Protokollieren Amazon S3 API S3-Anrufen mit AWS CloudTrail

Amazon S3 ist in einen Service integriert AWS CloudTrail, der eine Aufzeichnung der von einem Benutzer, einer Rolle oder einem ausgeführten Aktionen bereitstellt AWS -Service. CloudTrail erfasst alle API Aufrufe für Amazon S3 als Ereignisse. Zu den erfassten Anrufen gehören Anrufe von der Amazon S3 S3-Konsole und Code-Aufrufe an die Amazon S3 API S3-Operationen. Anhand der von gesammelten Informationen können Sie die Anfrage CloudTrail, die an Amazon S3 gestellt wurde, die IP-Adresse, von der aus die Anfrage gestellt wurde, den Zeitpunkt der Anfrage und weitere Details ermitteln.

Jeder Ereignis- oder Protokolleintrag enthält Informationen zu dem Benutzer, der die Anforderung generiert hat. Die Identitätsinformationen unterstützen Sie bei der Ermittlung der folgenden Punkte:

• Ob die Anfrage mit Anmeldeinformationen des Root-Benutzers oder des Benutzers gestellt wurde.

• Ob die Anfrage im Namen eines IAM Identity Center-Benutzers gestellt wurde.

• Gibt an, ob die Anforderung mit temporären Sicherheitsanmeldeinformationen für eine Rolle oder einen Verbundbenutzer gesendet wurde.

• Ob die Anforderung aus einem anderen AWS -Service gesendet wurde.

CloudTrail ist in Ihrem aktiv AWS-Konto , wenn Sie das Konto erstellen, und Sie haben automatisch Zugriff auf den CloudTrail Eventverlauf. Der CloudTrail Ereignisverlauf bietet eine einsehbare, durchsuchbare, herunterladbare und unveränderliche Aufzeichnung der aufgezeichneten Verwaltungsereignisse der letzten 90 Tage in einem. AWS-Region Weitere Informationen finden Sie im AWS CloudTrail Benutzerhandbuch unter Arbeiten mit dem CloudTrail Ereignisverlauf. Für die Anzeige des Eventverlaufs CloudTrail fallen keine Gebühren an.

Für eine fortlaufende Aufzeichnung der Ereignisse in AWS-Konto den letzten 90 Tagen erstellen Sie einen Trail- oder CloudTrailLake-Event-Datenspeicher.

CloudTrail Pfade

Ein Trail ermöglicht CloudTrail die Übermittlung von Protokolldateien an einen Amazon S3 S3-Bucket. Alle mit dem erstellten Pfade AWS Management Console sind regionsübergreifend. Sie können einen Pfad mit einer oder mehreren Regionen erstellen, indem Sie den verwenden. AWS CLI Es wird empfohlen, einen Trail mit mehreren Regionen zu erstellen, da Sie alle Aktivitäten in Ihrem Konto AWS-Regionen erfassen. Wenn du einen Trail mit nur einer Region erstellst, kannst du dir nur die Ereignisse ansehen, die in den Trails protokolliert wurden. AWS-Region Weitere Informationen zu Trails finden Sie unter Einen Trail für Sie erstellen AWS-Konto und Einen Trail für eine Organisation erstellen im AWS CloudTrail Benutzerhandbuch.

Sie können eine Kopie Ihrer laufenden Verwaltungsereignisse kostenlos an Ihren Amazon S3 S3-Bucket senden, CloudTrail indem Sie einen Trail erstellen. Es fallen jedoch Amazon S3 S3-Speichergebühren an. Weitere Informationen zur CloudTrail Preisgestaltung finden Sie unter AWS CloudTrail Preise. Informationen zu Amazon-S3-Preisen finden Sie unter Amazon S3-Preise.

CloudTrail Datenspeicher für Ereignisse in Lake

CloudTrail Mit Lake können Sie SQL basierte Abfragen zu Ihren Ereignissen ausführen. CloudTrail Lake konvertiert bestehende Ereignisse im zeilenbasierten JSON Format in das ORCApache-Format. ORCist ein spaltenförmiges Speicherformat, das für den schnellen Abruf von Daten optimiert ist. Die Ereignisse werden in Ereignisdatenspeichern zusammengefasst, bei denen es sich um unveränderliche Sammlungen von Ereignissen handelt, die auf Kriterien basieren, die Sie mit Hilfe von erweiterten Ereignisselektoren auswählen. Die Selektoren, die Sie auf einen Ereignisdatenspeicher anwenden, steuern, welche Ereignisse bestehen bleiben und für Sie zur Abfrage verfügbar sind. Weitere Informationen zu CloudTrail Lake finden Sie im AWS CloudTrail Benutzerhandbuch unter Arbeiten mit AWS CloudTrail Lake.

CloudTrail Für das Speichern und Abfragen von Ereignisdaten in Lake fallen Kosten an. Beim Erstellen eines Ereignisdatenspeichers wählen Sie die Preisoption aus, die für den Ereignisdatenspeicher genutzt werden soll. Die Preisoption bestimmt die Kosten für die Erfassung und Speicherung von Ereignissen sowie die standardmäßige und maximale Aufbewahrungsdauer für den Ereignisdatenspeicher. Weitere Informationen zur Preisgestaltung finden Sie unter CloudTrail AWS CloudTrail Preisgestaltung.

Sie können Ihre Protokolldateien beliebig lange im Bucket speichern. Sie können aber auch Amazon S3-Lebenszyklusregeln aufstellen, anhand derer die Protokolldateien automatisch archiviert oder gelöscht werden. Standardmäßig werden Ihre Protokolldateien mithilfe der serverseitigen Amazon S3 S3-Verschlüsselung (SSE) verschlüsselt.

Verwenden von CloudTrail Protokollen mit Amazon S3 S3-Serverzugriffsprotokollen und CloudWatch Protokollen

AWS CloudTrail Protokolle zeichnen Aktionen auf, die von einem Benutzer, einer Rolle oder einem AWS Service in Amazon S3 ausgeführt wurden, während Amazon S3-Serverzugriffsprotokolle detaillierte Aufzeichnungen über die Anfragen enthalten, die an einen S3-Bucket gestellt werden. Weitere Informationen zur Funktionsweise der unterschiedlichen Protokolle und ihren Eigenschaften, ihrer Leistung und ihrer Kosten finden Sie unter Protokollierungsoptionen für Amazon S3.

Sie können AWS CloudTrail Protokolle zusammen mit Serverzugriffsprotokollen für Amazon S3 verwenden. CloudTrail Protokolle bieten Ihnen eine detaillierte API Nachverfolgung von Amazon S3 S3-Vorgängen auf Bucket- und Objektebene. Serverzugriffsprotokolle für Amazon S3 bieten Ihnen Einblick in Vorgänge auf Objektebene mit Ihren Daten in Amazon S3. Weitere Informationen zu Server-Zugriffsprotokollen finden Sie unter Protokollieren von Anfragen mit Server-Zugriffsprotokollierung.

Sie können CloudTrail Protokolle auch zusammen mit Amazon CloudWatch für Amazon S3 verwenden. CloudTrail Durch die Integration mit CloudWatch Logs werden API Aktivitäten auf S3-Bucket-Ebene, die von erfasst wurden CloudTrail , in einem CloudWatch Protokollstream in der von Ihnen CloudWatch angegebenen Protokollgruppe bereitgestellt. Sie können CloudWatch Alarme zur Überwachung bestimmter API Aktivitäten erstellen und E-Mail-Benachrichtigungen erhalten, wenn die bestimmte API Aktivität auftritt. Weitere Informationen zu CloudWatch Alarmen zur Überwachung bestimmter API Aktivitäten finden Sie im AWS CloudTrail Benutzerhandbuch. Weitere Informationen zur Verwendung CloudWatch mit Amazon S3 finden Sie unterMetriken mit Amazon überwachen CloudWatch.

Anmerkung

S3 unterstützt nicht die Übermittlung von CloudTrail Protokollen an den Anforderer oder den Bucket-Besitzer für VPC Endpunktanfragen, wenn die VPC Endpunktrichtlinie diese ablehnt.

CloudTrail Nachverfolgung mit Amazon S3 SOAP API S3-Anrufen

CloudTrail verfolgt Amazon S3 SOAP API S3-Anrufe. Die Amazon S3 SOAP S3-Unterstützung HTTP ist veraltet, aber sie ist weiterhin verfügbar. HTTPS Weitere Informationen zur Amazon S3 SOAP S3-Unterstützung finden Sie unterAnhang A: Verwenden der SOAP-API.

Wichtig

Neuere Amazon S3 S3-Funktionen werden nicht unterstütztSOAP. Wir empfehlen Ihnen, entweder den REST API oder den zu verwenden AWS SDKs.

Amazon S3 SOAP S3-Aktionen, die durch CloudTrail Protokollierung verfolgt werden
SOAPAPIName	APIName des Ereignisses, der im CloudTrail Protokoll verwendet wird
ListAllMyBuckets	ListBuckets
CreateBucket	CreateBucket
DeleteBucket	DeleteBucket
GetBucketAccessControlPolicy	GetBucketAcl
SetBucketAccessControlPolicy	PutBucketAcl
GetBucketLoggingStatus	GetBucketLogging
SetBucketLoggingStatus	PutBucketLogging

Weitere Informationen zu Amazon S3 CloudTrail und Amazon S3 finden Sie in den folgenden Themen:

Themen

• Amazon S3 CloudTrail S3-Ereignisse
• CloudTrail Protokolldateieinträge für Amazon S3 und S3 auf Outposts
• Aktivieren der CloudTrail Ereignisprotokollierung für S3-Buckets und -Objekte
• Identifizieren von Amazon S3 S3-Anfragen mit CloudTrail