Protokollierungsoptionen für Amazon S3

Sie können die Aktionen aufzeichnen, die von Benutzern, Rollen oder AWS-Services Amazon S3 S3-Ressourcen ausgeführt werden, und Protokollaufzeichnungen für Prüf- und Compliance-Zwecke verwalten. Dazu können Sie die Serverzugriffsprotokollierung, die AWS CloudTrail -Protokollierung oder eine Kombination aus beiden verwenden. Wir empfehlen Ihnen, CloudTrail für die Protokollierung von Aktionen auf Bucket- und Objektebene für Ihre Amazon S3 S3-Ressourcen zu verwenden. Weitere Informationen zu jeder Option finden Sie in folgenden Abschnitten:

• Protokollieren von Anfragen mit Server-Zugriffsprotokollierung

• Protokollieren Amazon S3 API S3-Anrufen mit AWS CloudTrail

In der folgenden Tabelle sind die wichtigsten Eigenschaften von CloudTrail Protokollen und Amazon S3-Serverzugriffsprotokollen aufgeführt. Sehen Sie sich die Tabelle und die Hinweise an, um sicherzustellen, dass dies Ihren Sicherheitsanforderungen CloudTrail entspricht.

Protokolleigenschaften	AWS CloudTrail	Amazon-S3-Serverprotokolle
Kann an andere Systeme weitergeleitet werden (Amazon CloudWatch Logs, Amazon CloudWatch Events)	Ja	Nein
Protokolle an mehreren Zielen bereitstellen (Beispiel: dieselben Protokolle an zwei verschiedene Buckets senden)	Ja	Nein
Protokolle für eine Teilmenge von Objekten aktivieren (Präfix)	Ja	Nein
Kontoübergreifende Protokollbereitstellung (Ziel- und Quell-Bucket in Besitz von verschiedenen Konten)	Ja	Nein
Integritätsprüfung der Protokolldatei mit digitaler Signatur oder Hashing	Ja	Nein
Standardeinstellung oder Auswahl der Verschlüsselung für Protokolldateien	Ja	Nein
Objektoperationen (mithilfe von Amazon S3APIs)	Ja	Ja
Bucket-Operationen (mithilfe von Amazon S3APIs)	Ja	Ja
Durchsuchbare UI für Protokolle	Ja	Nein
Felder für Objektsperrparameter, Amazon S3 Select-Eigenschaften für Protokolldatensätze	Ja	Nein
Felder für Object Size, Total Time, Turn-Around Time und HTTP Referer für Protokolldatensätze	Nein	Ja
Lebenszyklusübertragungen, Ablaufaktionen, Wiederherstellungen	Nein	Ja
Protokollieren von Schlüsseln in einer Batch-Delete-Operation	Nein	Ja
Authentifizierungsfehler1	Nein	Ja
Konten, an die Protokolle geliefert werden	Bucket-Eigentümer2 und Auftraggeber	Nur Bucket-Eigentümer
Performance and Cost	AWS CloudTrail	Amazon S3 Server Logs
Preis	Verwaltungsereignisse (erste Bereitstellung) sind kostenlos. Für Datenereignisse fällt zusätzlich zur Speicherung der Protokolle eine Gebühr an	Keine Zusatzkosten neben der Speicherung der Protokolle
Geschwindigkeit der Protokollbereitstellung	Datenereignisse alle 5 Minuten; Verwaltungsereignisse alle 15 Minuten	Innerhalb weniger Stunden
Protokollformat	JSON	Protokolldatei mit durch Leerzeichen getrennten, durch neue Zeilen getrennten Datensätzen

Hinweise

1. CloudTrail liefert keine Protokolle für Anfragen, bei denen die Authentifizierung fehlschlägt (bei denen die angegebenen Anmeldeinformationen nicht gültig sind). Es enthält jedoch Protokolle für Anforderungen, deren Authentifizierung fehlschlägt (AccessDenied), und Anforderungen, die von anonymen Benutzern gestellt werden.

2. Der S3-Bucket-Besitzer erhält CloudTrail Protokolle, wenn das Konto keinen vollen Zugriff auf das Objekt in der Anfrage hat. Weitere Informationen finden Sie unter Amazon S3 S3-Aktionen auf Objektebene in kontoübergreifenden Szenarien.

3. S3 unterstützt nicht die Übermittlung von CloudTrail Protokollen oder Serverzugriffsprotokollen an den Anforderer oder den Bucket-Besitzer für VPC Endpunktanfragen, wenn die VPC Endpunktrichtlinie sie ablehnt, oder für Anfragen, die fehlschlagen, bevor die VPC Richtlinie ausgewertet wurde.