创建与 Amazon 外部事件源的集成

登录Amazon Web Services Management Console并通过 https://console.aws.amazon.com/cloudtrail/ 打开CloudTrail控制台。

在导航窗格的 Lake 下，选择集成。

在 Add integration（添加集成）页面上，为您的通道输入名称。该名称可以包含 3-128 个字符。只允许使用字母、数字、句点、下划线和短划线。

选择要从中获取事件的合作伙伴应用程序来源。如果您要与来自您自己的应用程序（在本地或云中托管）的事件集成，请选择 My custom integration（我的自定义集成）。

在 Event delivery location（事件传送位置）中，选择将相同活动事件记录到现有事件数据存储中，或创建新的事件数据存储。

如果您选择创建新的事件数据存储，请输入事件数据存储的名称，并以天为单位指定保留期。保留期的有效值为 7 到 2557（七年）之间的整数。事件数据存储将保留指定天数内的事件数据。默认情况下，事件数据将保留 2557 天。

如果您选择将活动事件记录到一个或多个现有事件数据存储中，请从列表中选择事件数据存储。事件数据存储只能包含活动事件。控制台中的事件类型必须是 Events from integrations（来自集成的事件）。在 API 中，eventCategory 值必须为 ActivityAuditLog。

在 Resource policy（资源策略）中，为集成的通道配置资源策略。资源策略是 JSON 策略文档，它们指定了指定主体可在资源上执行的操作，以及在什么条件下执行操作。在资源策略中定义为主体的账户可以调用 PutAuditEvents API，以向您的通道传送事件。如果资源所有者的 IAM policy 允许 cloudtrail-data:PutAuditEvents 操作，则资源所有者将拥有对资源的隐式访问权限。

该策略所需的信息由集成类型决定。要进行方向整合，CloudTrail自动添加合作伙伴的Amazon账户 ID，并要求您输入合作伙伴提供的唯一外部 ID。对于解决方案集成，您必须指定至少一个 Amazon 账户 ID 作为主体，并且可以选择输入外部 ID，以防范混淆代理。

1. 对于直接集成，请输入您的合作伙伴提供的外部 ID。集成合作伙伴将提供唯一的外部 ID（如账户 ID 或随机生成的字符串）用于集成，以防范混淆代理。合作伙伴负责创建和提供唯一的外部 ID。

   您可以选择 How to find this?（如何查找？），以查看描述如何查找外部 ID 的合作伙伴文档。

   注意

   如果资源策略包括外部 ID，则针对 PutAuditEvents API 的所有调用都必须包括该外部 ID。但是，如果策略未定义外部 ID，合作伙伴仍然可以调用 PutAuditEvents API，并指定 externalId 参数。

2. 要进行解决方案集成，请选择添加AmazonAmazon账户以指定要在策略中添加为委托人的账户 ID。

（可选）在 Tags（标签）区域中，您最多可以添加 50 个标签键和值对，以帮助您对事件数据存储和通道的访问进行识别、排序和控制。要详细了解如何使用 IAM 策略以根据标签授权对事件数据存储的访问，请参阅示例：拒绝基于标签创建或删除事件数据存储的访问权限。有关如何在中使用标签的更多信息Amazon，请参阅中的Amazon Web Services 一般参考标记Amazon资源。

在准备好创建新的集成后，请选择 Add integration（添加集成）。没有审阅页。CloudTrail创建集成，但您必须向合作伙伴应用程序提供渠道亚马逊资源名称 (ARN)。有关向合作伙伴应用程序提供通道 ARN 的说明，可在合作伙伴文档网站上找到。有关更多信息，请在 Integrations（集成）页面的 Available sources（可用来源）选项卡上，选择与合作伙伴相对应的 Learn more（了解更多）链接，以便在 Amazon Web Services Marketplace 中打开合作伙伴的页面。

登录Amazon Web Services Management Console并通过 https://console.aws.amazon.com/cloudtrail/ 打开CloudTrail控制台。

在导航窗格的 Lake 下，选择集成。

在 Add integration（添加集成）页面上，为您的通道输入名称。该名称可以包含 3-128 个字符。只允许使用字母、数字、句点、下划线和短划线。

选择 My custom integration（我的自定义集成）。

在 Event delivery location（事件传送位置）中，选择将相同活动事件记录到现有事件数据存储中，或创建新的事件数据存储。

如果您选择创建新的事件数据存储，请输入事件数据存储的名称，并以天为单位指定保留期。保留期的有效值为 7 到 2557（七年）之间的整数。事件数据存储将保留指定天数内的事件数据。默认情况下，事件数据将保留 2557 天。

如果您选择将活动事件记录到一个或多个现有事件数据存储中，请从列表中选择事件数据存储。事件数据存储只能包含活动事件。控制台中的事件类型必须是 Events from integrations（来自集成的事件）。在 API 中，eventCategory 值必须为 ActivityAuditLog。

在 Resource policy（资源策略）中，为集成的通道配置资源策略。资源策略是 JSON 策略文档，它们指定了指定主体可在资源上执行的操作，以及在什么条件下执行操作。在资源策略中定义为主体的账户可以调用 PutAuditEvents API，以向您的通道传送事件。

1. （可选）输入唯一的外部 ID，以提供额外一层保护。该外部 ID 是一个唯一的字符串，如账户 ID 或随机生成的字符串，以防范混淆代理。

   注意

   如果资源策略包括外部 ID，则针对 PutAuditEvents API 的所有调用都必须包括该外部 ID。但是，如果策略未定义外部 ID，您仍然可以调用 PutAuditEvents API，并指定 externalId 参数。

2. 选择添加Amazon账户，在频道的资源策略中指定要添加为委托人的每个Amazon账户 ID。

（可选）在 Tags（标签）区域中，您最多可以添加 50 个标签键和值对，以帮助您对事件数据存储和通道的访问进行识别、排序和控制。要详细了解如何使用 IAM 策略以根据标签授权对事件数据存储的访问，请参阅示例：拒绝基于标签创建或删除事件数据存储的访问权限。有关如何在中使用标签的更多信息Amazon，请参阅中的Amazon Web Services 一般参考标记Amazon资源。

在准备好创建新的集成后，请选择 Add integration（添加集成）。没有审阅页。CloudTrail创建集成，但要集成您的自定义事件，您必须在PutAuditEvents请求中指定频道 ARN。

调用 PutAuditEvents API 将您的活动事件采集到。CloudTrail每个 PutAuditEvents 请求最多可以添加 100 个活动事件（或最多 1MB）。您需要在前面的步骤中创建的频道 ARN、CloudTrail要添加的事件的负载以及外部 ID（如果为您的资源策略指定）。在将事件负载纳入之前，请确保事件负载中没有敏感或个人身份信息。CloudTrail您收录到的活动CloudTrail必须遵循. CloudTrail湖泊集成事件架构

以下示例演示了如何使用 put-audit-events CLI 命令。--audit-events 和 --channel-arn 参数是必需的。您需要在前面的步骤中创建的通道的 ARN，可以从集成详细信息页面复制该 ARN。的值--audit-events是事件对象的 JSON 数组。 --audit-events包括来自事件的必需 ID、作为值的事件的所需负载，以及一个可选的EventData校验和，用于在摄入事件后帮助验证事件的完整性。CloudTrail

aws cloudtrail-data put-audit-events \
--region region \
--channel-arn $ChannelArn \
--audit-events \
id="event_ID",eventData='"{event_payload}"' \
id="event_ID",eventData='"{event_payload}"',eventDataChecksum="optional_checksum"

以下是包含两个事件示例的示例命令。

aws cloudtrail-data put-audit-events \
--region us-east-1 \
--channel-arn arn:aws:cloudtrail:us-east-1:01234567890:channel/EXAMPLE8-0558-4f7e-a06a-43969EXAMPLE \
--audit-events \
id="EXAMPLE3-0f1f-4a85-9664-d50a3EXAMPLE",eventData='"{\"eventVersion\":\0.01\",\"eventSource\":\"custom1.domain.com\", ...
\}"' \
id="EXAMPLE7-a999-486d-b241-b33a1EXAMPLE",eventData='"{\"eventVersion\":\0.02\",\"eventSource\":\"custom2.domain.com\", ...
\}"',eventDataChecksum="EXAMPLE6e7dd61f3ead...93a691d8EXAMPLE"

以下示例命令添加了 --cli-input-json 参数，以指定事件有效负载的 JSON 文件（custom-events.json）。

aws cloudtrail-data put-audit-events \
--channel-arn $channelArn \
--cli-input-json file://custom-events.json \
--region us-east-1

以下是示例 JSON 文件 custom-events.json 的示例内容。

{
    "auditEvents": [
      {
        "eventData": "{\"version\":\"eventData.version\",\"UID\":\"UID\",
        \"userIdentity\":{\"type\":\"CustomUserIdentity\",\"principalId\":\"principalId\",
        \"details\":{\"key\":\"value\"}},\"eventTime\":\"2021-10-27T12:13:14Z\",\"eventName\":\"eventName\",
        \"userAgent\":\"userAgent\",\"eventSource\":\"eventSource\",
        \"requestParameters\":{\"key\":\"value\"},\"responseElements\":{\"key\":\"value\"},
        \"additionalEventData\":{\"key\":\"value\"},
        \"sourceIPAddress\":\"source_IP_address\",\"recipientAccountId\":\"recipient_account_ID\"}",
        "id": "1"
      }
   ]
}

登录Amazon Web Services Management Console并通过 https://console.aws.amazon.com/cloudtrail/ 打开CloudTrail控制台。

在导航窗格的 Lake 下，选择集成。

在 Integrations（集成）页面上，选择 Available sources（可用资源），然后选择与您要查看其文档的合作伙伴相对应的 Learn more（了解更多）。