Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异，请参阅 中国的 Amazon Web Services 服务入门 (PDF)。

使用 Amazon CLI 查看 CloudTrail 事件

您可以使用 aws cloudtrail lookup-events 命令查找过去 90 天的 CloudTrail 事件。此 lookup-events 命令具有以下选项：

本主题介绍了这些选项。有关使用 Amazon 命令行界面的一般信息，请参阅 Amazon Command Line Interface 用户指南。

先决条件

获取命令行帮助

要查看 lookup-events 的命令行帮助，请键入以下命令：

aws cloudtrail lookup-events help

查找事件

要查看最新的 10 个事件，请键入以下命令：

aws cloudtrail lookup-events

返回的事件看起来类似于以下虚构示例（为便于阅读，该示例已经过格式编排）：

{
    "NextToken": "kbOt5LlZe++mErCebpy2TgaMgmDvF1kYGFcH64JSjIbZFjsuvrSqg66b5YGssKutDYIyII4lrP4IDbeQdiObkp9YAlju3oXd12juy3CIZW8=", 
    "Events": [
        {
            "EventId": "0ebbaee4-6e67-431d-8225-ba0d81df5972", 
            "Username": "root", 
            "EventTime": 1424476529.0, 
            "CloudTrailEvent": "{
                  \"eventVersion\":\"1.02\",
                  \"userIdentity\":{
                        \"type\":\"Root\",
                        \"principalId\":\"111122223333\",
                        \"arn\":\"arn:aws:iam::111122223333:root\",
                        \"accountId\":\"111122223333\"},
                  \"eventTime\":\"2015-02-20T23:55:29Z\",
                  \"eventSource\":\"signin.amazonaws.com\",
                  \"eventName\":\"ConsoleLogin\",
                  \"awsRegion\":\"us-east-2\",
                  \"sourceIPAddress\":\"203.0.113.4\",
                  \"userAgent\":\"Mozilla/5.0\",
                  \"requestParameters\":null,
                  \"responseElements\":{\"ConsoleLogin\":\"Success\"},
                  \"additionalEventData\":{
                         \"MobileVersion\":\"No\",
                         \"LoginTo\":\"https://console.aws.amazon.com/console/home",
                         \"MFAUsed\":\"No\"},
                  \"eventID\":\"0ebbaee4-6e67-431d-8225-ba0d81df5972\",
                  \"eventType\":\"AwsApiCall\",
                  \"recipientAccountId\":\"111122223333\"}", 
            "EventName": "ConsoleLogin", 
            "Resources": []
        }
    ]
}        

有关输出中与查找相关的字段的说明，请参阅本文档后面的查找输出字段部分。有关 CloudTrail 事件中的字段的说明，请参阅 CloudTrail 记录内容。

指定要返回的事件数目

要指定要返回的事件数目，请键入以下命令：

aws cloudtrail lookup-events --max-results <integer>

<integer> 的默认值为 10。可能的值介于 1 和 50 之间。以下示例返回一个结果。

aws cloudtrail lookup-events --max-results 1

按时间范围查找事件

可查找过去 90 天发生的事件。要指定时间范围，请键入以下命令：

aws cloudtrail lookup-events --start-time <timestamp> --end-time <timestamp>

--start-time <timestamp> 指定仅返回在指定时间或之后发生的事件。如果指定的开始时间晚于指定的结束时间，则将返回错误。

--end-time <timestamp> 指定仅返回在指定时间或之前发生的事件。如果指定的结束时间早于指定的开始时间，则将返回错误。

默认开始时间为过去 90 天内提供数据的最早日期。默认结束时间为在最接近当前时间发生事件的时间。

有效 <timestamp> 格式

--start-time 和 --end-time 属性接受 UNIX 时间值或有效的等效项。

以下是有效格式的示例。可用连字符或正斜杠将日期、月份和年份值分隔开来。如果有空格，则必须使用双引号。

1422317782
1422317782.0
01-27-2015
01-27-2015,01:16PM
"01-27-2015, 01:16 PM"
"01/27/2015, 13:16"
2015-01-27
"2015-01-27, 01:16 PM"

按属性查找事件

要按属性进行筛选，请键入以下命令：

aws cloudtrail lookup-events --lookup-attributes AttributeKey=<attribute>,AttributeValue=<string>

您只能为每个 lookup-events 命令指定一个属性密钥/值对。以下是AttributeKey的值。值的名称区分大小写。

属性查找示例

以下示例命令返回区域 cn-northwest-1 中的事件，它允许您查看全球服务事件。用您的配置的适当值替换 gseService。

aws cloudtrail --region cn-northwest-1  lookup-events --lookup-attributes AttributeKey=EventName,AttributeValue=gseService

以下示例命令返回 AccessKeyId 值为 AKIAIOSFODNN7EXAMPLE 的事件。

aws cloudtrail lookup-events --lookup-attributes AttributeKey=AccessKeyId,AttributeValue=AKIAIOSFODNN7EXAMPLE

以下示例命令返回指定的 CloudTrail EventId 的事件。

aws cloudtrail lookup-events --lookup-attributes AttributeKey=EventId,AttributeValue=b5cc8c40-12ba-4d08-a8d9-2bceb9a3e002

以下示例命令返回 EventName 值为 RunInstances 的事件。

aws cloudtrail lookup-events --lookup-attributes AttributeKey=EventName,AttributeValue=RunInstances

以下示例命令返回 EventSource 值为 iam.amazonaws.com 的事件。

aws cloudtrail lookup-events --lookup-attributes AttributeKey=EventSource,AttributeValue=iam.amazonaws.com

以下示例命令返回写入事件。它不包含读取事件（如 GetBucketLocation 和 DescribeStream）。

aws cloudtrail lookup-events --lookup-attributes AttributeKey=ReadOnly,AttributeValue=false

以下示例命令返回 ResourceName 值为 CloudTrail_CloudWatchLogs_Role 的事件。

aws cloudtrail lookup-events --lookup-attributes AttributeKey=ResourceName,AttributeValue=CloudTrail_CloudWatchLogs_Role

以下示例命令返回 ResourceType 值为 AWS::S3::Bucket 的事件。

aws cloudtrail lookup-events --lookup-attributes AttributeKey=ResourceType,AttributeValue=AWS::S3::Bucket

以下示例命令返回 Username 值为 root 的事件。

aws cloudtrail lookup-events --lookup-attributes AttributeKey=Username,AttributeValue=root

指定下一页结果

要从 lookup-events 命令获取下一页结果，请键入以下命令：

aws cloudtrail lookup-events <same parameters as previous command> --next-token=<token>

其中，<token> 的值来自于上一个命令输出的第一个字段。

在命令中使用 --next-token 时，您必须使用与上一个命令中相同的参数。例如，假设您运行以下命令：

aws cloudtrail lookup-events --lookup-attributes AttributeKey=Username,AttributeValue=root

要获取下一页结果，您的下一个命令将如下所示：

aws cloudtrail lookup-events --lookup-attributes AttributeKey=Username,AttributeValue=root --next-token=kbOt5LlZe++mErCebpy2TgaMgmDvF1kYGFcH64JSjIbZFjsuvrSqg66b5YGssKutDYIyII4lrP4IDbeQdiObkp9YAlju3oXd12juy3CIZW8=

从文件中获取 JSON 输入

一些 Amazon 服务的 Amazon CLI 具有两个参数（--generate-cli-skeleton 和 --cli-input-json），可用于生成 JSON 模板，您可以修改模板并用作 --cli-input-json 参数的输入。本部分介绍如何将这些参数和 aws cloudtrail lookup-events 结合使用。有关更多一般信息，请参阅生成 CLI 框架和 CLI 输入 JSON 参数。

查找输出字段