Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异，请参阅 中国的 Amazon Web Services 服务入门 (PDF)。

记录管理事件

默认情况下，跟踪记录和事件数据存储将记录管理事件，但不包含数据事件或 Insights 事件。

数据事件或 Insights 事件需额外支付费用。有关更多信息，请参阅 Amazon CloudTrail 定价。

管理事件

通过管理事件，可以了解对在您 Amazon 账户内的资源上执行的管理操作。这些也称为控制面板操作。示例管理事件包括：

管理事件还包括在您的账户中发生的非 API 事件。例如，当用户登录您的账户时，CloudTrail 将记录 ConsoleLogin 事件。有关更多信息，请参阅 CloudTrail 捕获的非 API 事件。

默认情况下，跟踪和事件数据存储配置为记录管理事件。

读取和写入事件

将跟踪或事件数据存储配置为记录管理事件时，可以指定是需要只读事件、只写事件还是两者都需要。

使用 Amazon Web Services 管理控制台 记录管理事件

本节介绍了如何更新现有跟踪或事件数据存储的管理事件设置。

更新现有跟踪的管理事件设置

请按照以下过程更新现有跟踪的管理事件设置。

更新现有事件数据存储的管理事件设置

使用 Amazon CLI 记录管理事件

您可以使用 Amazon CLI 配置您的跟踪记录以记录管理事件。

示例：记录跟踪的管理事件

要查看您的跟踪是否正在记录管理事件，请运行 get-event-selectors 命令。

aws cloudtrail get-event-selectors --trail-name TrailName

以下示例返回跟踪的默认设置。默认情况下，跟踪记录所有管理事件，记录所有事件源的事件，但不记录数据事件。

{
    "TrailARN": "arn:aws:cloudtrail:us-east-1:111122223333:trail/TrailName",
    "AdvancedEventSelectors": [
        {
            "Name": "Management events selector",
            "FieldSelectors": [
                {
                    "Field": "eventCategory",
                    "Equals": [
                        "Management"
                    ]
                }
            ]
        }
    ]
}

您可以使用基本或高级事件选择器来记录管理事件。不能将事件选择器和高级事件选择器同时应用于跟踪。如果将高级事件选择器应用于跟踪，则所有现有的基本事件选择器都将被覆盖。以下部分提供了如何使用高级事件选择器和基本事件选择器记录管理事件的示例。

示例：使用高级事件选择器记录跟踪的管理事件

以下示例为名为 TrailName 的跟踪创建高级事件选择器，以包括只读和只写管理事件（通过忽略 readOnly 选择器），但排除 Amazon Key Management Service (Amazon KMS) 事件。由于 Amazon KMS 事件被视为管理事件，并且可能存在大量此类事件，因此，如果您有多个跟踪捕获管理事件，它们可能会对您的 CloudTrail 账单产生重大影响。

如果选择不记录管理事件，则不会记录 Amazon KMS 事件，并且您无法更改 Amazon KMS 事件日志记录设置。

要再次开始将 Amazon KMS 事件记录到跟踪，请删除 eventSource 选择器，然后再次运行命令。

aws cloudtrail put-event-selectors --trail-name TrailName \
--advanced-event-selectors '
[
  {
    "Name": "Log all management events except KMS events",
    "FieldSelectors": [
      { "Field": "eventCategory", "Equals": ["Management"] },
      { "Field": "eventSource", "NotEquals": ["kms.amazonaws.com"] }
    ]
  }
]'

以下示例返回为跟踪配置的高级事件选择器。

{
  "AdvancedEventSelectors": [
    {
      "Name": "Log all management events except KMS events",
      "FieldSelectors": [
        {
          "Field": "eventCategory", 
          "Equals": [ "Management" ]
        },
        {
          "Field": "eventSource", 
          "NotEquals": [ "kms.amazonaws.com" ]
        }
      ]
    }
  ],
  "TrailARN": "arn:aws:cloudtrail:us-east-2:123456789012:trail/TrailName"
}

要再次开始将排除的事件记录到跟踪，请删除 eventSource 选择器，如以下命令中所示。

aws cloudtrail put-event-selectors --trail-name TrailName \
--advanced-event-selectors '
[
  {
    "Name": "Log all management events",
    "FieldSelectors": [
      { "Field": "eventCategory", "Equals": ["Management"] }
    ]
  }
]'

下一个示例为名为 TrailName 的跟踪创建高级事件选择器，以包括只读和只写管理事件（通过忽略 readOnly 选择器），但排除 Amazon RDS 数据 API 管理事件。要排除 Amazon RDS 数据 API 管理事件，请在 eventSource 字段的字符串值中指定 Amazon RDS 数据 API 事件源：rdsdata.amazonaws.com。

如果选择不记录管理事件，则不会记录 Amazon RDS 数据 API 管理事件，并且您无法更改 Amazon RDS 数据 API 事件日志记录设置。

要再次开始将 Amazon RDS 数据 API 管理事件记录到跟踪，请删除 eventSource 选择器，然后再次运行命令。

aws cloudtrail put-event-selectors --trail-name TrailName \
--advanced-event-selectors '
[
  {
    "Name": "Log all management events except Amazon RDS Data API management events",
    "FieldSelectors": [
      { "Field": "eventCategory", "Equals": ["Management"] },
      { "Field": "eventSource", "NotEquals": ["rdsdata.amazonaws.com"] }
    ]
  }
]'

以下示例返回为跟踪配置的高级事件选择器。

{
  "AdvancedEventSelectors": [
    {
      "Name": "Log all management events except Amazon RDS Data API management events",
      "FieldSelectors": [
        {
          "Field": "eventCategory", 
          "Equals": [ "Management" ]
        },
        {
          "Field": "eventSource", 
          "NotEquals": [ "rdsdata.amazonaws.com" ]
        }
      ]
    }
  ],
  "TrailARN": "arn:aws:cloudtrail:us-east-2:123456789012:trail/TrailName"
}

要再次开始将排除的事件记录到跟踪，请删除 eventSource 选择器，如以下命令中所示。

aws cloudtrail put-event-selectors --trail-name TrailName \
--advanced-event-selectors '
[
  {
    "Name": "Log all management events",
    "FieldSelectors": [
      { "Field": "eventCategory", "Equals": ["Management"] }
    ]
  }
]'

示例：使用基本事件选择器记录跟踪的管理事件

要将跟踪配置为记录管理事件，请运行 put-event-selectors 命令。以下示例说明如何配置您的跟踪以包含两个 S3 对象的所有管理事件。您可以为一个跟踪指定 1 至 5 个事件选择器。您可以为一个跟踪指定 1 至 250 个数据资源。

aws cloudtrail put-event-selectors --trail-name TrailName --event-selectors '[{ "ReadWriteType": "All", "IncludeManagementEvents":true, "DataResources": [{ "Type": "AWS::S3::Object", "Values": ["arn:aws:s3:::amzn-s3-demo-bucket/prefix", "arn:aws:s3:::amzn-s3-demo-bucket2/prefix2"] }] }]'

以下示例返回为跟踪配置的事件选择器。

{
    "TrailARN": "arn:aws:cloudtrail:us-east-1:111122223333:trail/TrailName",
    "EventSelectors": [
        {
            "ReadWriteType": "All",
            "IncludeManagementEvents": true,
            "DataResources": [
                {
                    "Type": "AWS::S3::Object",
                    "Values": [
                        "arn:aws:s3:::amzn-s3-demo-bucket/prefix",
                        "arn:aws:s3:::amzn-s3-demo-bucket2/prefix2",
                    ]  
                }
            ],
            "ExcludeManagementEventSources": []
        }
    ]
}

要从跟踪的日志中排除 Amazon Key Management Service (Amazon KMS) 事件，请运行 put-event-selectors 命令并添加值为 ExcludeManagementEventSources 的 kms.amazonaws.com 属性。以下示例为名为 TrailName 的跟踪创建事件选择器，以包括只读和只写管理事件，但排除 Amazon KMS 事件。由于 Amazon KMS 可以生成大量事件，因此此示例中的用户可能希望限制事件以管理跟踪的成本。

aws cloudtrail put-event-selectors --trail-name TrailName --event-selectors '[{"ReadWriteType": "All","ExcludeManagementEventSources": ["kms.amazonaws.com"],"IncludeManagementEvents": true}]'

以下示例返回为跟踪配置的事件选择器。

{
    "TrailARN": "arn:aws:cloudtrail:us-east-1:111122223333:trail/TrailName",
    "EventSelectors": [
        {
            "ReadWriteType": "All",
            "IncludeManagementEvents": true,
            "DataResources": [],
            "ExcludeManagementEventSources": [
                "kms.amazonaws.com"
            ]
        }
    ]
}

要从跟踪的日志中排除 Amazon RDS 数据 API 管理事件，请运行 put-event-selectors 命令并添加值为 rdsdata.amazonaws.com 的 ExcludeManagementEventSources 属性。以下示例为名为 TrailName 的跟踪创建事件选择器，以包括只读和只写管理事件，但排除 Amazon RDS 数据 API 管理事件。由于 Amazon RDS 数据 API 可以生成大量管理事件，因此此示例中的用户可能希望限制事件以管理跟踪的成本。

{
    "TrailARN": "arn:aws:cloudtrail:us-east-1:111122223333:trail/TrailName",
    "EventSelectors": [
        {
            "ReadWriteType": "All",
            "IncludeManagementEvents": true,
            "DataResources": [],
            "ExcludeManagementEventSources": [
                "rdsdata.amazonaws.com"
            ]
        }
    ]
}

要再次开始将 Amazon KMS 或 Amazon RDS 数据 API 管理事件记录到跟踪，请传递一个空字符串作为 ExcludeManagementEventSources 的值，如以下命令中所示。

aws cloudtrail put-event-selectors --trail-name TrailName --event-selectors '[{"ReadWriteType": "All","ExcludeManagementEventSources": [],"IncludeManagementEvents": true}]'

要将相关 Amazon KMS 事件记录到跟踪（如 Disable、Delete 和 ScheduleKey），并排除高量 Amazon KMS 事件（如 Encrypt、Decrypt 和 GenerateDataKey），请记录只写管理事件，并保留关于记录 Amazon KMS 事件的默认设置，如以下示例所示。

aws cloudtrail put-event-selectors --trail-name TrailName --event-selectors '[{"ReadWriteType": "WriteOnly","ExcludeManagementEventSources": [],"IncludeManagementEvents": true}]'

使用 Amazon SDK 记录管理事件

使用 GetEventSelectors 操作以查看您的跟踪是否正在记录某个跟踪的管理事件。您可以配置您的跟踪记录以使用 PutEventSelectors 操作记录管理事件。有关更多信息，请参阅 Amazon CloudTrail API 参考。