跟踪,以及您希望在组织跟踪中记录哪些类型的事件,就像在任何其他跟踪中一样。但存在一些区别。例如,在选择是否记录 Amazon S3 存储桶或 AWS Lambda 函数的数据事件时,CloudTrail 控制台中列出的仅有资源为主账户的资源,但您可以在成员账户中添加资源的 ARN。将记录指定成员账户资源的数据事件,而无需手动配置对这些资源的跨账户访问。有关记录管理事件和数据事件的更多信息,请参阅记录跟踪的数据和管理事件

您还可以配置其他 AWS 服务,以便进一步分析在 CloudTrail 日志中为组织跟踪收集的事件数据并采取相应的措施(所采用的方式与对其他任何跟踪的方式相同)。例如,您可以使用 Amazon Athena 分析组织跟踪中的数据。有关更多信息,请参阅 AWS 服务与 CloudTrail 日志的集成