本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。 # Amazon CloudTrail 整合 **迁移现已开放** Amazon 代理注册表已在新`agent-registry`命名空间下启动。2026 年 10 月 30 日将停止对公共预览版`bedrock-agentcore`命名空间的支持。有关迁移说明，请参阅[注册表迁移综合指南](registry-faq.md)。 Amazon 代理注册表与集成 Amazon CloudTrail，可记录用户、角色或 Amazon 服务所执行的操作。 CloudTrail 将 Amazon 代理注册表的 API 调用捕获为事件。捕获的调用包括来自 Amazon 代理注册表控制台的调用和对 Amazon 代理注册表 API 操作的代码调用。 Amazon 代理注册表支持记录两类事件： + **管理事件** — 创建、配置和管理注册表和注册表记录的 Control-plane 操作（例如`CreateRegistry`，`UpdateRegistryRecord`）。**默认情况下会记录**管理事件；您无需采取任何操作即可接收它们。 + **数据事件** — High-volume 在注册表上或注册表内执行的数据平面操作（例如，发现记录或调用 MCP）。**默认情况下不记录**数据事件。要接收它们，您必须创建跟踪并明确启用`AWS::AgentRegistry::Registry`资源类型的数据事件记录。 要持续记录您的 Amazon 账户中的事件，包括 Amazon 代理注册表的事件，请创建跟踪。跟踪允许 CloudTrail 将日志文件传输到 Amazon S3 存储桶。如果您未配置跟踪，您仍然可以在 CloudTrail 控制台的事件**历史**记录中查看最新的管理事件（数据事件不会显示在事件历史记录中）。 ## 管理事件 管理事件（也称为控制平面事件）显示对注册表和注册表记录执行的管理操作。系统会默认记录管理事件。 **事件源**： `agent-registry.amazonaws.com` 支持的管理事件： | API 操作 | readOnly | | --- | --- | | CreateRegistry | 否 | | GetRegistry | 是 | | UpdateRegistry | 否 | | DeleteRegistry | 否 | | ListRegistries | 是 | | CreateRegistryRecord | 否 | | GetRegistryRecord | 是 | | UpdateRegistryRecord | 否 | | DeleteRegistryRecord | 否 | | ListRegistryRecords | 是 | | SubmitRegistryRecordForApproval | 否 | | UpdateRegistryRecordStatus | 否 | 客户自由文本字段（例如`name`、`description``statusReason`、和描述符）`data`已编辑为。`HIDDEN_DUE_TO_SECURITY_REASONS``clientToken`（一个等性标记，不是秘密）以明文形式保存。 ### 管理活动示例 — CreateRegistry ``` { "eventVersion": "1.11", "eventSource": "agent-registry.amazonaws.com", "eventName": "CreateRegistry", "eventCategory": "Management", "eventType": "AwsApiCall", "readOnly": false, "managementEvent": true, "awsRegion": "us-east-1", "eventID": "a1b2c3d4-5678-90ab-cdef-EXAMPLE11111", "requestID": "b2c3d4e5-6789-01bc-def0-EXAMPLE22222", "sourceIPAddress": "192.0.2.1", "recipientAccountId": "123456789012", "userIdentity": { "type": "AssumedRole", "principalId": "AROAEXAMPLEID:Alice", "arn": "arn:aws:sts::123456789012:assumed-role/Admin/Alice", "accountId": "123456789012", "sessionContext": { "sessionIssuer": { "type": "Role", "principalId": "AROAEXAMPLEID", "arn": "arn:aws:iam::123456789012:role/Admin", "accountId": "123456789012", "userName": "Admin" }, "attributes": { "creationDate": "2026-07-14T20:46:07Z", "mfaAuthenticated": "false" } } }, "requestParameters": { "name": "HIDDEN_DUE_TO_SECURITY_REASONS", "description": "HIDDEN_DUE_TO_SECURITY_REASONS", "clientToken": "12345678-1234-1234-1234-123456789012" }, "responseElements": { "registryArn": "arn:aws:agent-registry:us-east-1:123456789012:registry/EXAMPLEregistry" }, "resources": [ { "type": "AWS::AgentRegistry::Registry", "accountId": "123456789012", "ARN": "arn:aws:agent-registry:us-east-1:123456789012:registry/EXAMPLEregistry" } ] } ``` ## 数据事件 通过数据事件，可以查看在注册表上或注册表内执行的资源操作。这些操作通常是大批量的。默认情况下不记录数据事件；您必须在跟踪中启用它们。 **事件源**： `agent-registry.amazonaws.com` **资源类型：**`AWS::AgentRegistry::Registry` 支持的数据事件（全部为只读）： | API 操作 | 说明 | | --- | --- | | SearchDiscoverableRegistryRecords | 搜索可发现的注册表记录 | | ListDiscoverableRegistryRecords | 列出注册表中可发现的注册表记录 | | BatchGetDiscoverableRegistryRecord | 检索多个可发现的注册表记录 | | InvokeRegistryMcp | 调用注册表的模型上下文协议 (MCP) 端点 | **注意** 的默认设置 CloudTrail 是仅记录管理事件。确保您的账户启用了数据事件。由于繁忙的注册表可能会在短时间内生成大量事件，因此请注意启用数据事件记录的时间有多长。 **重要** 记录数据事件将收取额外费用。有关更多信息，请参阅 Amazon 网站上的[Amazon CloudTrail 定价](https://www.amazonaws.cn/cloudtrail/pricing/)。 ### 示例数据事件 — SearchDiscoverableRegistryRecords 客户自由文本字段 (`searchQuery`,`filters`) 已编辑为。`HIDDEN_DUE_TO_SECURITY_REASONS`由于这些是只读操作，`responseElements`因此为空且省略。 ``` { "eventVersion": "1.11", "eventSource": "agent-registry.amazonaws.com", "eventName": "SearchDiscoverableRegistryRecords", "eventCategory": "Data", "eventType": "AwsApiCall", "readOnly": true, "managementEvent": false, "awsRegion": "us-east-1", "eventID": "c3d4e5f6-7890-12cd-ef01-EXAMPLE33333", "requestID": "d4e5f6a7-8901-23de-f012-EXAMPLE44444", "sourceIPAddress": "192.0.2.1", "userAgent": "aws-sdk-java/2.0", "recipientAccountId": "123456789012", "userIdentity": { "type": "AssumedRole", "principalId": "AROAEXAMPLEID:Alice", "arn": "arn:aws:sts::123456789012:assumed-role/Admin/Alice", "accountId": "123456789012", "sessionContext": { "sessionIssuer": { "type": "Role", "principalId": "AROAEXAMPLEID", "arn": "arn:aws:iam::123456789012:role/Admin", "accountId": "123456789012", "userName": "Admin" }, "attributes": { "creationDate": "2026-07-23T06:16:34Z", "mfaAuthenticated": "false" } } }, "requestParameters": { "searchQuery": "HIDDEN_DUE_TO_SECURITY_REASONS", "registryIds": ["arn:aws:agent-registry:us-east-1:123456789012:registry/EXAMPLEregistry"], "filters": "HIDDEN_DUE_TO_SECURITY_REASONS" }, "resources": [ { "type": "AWS::AgentRegistry::Registry", "accountId": "123456789012", "ARN": "arn:aws:agent-registry:us-east-1:123456789012:registry/EXAMPLEregistry" } ] } ``` ## 为启用 CloudTrail 日志记录 Amazon 代理注册表 ### 管理事件（无需设置） 默认情况下，管理事件会记录并在 CloudTrail **事件历史**记录中显示 90 天，无需支付额外费用。要延长其保留时间或将其交付到 Amazon S3，请按照下一节所述创建跟踪；默认情况下，跟踪包括管理事件。 ### 数据事件（需要带有数据事件选择器的跟踪） 要记录 Amazon Agent Registry 数据事件，请创建跟踪（或编辑现有跟踪），然后为`AWS::AgentRegistry::Registry`资源类型添加数据事件选择器。 #### 使用控制台 1. 打开 [Amazon CloudTrail 控制台](https://console.amazonaws.cn/cloudtrail/)。 1. 在导航窗格中，选择**跟踪**，然后选择**创建跟踪**（或选择现有跟踪并**编辑**）。 1. 输入**跟踪名称**，然后选择或创建用于日志传输**的 S3 存储桶**。选择其他路径设置，然后选择**下一步**。 1. 在**事件**下，选择**数据事件**。 1. 对于**数据事件类型**，请从下拉列表中选择 “** Amazon 代理注册表**”。 1. 选择**日志选择器模板**： + **记录所有事件**以记录每个数据事件，或者 + **自定义**，按属性（例如`readOnly``eventName`、或）进行筛选`resources.ARN`（例如，仅记录特定的注册表）。 1. 选择 “**下一步**”，查看您的设置，然后选择 “**创建跟踪**”（或**保存更改**）。 创建跟踪后， Amazon 代理注册表数据事件将传送到您的 S3 存储桶。 #### 使用 Amazon CLI 创建跟踪（如果您还没有），然后为`AWS::AgentRegistry::Registry`资源类型附加高级事件选择器。 **注意** 用于日志传输的 Amazon S3 存储桶必须具有授予写入日志文件的 CloudTrail 权限的存储桶策略。如果您指定的存储桶不是通过 CloudTrail 控制台创建的，则必须自己附加此策略。有关更多信息，请参阅 Amazon CloudTrail 用户指南[中的 Amazon S3 存储桶策略 CloudTrail](https://docs.amazonaws.cn/awscloudtrail/latest/userguide/create-s3-bucket-policy-for-cloudtrail.html)和[Amazon 使用 CLI 创建跟踪](https://docs.amazonaws.cn/awscloudtrail/latest/userguide/cloudtrail-create-and-update-a-trail-by-using-the-aws-cli-create-trail.html)。 ``` # 1. Create a trail (skip if you already have one; the S3 bucket must already have the # CloudTrail bucket policy attached — see the note above) aws cloudtrail create-trail \ --name my-agent-registry-trail \ --s3-bucket-name my-cloudtrail-bucket # 2. Log all Agent Registry data events aws cloudtrail put-event-selectors \ --trail-name my-agent-registry-trail \ --advanced-event-selectors '[ { "Name": "Log all Agent Registry data events", "FieldSelectors": [ { "Field": "eventCategory", "Equals": ["Data"] }, { "Field": "resources.type", "Equals": ["AWS::AgentRegistry::Registry"] } ] } ]' # 3. Start logging aws cloudtrail start-logging --name my-agent-registry-trail ``` 要缩小您记录的事件范围，请添加更多字段选择器。例如，要仅记录特定的注册表，请执行以下操作： ``` aws cloudtrail put-event-selectors \ --trail-name my-agent-registry-trail \ --advanced-event-selectors '[ { "Name": "Log data events for one registry", "FieldSelectors": [ { "Field": "eventCategory", "Equals": ["Data"] }, { "Field": "resources.type", "Equals": ["AWS::AgentRegistry::Registry"] }, { "Field": "resources.ARN", "Equals": ["arn:aws:agent-registry:us-east-1:123456789012:registry/EXAMPLEregistry"] } ] } ]' ```