Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异，请参阅 中国的 Amazon Web Services 服务入门 (PDF)。

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

将事件发送到 CloudWatch 日志

当您将跟踪配置为向 CloudWatch Logs 发送事件时，仅 CloudTrail 发送与您的跟踪设置相匹配的事件。例如，如果您将跟踪配置为仅记录数据事件，则您的跟踪仅将数据事件发送到您的 CloudWatch 日志日志组。 CloudTrail 支持向 CloudWatch 日志发送数据、见解和管理事件。有关更多信息，请参阅 处理 CloudTrail 日志文件。

要将事件发送到 CloudWatch 日志日志组，请执行以下操作：

使用控制台配置 CloudWatch 日志监控

您可以使用来配置您的跟踪 Amazon Web Services Management Console ，以便将事件发送到 CloudWatch 日志进行监控。

创建一个日志组或指定一个现有日志组

CloudTrail 使用 CloudWatch 日志日志组作为日志事件的传输终端节点。可创建一个日志组或者指定一个现有日志组。

指定 IAM 角色

您可以指定一个角色 CloudTrail 来代入将事件传送到日志流。

在 CloudWatch 控制台中查看事件

将跟踪配置为将事件发送到 CloudWatch 日志日志组后，您可以在 CloudWatch 控制台中查看事件。 CloudTrail 通常在 API 调用后的平均大约 5 分钟内将事件传送到您的日志组。此时间并不能得到保证。有关更多信息，请参阅 Amazon CloudTrail 服务等级协议。

使用配置 CloudWatch 日志监控 Amazon CLI

您可以使用配置 Amazon CLI 将事件发送 CloudTrail 到 CloudWatch 日志进行监控。

创建日志组

创建角色

为其创建一个角色 CloudTrail ，使其能够将事件发送到 CloudWatch 日志日志组。IAM create-role 命令接受两个参数：角色名称和代入角色策略文档 (JSON 格式) 的文件路径。您使用的策略文档AssumeRole授予权限 CloudTrail。create-role 命令可创建具有所需权限的角色。

要创建包含此策略文档的 JSON 文件，请打开文本编辑器并将以下策略内容保存到名为 assume_role_policy_document.json 的文件中。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "",
      "Effect": "Allow",
      "Principal": {
        "Service": "cloudtrail.amazonaws.com"
      },
      "Action": "sts:AssumeRole"
    }
  ]
}

运行以下命令来创建具有AssumeRole权限的角色 CloudTrail。

aws iam create-role --role-name role_name --assume-role-policy-document file://<path to assume_role_policy_document>.json

待命令完成后，记下输出中的角色 ARN。

创建策略文档

为创建以下角色策略文档 CloudTrail。本文档授予 CloudTrail 在您指定的 CloudWatch 日志组中创建日志日志流以及向该日志流传送 CloudTrail 事件所需的权限。

{
  "Version": "2012-10-17",
  "Statement": [
    {

      "Sid": "AWSCloudTrailCreateLogStream2014110",
      "Effect": "Allow",
      "Action": [
        "logs:CreateLogStream"
      ],
      "Resource": [
        "arn:aws:logs:region:accountID:log-group:log_group_name:log-stream:accountID_CloudTrail_region*"
      ]

    },
    {
      "Sid": "AWSCloudTrailPutLogEvents20141101",
      "Effect": "Allow",
      "Action": [
        "logs:PutLogEvents"
      ],
      "Resource": [
        "arn:aws:logs:region:accountID:log-group:log_group_name:log-stream:accountID_CloudTrail_region*"
      ]
    }
  ]
}

将此策略文档保存到名为 role-policy-document.json 的文件中。

如果您要创建可能用于组织跟踪记录的策略，则需要对其进行稍微不同的配置。例如，以下策略授予 CloudTrail 在您指定的日志组中创建 CloudWatch 日志日志流以及向该日志流传送 CloudTrail 事件所需的权限，这些跟踪包括账户 111111111111 中的两个跟踪和在 111111111111 Amazon 账户中创建的应用于 o-exampleorgid 的组织的组织跟踪： Amazon Organizations

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AWSCloudTrailCreateLogStream20141101",
            "Effect": "Allow",
            "Action": [
                "logs:CreateLogStream"
            ],
            "Resource": [
                "arn:aws:logs:us-east-2:111111111111:log-group:CloudTrail/DefaultLogGroupTest:log-stream:111111111111_CloudTrail_us-east-2*",
                "arn:aws:logs:us-east-2:111111111111:log-group:CloudTrail/DefaultLogGroupTest:log-stream:o-exampleorgid_*"
            ]
        },
        {
            "Sid": "AWSCloudTrailPutLogEvents20141101",
            "Effect": "Allow",
            "Action": [
                "logs:PutLogEvents"
            ],
            "Resource": [
                "arn:aws:logs:us-east-2:111111111111:log-group:CloudTrail/DefaultLogGroupTest:log-stream:111111111111_CloudTrail_us-east-2*",             
                "arn:aws:logs:us-east-2:111111111111:log-group:CloudTrail/DefaultLogGroupTest:log-stream:o-exampleorgid_*"
            ]
        }
    ]
}

有关组织跟踪记录的更多信息，请参阅为组织创建跟踪。

运行以下命令以将策略应用于角色。

aws iam put-role-policy --role-name role_name --policy-name cloudtrail-policy --policy-document file://<path to role-policy-document>.json

更新跟踪

使用 CloudTrailupdate-trail命令使用日志组和角色信息更新跟踪。

aws cloudtrail update-trail --name trail_name --cloud-watch-logs-log-group-arn log_group_arn --cloud-watch-logs-role-arn role_arn

有关 Amazon CLI 命令的更多信息，请参阅《Amazon CloudTrail 命令行参考》。

限制

CloudWatch 日志和 EventBridge 每个日志允许的最大事件大小为 256 KB。尽管大多数服务事件的最大大小为 256 KB，但有些服务的事件仍然更大。 CloudTrail 不会将这些事件发送到 CloudWatch 日志或 EventBridge。

从 CloudTrail 事件版本 1.05 开始，事件的最大大小为 256 KB。这是为了帮助防止恶意行为者利用这些漏洞，并允许其他 Amazon 服务（例如 L CloudWatch ogs 和）使用事件 EventBridge。