记录数据事件

登录 Amazon Web Services Management Console 并打开 CloudTrail 控制台，网址为https://console.aws.amazon.com/cloudtrail/。

在导航窗格中，在 Lake 下，选择事件数据存储。

在事件数据存储页面上，选择要更新的事件数据存储。

在详细信息页面上的数据事件中，选择编辑。

如果您尚未记录数据事件，请选择 Data events（数据事件）复选框。

对于资源类型，选择要记录数据事件的资源类型。

选择日志选择器模板。您可以选择预定义的模板，也可以选择 “自定义” 来定义自己的事件收集条件。

您可以从以下预定义模板中进行选择：

（可选）在选择器名称中，输入用于标识选择器的名称。选择器名称是高级事件选择器的描述性名称，例如“仅记录两个 S3 桶的数据事件”。选择器名称在高级事件选择器中列为 Name，展开 JSON 视图即可查看该名称。

如果您选择了 “自定义”，则在 “高级” 事件选择器中，将基于高级事件选择器字段的值生成表达式。

1. 从下面的字段中选择。

   • readOnly - readOnly 可以设置为等于值 true 或 false。只读数据事件是不会更改资源状态的事件，例如 Get* 或 Describe* 事件。写入事件可添加、更改或删除资源、属性或构件，例如 Put*、Delete* 或 Write* 事件。要记录 read 和 write 两种事件，请不要添加 readOnly 选择器。

   • eventName - eventName 可以使用任何运算符。您可以使用它来包含或排除记录到的任何数据事件 CloudTrail，例如PutBucketGetItem、或GetSnapshotBlock。

   • eventSource— 要包含或排除的事件源。此字段可以使用任何运算符。

   • 事件类型-要包含或排除的事件类型。例如，您可以将此字段设置为不等AwsServiceEvent于排除Amazon Web Services 服务 事件。有关事件类型的列表，请参阅eventType中的CloudTrail 记录管理、数据和网络活动事件的内容。

   • sessionCredentialFrom控制台-包括或排除源自 Amazon Web Services Management Console 会话的事件。可以将此字段设置为等于或不等于，值为。true

   • userIdentity.arn — 包含或排除特定 IAM 身份采取的操作的事件。有关更多信息，请参阅 CloudTrail userIdentity 元素。

   • resources.ARN - 您可以将任何运算符与 resources.ARN 配合使用，但如果您使用等于或不等于，则该值必须与您在模板中指定为 resources.type 的值的有效资源类型的 ARN 完全匹配。

     注意

     您不能使用该resources.ARN字段筛选没有的资源类型 ARNs。

     有关数据事件资源的 ARN 格式的更多信息，请参阅《服务授权参考》 Amazon Web Services 服务中的操作、资源和条件密钥。

2. 对于每个字段，请选择 + 条件以根据需要添加任意数量的条件，所有条件总共可有最多 500 个指定值。例如，要从事件数据存储中记录的数据事件中排除两个 S3 存储桶的数据事件，您可以将该字段设置为 Resou rces.arn，将运算符设置为 “不开头”，然后粘贴到您不想为其记录事件的 S3 存储桶 ARN 中。

   要添加第二个 S3 存储桶，请选择 + 条件，然后重复上述说明，在 ARN 中粘贴或浏览到不同的存储桶。

   有关如何 CloudTrail 评估多个条件的信息，请参阅如何 CloudTrail 评估一个字段的多个条件。

   注意

   对于事件数据存储上的所有选择器，最多可以有 500 个值。这包括选择器的多个值的数组，例如 eventName。如果所有选择器均为单个值，则最多可以向选择器添加 500 个条件。

3. 根据需要，选择 + Field（+ 字段）以添加其他字段。为了避免错误，请不要为字段设置冲突或重复的值。例如，不要在一个选择器中将 ARN 指定为等于某个值，然后在另一个选择器中指定 ARN 不等于相同的值。

要添加其他用于记录数据事件的资源类型，请选择添加数据事件类型。重复步骤 6 至此步骤，为其他资源类型配置高级事件选择器。

查看并验证选择后，选择保存更改。

在控制台的 “ CloudTrail 控制面板” 或 “跟踪” 页面上，选择要更新的跟踪。

在详细信息页面上的数据事件中，选择编辑。

如果您尚未记录数据事件，请选择 Data events（数据事件）复选框。

对于资源类型，选择要记录数据事件的资源类型。

选择日志选择器模板。您可以选择预定义的模板，也可以选择 “自定义” 来定义自己的事件收集条件。

您可以从以下预定义模板中进行选择：

（可选）在选择器名称中，输入用于标识选择器的名称。选择器名称是高级事件选择器的描述性名称，例如“仅记录两个 S3 桶的数据事件”。选择器名称在高级事件选择器中列为 Name，展开 JSON 视图即可查看该名称。

如果您选择了 “自定义”，则在 “高级” 事件选择器中，将基于高级事件选择器字段的值生成表达式。

1. 从下面的字段中选择。

   • readOnly - readOnly 可以设置为等于值 true 或 false。只读数据事件是不会更改资源状态的事件，例如 Get* 或 Describe* 事件。写入事件可添加、更改或删除资源、属性或构件，例如 Put*、Delete* 或 Write* 事件。要记录 read 和 write 两种事件，请不要添加 readOnly 选择器。

   • eventName - eventName 可以使用任何运算符。您可以使用它来包含或排除记录到的任何数据事件 CloudTrail，例如PutBucketGetItem、或GetSnapshotBlock。

   • eventSource— 要包含或排除的事件源。此字段可以使用任何运算符。

   • 事件类型-要包含或排除的事件类型。例如，您可以将此字段设置为不等AwsServiceEvent于排除Amazon Web Services 服务 事件。有关事件类型的列表，请参阅eventType中的CloudTrail 记录管理、数据和网络活动事件的内容。

   • sessionCredentialFrom控制台-包括或排除源自 Amazon Web Services Management Console 会话的事件。可以将此字段设置为等于或不等于，值为。true

   • userIdentity.arn — 包含或排除特定 IAM 身份采取的操作的事件。有关更多信息，请参阅 CloudTrail userIdentity 元素。

   • resources.ARN - 您可以将任何运算符与 resources.ARN 配合使用，但如果您使用等于或不等于，则该值必须与您在模板中指定为 resources.type 的值的有效资源类型的 ARN 完全匹配。

     注意

     您不能使用该resources.ARN字段筛选没有的资源类型 ARNs。

     有关数据事件资源的 ARN 格式的更多信息，请参阅《服务授权参考》 Amazon Web Services 服务中的操作、资源和条件密钥。

2. 对于每个字段，请选择 + 条件以根据需要添加任意数量的条件，所有条件总共可有最多 500 个指定值。例如，要从事件数据存储中记录的数据事件中排除两个 S3 存储桶的数据事件，您可以将该字段设置为 Resou rces.arn，将运算符设置为 “不开头”，然后粘贴到您不想为其记录事件的 S3 存储桶 ARN 中。

   要添加第二个 S3 存储桶，请选择 + 条件，然后重复上述说明，在 ARN 中粘贴或浏览到不同的存储桶。

   有关如何 CloudTrail 评估多个条件的信息，请参阅如何 CloudTrail 评估一个字段的多个条件。

   注意

   对于事件数据存储上的所有选择器，最多可以有 500 个值。这包括选择器的多个值的数组，例如 eventName。如果所有选择器均为单个值，则最多可以向选择器添加 500 个条件。

3. 根据需要，选择 + Field（+ 字段）以添加其他字段。为了避免错误，请不要为字段设置冲突或重复的值。例如，不要在一个选择器中将 ARN 指定为等于某个值，然后在另一个选择器中指定 ARN 不等于相同的值。

要添加其他用于记录数据事件的资源类型，请选择添加数据事件类型。重复步骤 4 至此步骤，为资源类型配置高级事件选择器。

查看并验证选择后，选择保存更改。

登录 Amazon Web Services Management Console 并打开 CloudTrail 控制台，网址为https://console.aws.amazon.com/cloudtrail/。

打开 CloudTrail 控制台的 T ra ils 页面并选择跟踪名称。

对于 Data event（数据事件），选择 Edit（编辑）。

对于 Simple Storage Service（Amazon S3）存储桶：

1. 对于 Data event source（数据事件源），选择 S3。

2. 您可以选择记录 All current and future S3 buckets（所有当前和未来 S3 存储桶），也可以指定单个存储桶或函数。默认情况下，记录所有当前和未来 S3 存储桶的数据事件。

   注意

   保留默认 “All current and future S3 存储桶” 选项将允许您 Amazon 账户中当前的所有存储分段以及您在完成跟踪创建后创建的任何存储分段的数据事件记录。它还允许记录您 Amazon 账户中任何用户或角色执行的数据事件活动，即使该活动是在属于其他 Amazon 账户的存储桶上执行的。

   如果您要为单个区域创建跟踪（使用完成 Amazon CLI），则选择 “选择账户中的所有 S3 存储桶” 选项可为与您的跟踪位于同一区域的所有存储桶以及您稍后在该区域创建的任何存储桶启用数据事件日志记录。它不会在您的 Amazon 账户中记录其他区域的 Amazon S3 存储桶的数据事件。

3. 如果保留默认值 All current and future S3 buckets（所有当前和未来 S3 存储桶），则选择记录 Read（读取）事件、Write（写入）事件，还是记录两者。

4. 要选择单个存储桶，请清空 All current and future S3 buckets（所有当前和未来 S3 存储桶）的 Read（读取）和Write（写入）复选框。在 Individual bucket selection（单个存储桶选择）中，浏览要在其上记录数据事件的存储桶。要查找特定存储桶，键入所需存储桶的存储桶前缀。您可以在此窗口中选择多个存储桶。选择添加存储桶，记录更多存储桶的数据事件。选择记录 Read（读取）事件（如 GetObject）、Write（写入）事件（如 PutObject）或同时记录两种事件。

   此设置优先于为各个存储桶配置的个别设置。例如，如果指定记录所有 S3 存储桶的 Read 事件，然后选择为数据事件日志记录添加一个特定存储桶，则所添加存储桶的 Read 已经是选中状态。您无法清除此选择。只能配置 Write 选项。

   要从日志记录中删除存储桶，请选择 X。

要添加其他用于记录数据事件的资源类型，请选择添加数据事件类型。

对于 Lambda 函数：

1. 对于 Data event source（数据事件源），选择 Lambda。

2. 在 Lambda function（Lambda 函数）中，选择 All regions（所有区域）记录所有 Lambda 函数，或选择 Input function as ARN（输入函数作为 ARN）以记录特定函数上的数据事件。

   要记录 Amazon 账户中的所有 Lambda 函数的数据事件，请选择 Log all current and future functions（记录所有当前和未来函数）。此设置优先于为各个函数配置的个别设置。将记录所有函数，即便这些函数未显示。

   注意

   如果为所有区域创建了一个跟踪，则此选择将为您的 Amazon 账户中当前包含的所有函数以及您在创建跟踪后可能在任何区域中创建的任何 Lambda 函数启用数据事件日志记录。如果您要为单个区域创建跟踪（使用完成 Amazon CLI），则此选择将启用您 Amazon 账户中该区域中当前所有函数的数据事件记录，以及您在完成跟踪创建后可能在该区域创建的任何 Lambda 函数的数据事件记录。它不会为在其他区域中创建的 Lambda 函数启用数据事件日志记录。

   记录所有功能的数据事件还可以记录 Amazon 账户中任何用户或角色执行的数据事件活动，即使该活动是在属于另一个 Amazon 账户的函数上执行的。

3. 如果选择 Input function as ARN（输入函数作为 ARN），则输入 Lambda 函数的 ARN。

   注意

   如果您的账户中有超过 15,000 个 Lambda 函数，则在创建跟踪时无法在 CloudTrail控制台中查看或选择所有函数。您仍可以选择该选项来记录所有函数，即使未显示这些函数也是如此。如果您要记录特定函数的数据事件，则可手动添加一个函数 (如果您知道其 ARN)。您也可以在控制台中完成跟踪的创建，然后使用 Amazon CLI 和put-event-selectors命令为特定 Lambda 函数配置数据事件记录。有关更多信息，请参阅 使用管理跟踪 Amazon CLI。

要添加其他用于记录数据事件的资源类型，请选择添加数据事件类型。

对于 DynamoDB 表：

1. 对于 Data event source（数据事件源），选择 DynamoDB。

2. 在 DynamoDB table selection（DynamoDB 表选择）中，选择 Browse（浏览）以选择一个表，或粘贴到您有权访问的 DynamoDB 表的 ARN 中。DynamoDB 表 ARN 使用以下格式：

   arn:partition:dynamodb:region:account_ID:table/table_name

   要添加另一个表，请选择 Add row（添加行），然后浏览到某个表或粘贴到您有权访问的表的 ARN 中。

选择保存更改。