Überwachung von Amazon Quick mit CloudTrail

Amazon Quick ist integriert in AWS CloudTrail. Dieser Service bietet eine Aufzeichnung der Aktionen, die von einem Benutzer, einer Rolle oder einem AWS Dienst in Amazon Quick ergriffen wurden. CloudTrail erfasst API-Aufrufe für Amazon Quick als Ereignisse. Zu den erfassten Aufrufen gehören einige Aufrufe von der Konsole und alle Codeaufrufen für API-Operationen. Wenn Sie einen Trail erstellen, können Sie die kontinuierliche Übertragung von CloudTrail Ereignissen an einen Amazon S3-Bucket aktivieren, einschließlich Ereignissen für Amazon Quick. Wenn Sie keinen Trail konfigurieren, können Sie die neuesten Ereignisse trotzdem in der CloudTrail Konsole im Event-Verlauf einsehen. Anhand der gesammelten Informationen können Sie ermitteln CloudTrail, wer wann eine Anfrage an Amazon Quick gestellt hat. Sie können auch die Quell-IP-Adresse, die spezifische Anfrage und andere Details identifizieren.

Anmerkung

CloudTrail Datensätze, die Amazon Quick API-Operationen unterstützt haben, und die Nicht-API-Ereignisse, die auf dieser Seite dokumentiert sind. Wenn Sie Beispiele für Ereignisse untersuchen, enthalten die Veranstaltungsaufzeichnungen ausgewählte Metadaten wie Konto-ID, Ressourcen-ID und Benutzeridentität. Verwenden Sie für Chat-Konversationen und FeedbackAmazon Quick mithilfe von CloudWatch Protokollen überwachen. Das vollständige Signal-by-Capability-Modell finden Sie unter. Reaktion, Protokollierung und Überwachung von Vorfällen in Amazon Quick

Amazon Quick veröffentlicht Betriebskennzahlen für CloudWatch, und Sie können CloudWatch Alarme für diese Metriken erstellen. Weitere Informationen finden Sie unter Alarme mit der CloudWatch Amazon-Konsole erstellen. Um bei einzelnen CloudTrail Ereignissen zu warnen, können Sie eine benutzerdefinierte Lösung entwickeln, die CloudTrail Protokolle verarbeitet.

Der Amazon Quick-Servicestatus kann im Service Health Dashboard eingesehen werden.

CloudTrail Verschlüsselt standardmäßig die an Ihren Bucket übermittelten Protokolldateien mit S3-managed Amazon-Verschlüsselungsschlüsseln (SSE-S3). Für eine direkt verwaltbare Sicherheitsebene können Sie stattdessen AWS KMS-verwaltete Schlüssel (SSE-KMS) für Ihre Protokolldateien verwenden. CloudTrail SSE-KMS verschlüsselt die Protokolldateien, aber nicht die Digest-Dateien. Digest-Dateien werden mit S3-managed Amazon-Verschlüsselungsschlüsseln () verschlüsselt. SSE-S3

Weitere Informationen CloudTrail, einschließlich der Konfiguration und Aktivierung, finden Sie im AWS CloudTrail Benutzerhandbuch.

Protokollierung von Amazon Quick-Vorgängen mit AWS CloudTrail

Zielgruppe: Systemadministratoren

CloudTrail ist in Ihrem AWS Konto aktiviert, wenn Sie das Konto erstellen. Wenn in Amazon Quick eine unterstützte Eventaktivität stattfindet, wird diese Aktivität zusammen mit anderen CloudTrail AWS Serviceereignissen im Eventverlauf in einem Ereignis aufgezeichnet. Sie können aktuelle Ereignisse in Ihrem AWS Konto anzeigen, suchen und herunterladen. Weitere Informationen finden Sie unter Anzeigen von Ereignissen mit dem CloudTrail -API-Ereignisverlauf.

Für eine fortlaufende Aufzeichnung der Ereignisse in Ihrem AWS Konto, einschließlich der Ereignisse für Amazon Quick, erstellen Sie einen Trail. Ein Trail ermöglicht CloudTrail die Übermittlung von Protokolldateien an einen Amazon S3-Bucket. Wenn Sie einen Trail in der Konsole anlegen, gilt dieser für alle -Regionen. Der Trail protokolliert Ereignisse aus allen Regionen in der AWS -Partition und stellt die Protokolldateien in dem von Ihnen angegebenen Amazon-S3-Bucket bereit. Darüber hinaus können Sie andere AWS Dienste konfigurieren, um die in den CloudTrail Protokollen gesammelten Ereignisdaten weiter zu analysieren und darauf zu reagieren. Weitere Informationen finden Sie hier:

• Übersicht zum Erstellen eines Trails

• CloudTrail Unterstützte Dienste und Integrationen

• Konfiguration von Amazon SNS-Benachrichtigungen für CloudTrail

• Empfangen von CloudTrail Protokolldateien aus mehreren Regionen und Empfangen von CloudTrail Protokolldateien von mehreren Konten

• Cross-Account CloudTrailAnmeldung im AWS Lake Formation Developer Guide — Dieses Thema enthält Anweisungen zur Aufnahme von Prinzipidentitäten in kontoübergreifende Protokolle CloudTrail.

Amazon Quick unterstützt die Protokollierung der folgenden Aktionen als Ereignisse in CloudTrail Protokolldateien:

• Ob die Anfrage mit Root- oder AWS Identity and Access Management Benutzeranmeldeinformationen gestellt wurde

• Ob die Anfrage mit temporären Sicherheitsanmeldeinformationen für eine IAM-Rolle oder einen Verbundbenutzer ausgeführt wurde

• Ob die Anfrage von einem anderen AWS Dienst gestellt wurde

Weitere Informationen zur Benutzeridentität finden Sie unter CloudTrail userIdentity Element.

Standardmäßig enthält jeder Amazon Quick-Log-Eintrag die folgenden Informationen:

• userIdentity – Benutzeridentität

• eventTime – Ereigniszeit

• eventId — Ereignis-ID

• readOnly – Schreibgeschützt

• AWS-Region — AWS-Region

• eventSource (quicksight) — Quelle des Ereignisses (Amazon Quick)

• eventType (AwsServiceEvent) — Ereignistyp (AWS Serviceereignis)

• Empfänger AccountId ( AWS Kundenkonto) — Konto-ID des Empfängers ( AWS Kundenkonto)

Einige Ereignisse enthalten ein userIdentity.invokedBy Feld, das auf gesetzt istquicksight.amazonaws.com. Dies weist darauf hin, dass das Ereignis vom Amazon Quick-Service im Namen des Kontos und nicht durch eine direkte Benutzeraktion ausgelöst wurde. Sie können dieses Feld verwenden, um bei der Analyse Ihres Trails von benutzerinitiierten Vorgängen von dienstinternen Aufrufen zu unterscheiden.

Anmerkung

CloudTrail zeigt die Benutzeridentität wie unknown bei Benutzern an, die direkt von Amazon Quick bereitgestellt wurden (ältere Bereitstellung). Benutzer, die über IAM Identity Center authentifiziert wurden, werden so angezeigt, als hätten sie IdentityCenterUser alle onBehalfOf Details im Element. userIdentity

Entdecken Sie Amazon Quick-Ereignisse in Ihrem Trail

Amazon Quick fügt neue Veranstaltungsnamen hinzu, wenn Funktionen eingeführt und weiterentwickelt werden. Die unten aufgeführten Nicht-API-Ereignisse stellen eine Teilmenge dessen dar, was Ihr Trail erfasst. Um alle Amazon Quick-Ereignisse in Ihrem Konto zu ermitteln, fragen Sie Ihren Trail nach den eventName Werten ab eventSource: quicksight.amazonaws.com und überprüfen Sie sie. Die Namen der Ereignisse folgen einem einheitlichen Muster: Der Name der Operation (z. B. CreateFlow oderUpdateAgent) entspricht der Funktion, auf die sie sich bezieht.

Beispiel: Amazon Quick-Logdateieinträge

Ein Trail ist eine Konfiguration, die die Übermittlung von Ereignissen als Protokolldateien an einen von Ihnen angegebenen Amazon S3-Bucket ermöglicht. CloudTrail Protokolldateien enthalten einen oder mehrere Protokolleinträge. Ein Ereignis ist eine einzelne Anforderung aus einer beliebigen Quelle und enthält Informationen zur angeforderten Aktion, zu Datum und Uhrzeit der Aktion, zu den Anforderungsparametern usw. CloudTrail -Protokolldateien stellen kein geordnetes Stack-Trace der öffentlichen API-Aufrufe dar. Daher werden sie nicht in einer bestimmten Reihenfolge angezeigt.

Das folgende Beispiel zeigt einen CloudTrail Protokolleintrag, der die BatchCreateUser Aktion veranschaulicht.

{ 
   "eventVersion":"1.11",
   "userIdentity":
	{ 
	   "type":"Root",
	   "principalId":"123456789012",
	   "arn":"arn:aws:iam::123456789012:root",
	   "accountId":"123456789012",
	   "userName":"test-username"
	},
	   "eventTime":"2017-04-19T03:16:13Z",
	   "eventSource":"quicksight.amazonaws.com",
	   "eventName":"BatchCreateUser",
	   "awsRegion":"us-west-2",
	   "requestParameters":null,
	   "responseElements":null,
	   "eventID":"e7d2382e-70a0-3fb7-9d41-a7a913422240",
	   "readOnly":false,
	   "eventType":"AwsServiceEvent",
	   "recipientAccountId":"123456789012",
	   "serviceEventDetails":
	   { 
		   "eventRequestDetails":
		   { 
				"users":
				{ 
					"test-user-11":
					{ 
						"role":"USER"
					},
					"test-user-22":
					{ 
						"role":"ADMIN"
					}
				}
			},
			"eventResponseDetails":
			{ 
			"validUsers":[ 
				],
			"InvalidUsers":[ 
				"test-user-11",
				"test-user-22"
				]
			}
	   }
   }
        

Protokollierung von Amazon Quick-Datenereignissen in CloudTrail

Zusätzlich zu Verwaltungsereignissen unterstützt Amazon Quick CloudTrail Datenereignisse für ausgewählte Ressourcentypen. Datenereignisse sind standardmäßig deaktiviert. Aktiviere sie mithilfe der erweiterten Event-Selektoren auf deinem Trail.

Die folgenden Amazon Quick-Ressourcentypen unterstützen Datenereignisse:

Ressourcentyp	Ereignisname	Verfügbarkeit
AWS::Quicksight::ActionConnector	InvokeAction	Allgemein verfügbar
AWS::QuickSight::Flow	–	Allgemein verfügbar
AWS::QuickSight::FlowSession	–	Allgemein verfügbar
AWS::Quicksight::Companion	–	Variiert je nach Region
AWS::Quicksight::CompanionAccess	–	Variiert je nach Region
AWS::QuickSight::Namespace	–	Variiert je nach Region

Wichtig

Data-event Die Verfügbarkeit des Ressourcentyps variiert je nach Konto und. AWS-Region Wenn ein Ressourcentyp in Ihrer Region nicht unterstützt wird, gibt der put-event-selectors Aufruf einen Fehler für diesen Typ zurück. Erstellen put-event-selectors Sie einen Aufruf, der nur die in Ihrer Region unterstützten Ressourcentypen enthält, und lassen Sie nicht unterstützte Typen in diesem Aufruf aus.

Anmerkung

Die Groß- und Kleinschreibung von ARNs vom Ressourcentyp QuickSight im Quicksight Vergleich zum Ressourcentyp ist beabsichtigt und variiert je nach Ressourcentyp. Verwenden Sie bei der Konfiguration von Event-Selektoren exakt die oben abgebildete Groß- und Kleinschreibung.

Datenereignisse aktivieren

Verwenden Sie erweiterte Event-Selektoren, um Datenereignisse zu aktivieren. Fügen Sie einen Selektor für Verwaltungsereignisse hinzu, um die Protokollierung von Verwaltungsereignissen beizubehalten:

aws cloudtrail put-event-selectors \
  --trail-name your-trail-name \
  --region us-east-1 \
  --advanced-event-selectors '[
    { "Name": "All management events",
      "FieldSelectors": [ { "Field": "eventCategory", "Equals": ["Management"] } ] },
    { "Name": "Quick action connector data events",
      "FieldSelectors": [
        { "Field": "eventCategory", "Equals": ["Data"] },
        { "Field": "resources.type", "Equals": ["AWS::Quicksight::ActionConnector"] } ] },
    { "Name": "Quick flow data events",
      "FieldSelectors": [
        { "Field": "eventCategory", "Equals": ["Data"] },
        { "Field": "resources.type", "Equals": ["AWS::QuickSight::Flow"] } ] },
    { "Name": "Quick flow session data events",
      "FieldSelectors": [
        { "Field": "eventCategory", "Equals": ["Data"] },
        { "Field": "resources.type", "Equals": ["AWS::QuickSight::FlowSession"] } ] }
  ]'

Fügen Sie Selektoren für und, hinzu AWS::Quicksight::CompanionAWS::Quicksight::CompanionAccess, AWS::QuickSight::Namespace sofern dies in Ihrer Region unterstützt wird.

InvokeActionDatenereignis

Wenn ein Benutzer oder Flow einen Aktionsconnector aufruft, wird ein InvokeAction Datenereignis CloudTrail aufgezeichnet. Dieses Ereignis erfasst die folgenden Informationen:

• Identität des Anrufers, einschließlich onBehalfOf.userId und endUserArn

• Das Ende actionConnectorId actionId der aufgerufenen Aktion

• Das Ergebnis: invokeActionStatus und httpStatusCode

• readOnly: false(immer)

• eventCategory: Data, managementEvent: false

• Art der Ressource: AWS::Quicksight::ActionConnector

Wichtig

InvokeActionenthält weder die Eingabeparameter der Aktion (z. B. einen E-Mail-Empfänger, Betreff oder Text) noch eine Genehmigungsentscheidung. Verwenden Sie CloudWatch Verkaufsprotokolle für Konversationsinhalte.

Anmerkung

Das readOnly Feld ist immer false für Aufrufe des Action Connectors vorgesehen, einschließlich schreibgeschützter Aktionen wie das Auflisten von E-Mails. Um Lese- und Schreibvorgänge zu unterscheiden, filtern Sie nach dem Feld und actionId nicht nach dem Feld. readOnly

Das folgende Beispiel zeigt ein InvokeAction Datenereignis für eine erfolgreiche E-Mail-Aktion:

{
    "eventVersion": "1.11",
    "userIdentity": {
        "type": "IdentityCenterUser",
        "accountId": "111122223333",
        "onBehalfOf": {
            "userId": "a1b2c3d4-e5f6-7890-abcd-ef1234567890",
            "identityStoreArn": "arn:aws:identitystore::111122223333:identitystore/d-1234567890"
        }
    },
    "eventTime": "2026-08-19T20:26:36Z",
    "eventSource": "quicksight.amazonaws.com",
    "eventName": "InvokeAction",
    "awsRegion": "us-east-1",
    "sourceIPAddress": "203.0.113.1",
    "requestParameters": {
        "awsAccountId": "111122223333",
        "actionConnectorId": "52bde8f0-3de5-4e3d-9283-222f81a9fc4f",
        "actionId": "SendUserEmail",
        "endUserArn": "arn:aws:quicksight:us-east-1:111122223333:user/default/johndoe"
    },
    "responseElements": {
        "invokeActionStatus": "SUCCESS",
        "invokeActionOutput": {
            "httpInvokeActionOutput": {
                "httpStatusCode": "200"
            }
        }
    },
    "readOnly": false,
    "resources": [
        {
            "accountId": "111122223333",
            "type": "AWS::Quicksight::ActionConnector",
            "ARN": "arn:aws:quicksight:us-east-1:111122223333:action-connector/52bde8f0-3de5-4e3d-9283-222f81a9fc4f"
        }
    ],
    "eventType": "AwsApiCall",
    "managementEvent": false,
    "eventCategory": "Data"
}

Verfolgung von Ereignissen, die nicht von der API stammen, mithilfe von Protokollen CloudTrail

Die folgenden Nicht-API-Ereignisse werden in Ihrem CloudTrail Trail erfasst:

Benutzerverwaltung

• CreateAccount— Konto erstellen

• BatchCreateUser— Benutzer erstellen

• BatchResendUserInvite— Nutzer einladen

• UpdateGroups— Gruppen aktualisieren

  Dieses Ereignis funktioniert nur in der Enterprise-Edition.

• UpdateSpiceCapacity— SPICE Kapazität aktualisieren

• DeleteUser— Benutzer löschen

• Unsubscribe – Abonnement eines Benutzers beenden

Abonnement

• CreateSubscription— Abonnement erstellen

• UpdateSubscription— Abonnement aktualisieren

• DeleteSubscription— Abonnement löschen

Dashboard

• GetDashboard— Dashboard abrufen

• CreateDashboard— Dashboard erstellen

• UpdateDashboard— Dashboard aktualisieren

• UpdateDashboardAccess— Dashboard-Zugriff aktualisieren

• DeleteDashboard— Dashboard löschen

Analyse

• GetAnalysis— Analyse abrufen

• CreateAnalysis— Analyse erstellen

• UpdateAnalysisAccess— Analysis Access aktualisieren

• UpdateAnalysis— Analyse aktualisieren

  • RenameAnalysis— Analyse umbenennen

  • CreateVisual— Visuell erstellen

  • RenameVisual— Visual umbenennen

  • DeleteVisual— Visual löschen

  • DeleteAnalysis— Analyse löschen

Datenquelle

• CreateDataSource— Datenquelle erstellen

  • FlatFile— Flache Datei

  • External – Extern

  • S3 – S3

  • ImportS3ManifestFile— S3-Manifestdatei

  • Presto – Presto

  • RDS – RDS

  • Redshift – Redshift (manuell)

• UpdateDataSource— Datenquelle aktualisieren

• DeleteDataSource— Datenquelle löschen

Dataset

• CreateDataSet— Datensatz erstellen

  • CustomSQL – Benutzerdefinierte SQL

  • SQLTable – SQL-Tabelle

  • File – CSV oder XLSX

• UpdateDataSet— SQL-Join-Datensatz aktualisieren

• UpdateDatasetAccess— Datensatzzugriff aktualisieren

• DeleteDataSet— Datensatz löschen

• Querydatabase – Fragen Sie während einer Datensatzaktualisierung die Datenquelle ab.