Verwaltung von Ereignisdatenspeichern mit dem AWS CLI

In diesem Abschnitt werden mehrere andere Befehle beschrieben, die Sie ausführen können, um Informationen zu Ihren Ereignisdatenspeichern abzurufen, die Aufnahme in einen Ereignisdatenspeicher zu starten und zu beenden und den Verbund in einem Ereignisdatenspeicher zu aktivieren und zu deaktivieren.

Holen Sie sich einen Ereignisdatenspeicher mit AWS CLI

Der folgende AWS CLI get-event-data-store Beispielbefehl gibt Informationen über den durch den erforderlichen --event-data-store Parameter angegebenen Ereignisdatenspeicher zurück, der ein ARN oder das ID-Suffix von akzeptiert. ARN

aws cloudtrail get-event-data-store \
--event-data-store arn:aws:cloudtrail:us-east-1:123456789012:eventdatastore/EXAMPLE-f852-4e8f-8bd1-bcf6cEXAMPLE

Nachfolgend finden Sie eine Beispielantwort. Die Erstellung und die letzten aktualisierten Zeiten sind im timestamp-Format.

{
    "EventDataStoreARN": "arn:aws:cloudtrail:us-east-1:123456789012:eventdatastore/EXAMPLE-f852-4e8f-8bd1-bcf6cEXAMPLE",
    "Name": "s3-data-events-eds",
    "Status": "ENABLED",
    "AdvancedEventSelectors": [
        {
            "Name": "Log DeleteObject API calls for a specific S3 bucket",
            "FieldSelectors": [
                {
                    "Field": "eventCategory",
                    "Equals": [
                        "Data"
                    ]
                },
                {
                    "Field": "eventName",
                    "Equals": [
                        "DeleteObject"
                    ]
                },
                {
                    "Field": "resources.ARN",
                    "StartsWith": [
                        "arn:aws:s3:::amzn-s3-demo-bucket"
                    ]
                },
                {
                    "Field": "readOnly",
                    "Equals": [
                        "false"
                    ]
                },
                {
                    "Field": "resources.type",
                    "Equals": [
                        "AWS::S3::Object"
                    ]
                }
            ]
        }
    ],
    "MultiRegionEnabled": true,
    "OrganizationEnabled": false,
    "BillingMode": "FIXED_RETENTION_PRICING",
    "RetentionPeriod": 2557,
    "TerminationProtectionEnabled": true,
    "CreatedTimestamp": "2023-11-09T22:20:36.344000+00:00",
    "UpdatedTimestamp": "2023-11-09T22:20:36.476000+00:00"
}

Listet alle Ereignisdatenspeicher in einem Konto auf mit AWS CLI

Der folgende AWS CLI list-event-data-stores Beispielbefehl gibt Informationen über alle Ereignisdatenspeicher in einem Konto in der aktuellen Region zurück. Optionale Parameter umfassen --max-results, um eine maximale Anzahl von Ergebnissen anzugeben, die der Befehl auf einer einzelnen Seite zurückgeben soll. Wenn es mehr Ergebnisse als den von Ihnen angegebenen --max-results-Wert gibt, führen Sie den Befehl NextToken erneut aus und fügen den zurückgegebenen Wert hinzu, um die nächste Seite mit Ergebnissen zu erhalten.

aws cloudtrail list-event-data-stores

Nachfolgend finden Sie eine Beispielantwort.

{
    "EventDataStores": [
        {
            "EventDataStoreArn": "arn:aws:cloudtrail:us-east-1:123456789012:eventdatastore/EXAMPLE7-cad6-4357-a84b-318f9868e969",
            "Name": "management-events-eds"
        },
        {
            "EventDataStoreArn": "arn:aws:cloudtrail:us-east-1:123456789012:eventdatastore/EXAMPLE6-88e1-43b7-b066-9c046b4fd47a",
            "Name": "config-items-eds"
        },
        {
            "EventDataStoreArn": "arn:aws:cloudtrail:us-east-1:123456789012:eventdatastore/EXAMPLEf-b314-4c85-964e-3e43b1e8c3b4",
            "Name": "s3-data-events"
        }
    ]
}

Stoppen Sie die Aufnahme in einen Ereignisdatenspeicher mit dem AWS CLI

Mit dem folgenden AWS CLI stop-event-data-store-ingestion Beispielbefehl wird verhindert, dass ein Ereignisdatenspeicher Ereignisse aufnimmt. Um die Aufnahme zu beenden, muss der Status-Ereignisdatenspeicher ENABLED sein und eventCategory muss Management, Data oder ConfigurationItem sein. Der Ereignisdatenspeicher wird durch angegeben--event-data-store, was einen Ereignisdatenspeicher akzeptiertARN, oder das ID-Suffix von. ARN Nach der Ausführung von stop-event-data-store-ingestion ändert sich der Status des Ereignisdatenspeichers zu STOPPED_INGESTION.

Der Ereignisdatenspeicher wird auf die maximale Anzahl von zehn Ereignisdatenspeichern in Ihrem Konto angerechnet, wenn dessen Status STOPPED_INGESTION ist.

aws cloudtrail stop-event-data-store-ingestion \
--event-data-store arn:aws:cloudtrail:us-east-1:123456789012:eventdatastore/EXAMPLE-f852-4e8f-8bd1-bcf6cEXAMPLE

Wenn der Befehl erfolgreich ausgeführt wird, erfolgt keine Reaktion.

Starten Sie die Aufnahme in einen Ereignisdatenspeicher mit dem AWS CLI

Der folgende AWS CLI start-event-data-store-ingestion Beispielbefehl startet die Ereignisaufnahme in einem Ereignisdatenspeicher. Um die Aufnahme zu starten, muss der Status-Ereignisdatenspeicher STOPPED_INGESTION sein und eventCategory muss Management, Data oder ConfigurationItem sein. Der Ereignisdatenspeicher wird durch angegeben--event-data-store, was einen Ereignisdatenspeicher akzeptiertARN, oder das ID-Suffix von. ARN Nach der Ausführung von start-event-data-store-ingestion ändert sich der Status des Ereignisdatenspeichers zu ENABLED.

aws cloudtrail start-event-data-store-ingestion --event-data-store arn:aws:cloudtrail:us-east-1:123456789012:eventdatastore/EXAMPLE-f852-4e8f-8bd1-bcf6cEXAMPLE

Wenn der Befehl erfolgreich ausgeführt wird, erfolgt keine Reaktion.

Aktivieren eines Verbunds zu einem Ereignisdatenspeicher

Um den Verbund zu aktivieren, führen Sie den Befehl aws cloudtrail enable-federation aus und geben Sie die erforderlichen Parameter --event-data-store und --role ein. Geben Sie für --event-data-store den Ereignisdatenspeicher ARN (oder das ID-Suffix von) anARN. Für--role, geben Sie das ARN für Ihre Verbundrolle an. Die Rolle muss in Ihrem Konto vorhanden sein und über die erforderlichen Mindestberechtigungen verfügen.

aws cloudtrail enable-federation \
--event-data-store arn:aws:cloudtrail:region:account-id:eventdatastore/eds-id
--role arn:aws:iam::account-id:role/federation-role-name

Dieses Beispiel zeigt, wie ein delegierter Administrator den Verbund für den Ereignisdatenspeicher einer Organisation aktivieren kann, indem er die Rolle ARN des Ereignisdatenspeichers im Verwaltungskonto und die ARN Verbundrolle im delegierten Administratorkonto angibt.

aws cloudtrail enable-federation \
--event-data-store arn:aws:cloudtrail:region:management-account-id:eventdatastore/eds-id
--role arn:aws:iam::delegated-administrator-account-id:role/federation-role-name

Deaktivieren eines Verbunds zu einem Ereignisdatenspeicher

Führen Sie den Befehl aws cloudtrail disable-federation aus, um den Verbund im Ereignisdatenspeicher zu deaktivieren. Der Ereignisdatenspeicher wird durch angegeben--event-data-store, was einen Ereignisdatenspeicher ARN oder das ID-Suffix von akzeptiert. ARN

aws cloudtrail disable-federation \
--event-data-store arn:aws:cloudtrail:region:account-id:eventdatastore/eds-id

Anmerkung

Wenn es sich um den Ereignisdatenspeicher einer Organisation handelt, geben Sie die Konto-ID für das Verwaltungskonto an.

Stellen Sie einen Ereignisdatenspeicher wieder her mit AWS CLI

Der folgende AWS CLI restore-event-data-store-Beispielbefehl stellt einen Ereignisdatenspeicher wieder her, der zum Löschen ansteht. Der Ereignisdatenspeicher wird durch angegeben--event-data-store, was einen Ereignisdatenspeicher ARN oder das ID-Suffix von akzeptiert. ARN Sie können einen gelöschten Ereignisdatenspeicher nur innerhalb der siebentägigen Wartezeit nach dem Löschen wiederherstellen.

aws cloudtrail restore-event-data-store \
--event-data-store EXAMPLE-f852-4e8f-8bd1-bcf6cEXAMPLE

Die Antwort enthält Informationen über den Ereignisdatenspeicher, einschließlich seiner ARN erweiterten Ereignisselektoren, und den Status der Wiederherstellung.