Eventos de administración Eventos de lectura y escritura Registro de eventos con la AWS Command Line Interface Registro de eventos con los SDK de AWS Envío de eventos a Amazon CloudWatch Logs

Registro de eventos de administración

De forma predeterminada, los registros de seguimiento y los almacenes de datos de eventos registran eventos de administración y no incluyen datos ni eventos de Insights.

Se aplican cargos adicionales por los eventos de datos o de Insights. Para obtener más información, consulte AWS CloudTrail Precios.

Contenido

Eventos de administración

Los eventos de administración proporcionan visibilidad de las operaciones de administración que se realizan en los recursos de su AWS cuenta. Se denominan también operaciones del plano de control. Algunos ejemplos de eventos de administración son los siguientes:

Configuración de la seguridad (por ejemplo, operaciones de la API AttachRolePolicy de IAM)
Registro de dispositivos (por ejemplo, operaciones de la API CreateDefaultVpc de Amazon EC2)
Configuración de reglas para el enrutamiento de datos (por ejemplo, operaciones de la API CreateSubnet de Amazon EC2)
Configurar el registro (por ejemplo, las operaciones AWS CloudTrail CreateTrail de la API)

Los eventos de administración también pueden incluir eventos no generados por la API que se producen en su cuenta. Por ejemplo, cuando un usuario inicia sesión en tu cuenta, CloudTrail registra el ConsoleLogin evento. Para obtener más información, consulte Eventos ajenos a la API capturados por CloudTrail.

De forma predeterminada, los registros de seguimiento y los almacenes de datos de eventos están configurados para registrar eventos de administración.

nota

La función de historial de CloudTrail eventos solo admite eventos de administración. No puede excluir AWS KMS ni los eventos de la API de datos de Amazon RDS del historial de eventos; los ajustes que aplique a un almacén de datos de eventos o senderos no se aplican al historial de eventos. Para obtener más información, consulte Trabajar con el historial de CloudTrail eventos.

Registrar los eventos de gestión con el AWS Management Console

Inicie sesión en la CloudTrail consola AWS Management Console y ábrala en https://console.aws.amazon.com/cloudtrail/.
Para actualizar una ruta, abre la página Rutas de la CloudTrail consola y elige el nombre de la ruta.

Para actualizar un banco de datos de eventos, abra la página de almacenes de datos de eventos de la CloudTrail consola y elija el nombre del banco de datos de eventos.
En Management events (Eventos de administración), elija Edit (Editar).
- Seleccione si desea que el registro de seguimiento o el almacén de datos de eventos registren eventos de Lectura, Escritura, o ambos.
- Elija Excluir AWS KMS eventos para filtrar AWS Key Management Service (AWS KMS) los eventos de su almacén de datos de rutas o eventos. La configuración predeterminada es incluir todos los AWS KMS eventos.
  
  La opción de registrar o excluir AWS KMS eventos solo está disponible si registra los eventos de administración en su registro o en el almacén de datos de eventos. Si decide no registrar los eventos de administración, los AWS KMS eventos no se registran y no puede cambiar la configuración AWS KMS del registro de eventos.
  
  AWS KMS acciones como EncryptDecrypt, y GenerateDataKey suelen generar un gran volumen (más del 99%) de eventos. Estas acciones se registran ahora como eventos de lectura. AWS KMS Las acciones relevantes de bajo volumen, como DisableDelete, y ScheduleKey (que normalmente representan menos del 0,5% del volumen de AWS KMS eventos) se registran como eventos de escritura.
  
  Para excluir eventos de gran volumenEncrypt, comoDecrypt, yGenerateDataKey, sin dejar de registrar eventos relevantesDisable, como Delete yScheduleKey, elija registrar eventos de administración de escritura y desactive la casilla Excluir eventos. AWS KMS
- Seleccione Excluir eventos de la API de datos de Amazon RDS para quitar del registro de seguimiento o del almacén de datos de eventos los eventos de la API de datos de Amazon Relational Database Service. La configuración predeterminada es incluir a todos los eventos de la API de datos de Amazon RDS. A fin de obtener más información sobre los eventos de API de datos de Amazon RDS, consulte Registro de llamadas a la API de datos con AWS CloudTrail en la Guía del usuario de Amazon RDS para Aurora.
Cuando haya terminado, seleccione Guardar cambios.

Eventos de lectura y escritura

Cuando configure su registro de seguimiento o almacén de datos de eventos para registrar eventos de administración, puede indicar si desea que se registren eventos de solo lectura, de solo escritura, o ambos.

Lectura

Los eventos de solo lectura incluyen los roles de API que leen sus recursos, pero no realizan cambios. Por ejemplo, los eventos de solo lectura incluyen las operaciones de la API de Amazon EC2 DescribeSecurityGroups y DescribeSubnets. Estas operaciones devuelven únicamente información sobre sus recursos de Amazon EC2 y no cambian las configuraciones.
Escritura

Los eventos de solo escritura incluyen funciones de API que modifican (o podrían modificar) sus recursos. Por ejemplo, las operaciones de la API de Amazon EC2 RunInstances y TerminateInstances modifican sus instancias.

Ejemplo: Registro de eventos de lectura y escritura en registros de seguimiento individuales

El ejemplo siguiente muestra cómo puede configurar registros de seguimiento para dividir la actividad de registro de una cuenta en diferentes buckets de S3: un bucket recibe los eventos de solo lectura y un segundo bucket, aquellos de solo escritura.

Usted crea un registro de seguimiento y elige un bucket de S3 llamado read-only-bucket para recibir los archivos de registro. A continuación, actualiza el registro de seguimiento para indicar que desea registrar los eventos de administración de Read (Lectura).
Usted crea un segundo registro de seguimiento y elige un bucket de S3 denominado write-only-bucket para recibir los archivos de registro. A continuación, actualiza el registro de seguimiento para indicar que desea registrar los eventos de administración de escritura.
En su cuenta se generan las operaciones de la API DescribeInstances y TerminateInstances de Amazon EC2.
La operación de API DescribeInstances es un evento de solo lectura y coincide con la configuración del primer registro de seguimiento. El registro de seguimiento registra y envía el evento al read-only-bucket.
La operación de API TerminateInstances es un evento de solo escritura y coincide con la configuración del segundo registro de seguimiento. El registro de seguimiento registra y envía el evento al write-only-bucket.

Registro de eventos con la AWS Command Line Interface

Puede configurar sus registros de seguimiento o los almacenes de datos de eventos para que registren los eventos de administración con la AWS CLI.

Temas

Ejemplos: Registro de eventos de administración para los registros de seguimiento
Ejemplos: Registros de eventos de administración para los almacenes de datos de eventos

Ejemplos: Registro de eventos de administración para los registros de seguimiento

Para saber si su registro de seguimiento está registrando los eventos de administración, ejecute el comando get-event-selectors.


aws cloudtrail get-event-selectors --trail-name TrailName

El ejemplo siguiente devuelve la configuración predeterminada de un registro de seguimiento. De forma predeterminada, los registros de seguimiento registran todos los eventos de administración, registran los eventos de todos los orígenes de eventos y no registran los eventos de datos.


{
    "TrailARN": "arn:aws:cloudtrail:us-east-1:111122223333:trail/TrailName",
    "AdvancedEventSelectors": [
        {
            "Name": "Management events selector",
            "FieldSelectors": [
                {
                    "Field": "eventCategory",
                    "Equals": [
                        "Management"
                    ]
                }
            ]
        }
    ]
}

Puede utilizar selectores de eventos básicos o avanzados para registrar los eventos de administración. No puede aplicar selectores de eventos ni selectores de eventos avanzados a un registro de seguimiento. Si aplica selectores de eventos avanzados a un registro de seguimiento, se sobrescriben todos los selectores de eventos básicos existentes. En las siguientes secciones se proporcionan ejemplos de cómo registrar los eventos de administración mediante selectores de eventos avanzados y selectores de eventos básicos.

Temas

Ejemplos: registrar los eventos de administración de los senderos mediante selectores de eventos avanzados
Ejemplos: registrar los eventos de administración de los senderos mediante selectores de eventos básicos

Ejemplos: registrar los eventos de administración de los senderos mediante selectores de eventos avanzados

En el siguiente ejemplo, se crea un selector de eventos avanzado para una ruta cuyo nombre TrailNameincluye eventos de gestión de solo lectura y solo de escritura (omitiendo el readOnly selector), pero excluye eventos (). AWS Key Management Service AWS KMS Como AWS KMS los eventos se consideran eventos de gestión y puede haber un gran volumen de ellos, pueden tener un impacto sustancial en su CloudTrail factura si tiene más de un registro que capture los eventos de administración.

Si decide no registrar los eventos de administración, los AWS KMS eventos no se registrarán y no podrá cambiar la configuración AWS KMS del registro de eventos.

Para volver a iniciar el registro de AWS KMS eventos en una ruta, quite el eventSource selector y vuelva a ejecutar el comando.


aws cloudtrail put-event-selectors --trail-name TrailName \
--advanced-event-selectors '
[
  {
    "Name": "Log all management events except KMS events",
    "FieldSelectors": [
      { "Field": "eventCategory", "Equals": ["Management"] },
      { "Field": "eventSource", "NotEquals": ["kms.amazonaws.com"] }
    ]
  }
]'

El ejemplo devuelve los selectores de eventos avanzados configurados para el registro de seguimiento.


{
  "AdvancedEventSelectors": [
    {
      "Name": "Log all management events except KMS events",
      "FieldSelectors": [
        {
          "Field": "eventCategory", 
          "Equals": [ "Management" ]
        },
        {
          "Field": "eventSource", 
          "NotEquals": [ "kms.amazonaws.com" ]
        }
      ]
    }
  ],
  "TrailARN": "arn:aws:cloudtrail:us-east-2:123456789012:trail/TrailName"
}

Para comenzar de nuevo el registro de eventos excluidos en un registro de seguimiento, quite el selector eventSource, como se muestra en el siguiente comando.


aws cloudtrail put-event-selectors --trail-name TrailName \
--advanced-event-selectors '
[
  {
    "Name": "Log all management events",
    "FieldSelectors": [
      { "Field": "eventCategory", "Equals": ["Management"] }
    ]
  }
]'

El siguiente ejemplo crea un selector de eventos avanzado para una ruta cuyo nombre TrailNameincluye eventos de administración de solo lectura y solo escritura (omitiendo el readOnly selector), pero excluye los eventos de administración de Amazon RDS Data API. Para excluir los eventos de administración de la API de datos de Amazon RDS, especifique la fuente de eventos de la API de datos de Amazon RDS en el valor de cadena del eventSource campo:. rdsdata.amazonaws.com

Si decide no registrar los eventos de administración, los eventos de administración de la API de datos de Amazon RDS no se registran y no puede cambiar la configuración del registro de eventos de la API de datos de Amazon RDS.

Para volver a iniciar el registro de los eventos de administración de la API de datos de Amazon RDS en una ruta, quite el eventSource selector y vuelva a ejecutar el comando.


aws cloudtrail put-event-selectors --trail-name TrailName \
--advanced-event-selectors '
[
  {
    "Name": "Log all management events except Amazon RDS Data API management events",
    "FieldSelectors": [
      { "Field": "eventCategory", "Equals": ["Management"] },
      { "Field": "eventSource", "NotEquals": ["rdsdata.amazonaws.com"] }
    ]
  }
]'

El ejemplo devuelve los selectores de eventos avanzados configurados para el registro de seguimiento.


{
  "AdvancedEventSelectors": [
    {
      "Name": "Log all management events except Amazon RDS Data API management events",
      "FieldSelectors": [
        {
          "Field": "eventCategory", 
          "Equals": [ "Management" ]
        },
        {
          "Field": "eventSource", 
          "NotEquals": [ "rdsdata.amazonaws.com" ]
        }
      ]
    }
  ],
  "TrailARN": "arn:aws:cloudtrail:us-east-2:123456789012:trail/TrailName"
}

Para comenzar de nuevo el registro de eventos excluidos en un registro de seguimiento, quite el selector eventSource, como se muestra en el siguiente comando.


aws cloudtrail put-event-selectors --trail-name TrailName \
--advanced-event-selectors '
[
  {
    "Name": "Log all management events",
    "FieldSelectors": [
      { "Field": "eventCategory", "Equals": ["Management"] }
    ]
  }
]'

Ejemplos: registrar los eventos de administración de los senderos mediante selectores de eventos básicos

Para configurar el registro de seguimiento para que registre los eventos de administración, ejecute el comando put-event-selectors. El ejemplo siguiente muestra cómo configurar su registro de seguimiento para que incluya todos los eventos de administración para dos objetos de S3. Puede especificar entre 1 y 5 selectores de eventos en los registros de seguimiento. Puede especificar entre 1 y 250 recursos de datos en los registros de seguimiento.

nota

El número máximo de recursos de datos de S3 es 250, independientemente del número de selectores de eventos.


aws cloudtrail put-event-selectors --trail-name TrailName --event-selectors '[{ "ReadWriteType": "All", "IncludeManagementEvents":true, "DataResources": [{ "Type": "AWS::S3::Object", "Values": ["arn:aws:s3:::mybucket/prefix", "arn:aws:s3:::mybucket2/prefix2"] }] }]'

El ejemplo siguiente devuelve el selector de eventos configurado para el registro de seguimiento.


{
    "TrailARN": "arn:aws:cloudtrail:us-east-1:111122223333:trail/TrailName",
    "EventSelectors": [
        {
            "ReadWriteType": "All",
            "IncludeManagementEvents": true,
            "DataResources": [
                {
                    "Type": "AWS::S3::Object",
                    "Values": [
                        "arn:aws:s3:::mybucket/prefix",
                        "arn:aws:s3:::mybucket2/prefix2",
                    ]  
                }
            ],
            "ExcludeManagementEventSources": []
        }
    ]
}

Para excluir los eventos AWS Key Management Service (AWS KMS) de los registros de una ruta, ejecute el put-event-selectors comando y añada el atributo ExcludeManagementEventSources con un valor dekms.amazonaws.com. En el siguiente ejemplo, se crea un selector de eventos para una ruta cuyo nombre incluye TrailNamelos eventos de administración de solo lectura y solo de escritura, pero los excluye. AWS KMS Como AWS KMS puede generar un gran volumen de eventos, es posible que el usuario de este ejemplo desee limitar los eventos para gestionar el coste de un sendero.


aws cloudtrail put-event-selectors --trail-name TrailName --event-selectors '[{"ReadWriteType": "All","ExcludeManagementEventSources": ["kms.amazonaws.com"],"IncludeManagementEvents": true}]'

El ejemplo devuelve el selector de eventos configurado para el registro de seguimiento.


{
    "TrailARN": "arn:aws:cloudtrail:us-east-1:111122223333:trail/TrailName",
    "EventSelectors": [
        {
            "ReadWriteType": "All",
            "IncludeManagementEvents": true,
            "DataResources": [],
            "ExcludeManagementEventSources": [
                "kms.amazonaws.com"
            ]
        }
    ]
}

Para excluir los eventos de administración de la API de datos de Amazon RDS de los registros de una ruta, ejecute el put-event-selectors comando y añada el atributo ExcludeManagementEventSources con un valor derdsdata.amazonaws.com. El siguiente ejemplo crea un selector de eventos para una ruta cuyo nombre TrailNameincluye eventos de administración de solo lectura y solo escritura, pero excluye los eventos de administración de Amazon RDS Data API. Dado que la API de datos de Amazon RDS puede generar un gran volumen de eventos de administración, es posible que el usuario de este ejemplo desee limitar los eventos para administrar el costo de una ruta.


{
    "TrailARN": "arn:aws:cloudtrail:us-east-1:111122223333:trail/TrailName",
    "EventSelectors": [
        {
            "ReadWriteType": "All",
            "IncludeManagementEvents": true,
            "DataResources": [],
            "ExcludeManagementEventSources": [
                "rdsdata.amazonaws.com"
            ]
        }
    ]
}

Para volver a iniciar el registro AWS KMS de los eventos de administración de la API de datos de Amazon RDS en una ruta, pase una cadena vacía como el valor deExcludeManagementEventSources, tal y como se muestra en el siguiente comando.


aws cloudtrail put-event-selectors --trail-name TrailName --event-selectors '[{"ReadWriteType": "All","ExcludeManagementEventSources": [],"IncludeManagementEvents": true}]'

Para registrar AWS KMS los eventos relevantes en una rutaDisable, Delete pero excluir los eventos de gran volumenScheduleKey, comoEncrypt, y DecryptGenerateDataKey, registrar AWS KMS los eventos de administración de solo escritura, y mantener la configuración predeterminada para registrar los AWS KMS eventos, como se muestra en el siguiente ejemplo.


aws cloudtrail put-event-selectors --trail-name TrailName --event-selectors '[{"ReadWriteType": "WriteOnly","ExcludeManagementEventSources": [],"IncludeManagementEvents": true}]'

Ejemplos: Registros de eventos de administración para los almacenes de datos de eventos

Para ver si el almacén de datos de eventos incluye eventos de administración, ejecute el comando get-event-data-store.


aws cloudtrail get-event-data-store
--event-data-store arn:aws:cloudtrail:us-east-1:12345678910:eventdatastore/EXAMPLE-f852-4e8f-8bd1-bcf6cEXAMPLE

A continuación, se muestra un ejemplo de respuesta. Las horas de creación y última actualización están en formato timestamp.


{
    "EventDataStoreArn": "arn:aws:cloudtrail:us-east-1:12345678910:eventdatastore/EXAMPLE-f852-4e8f-8bd1-bcf6cEXAMPLE",
    "Name": "myManagementEvents",
    "Status": "ENABLED",
    "AdvancedEventSelectors": [
        {
            "Name": "Management events selector",
            "FieldSelectors": [
                {
                    "Field": "eventCategory",
                    "Equals": [
                        "Management"
                    ]
                }
            ]
        }
    ],
    "MultiRegionEnabled": true,
    "OrganizationEnabled": false,
    "BillingMode": "FIXED_RETENTION_PRICING",
    "RetentionPeriod": 2557,
    "TerminationProtectionEnabled": true,
    "CreatedTimestamp": "2023-02-04T15:56:27.418000+00:00",
    "UpdatedTimestamp": "2023-02-04T15:56:27.544000+00:00"
}

Para crear un almacén de datos de eventos que incluya todos los eventos de administración, ejecute el comando create-event-data-store. No es necesario especificar ningún selector de eventos avanzado para incluir todos los eventos de administración.


aws cloudtrail create-event-data-store
--name my-event-data-store
--retention-period 90\

A continuación, se muestra un ejemplo de respuesta.


{
    "EventDataStoreArn": "arn:aws:cloudtrail:us-east-1:12345678910:eventdatastore/EXAMPLE-f852-4e8f-8bd1-bcf6cEXAMPLE",
    "Name": "my-event-data-store",
    "Status": "CREATED",
    "AdvancedEventSelectors": [
        {
            "Name": "Default management events",
            "FieldSelectors": [
                {
                    "Field": "eventCategory",
                    "Equals": [
                        "Management"
                    ]
                }
            ]
        }
    ],
    "MultiRegionEnabled": true,
    "OrganizationEnabled": false,
    "BillingMode": "EXTENDABLE_RETENTION_PRICING",
    "RetentionPeriod": 90,
    "TerminationProtectionEnabled": true,
    "CreatedTimestamp": "2023-11-13T16:41:57.224000+00:00",
    "UpdatedTimestamp": "2023-11-13T16:41:57.357000+00:00"
}

Para crear un banco de datos de eventos que excluya AWS Key Management Service (AWS KMS) los eventos, ejecute el create-event-data-store comando y especifique que no sea eventSource igual. kms.amazonaws.com El siguiente ejemplo crea un banco de datos de eventos que incluye eventos de administración de solo lectura y solo escritura, pero excluye los eventos. AWS KMS


aws cloudtrail create-event-data-store --name event-data-store-name --retention-period 90 --advanced-event-selectors '[
    {
        "Name": "Management events selector",
        "FieldSelectors": [
            {"Field": "eventCategory","Equals": ["Management"]},
            {"Field": "eventSource","NotEquals": ["kms.amazonaws.com"]}
        ]
    }
]'

A continuación, se muestra un ejemplo de respuesta.


{
    "EventDataStoreArn": "arn:aws:cloudtrail:us-east-1:12345678910:eventdatastore/EXAMPLE-f852-4e8f-8bd1-bcf6cEXAMPLE",
    "Name": "event-data-store-name",
    "Status": "CREATED",
    "AdvancedEventSelectors": [
        {
            "Name": "Management events selector",
            "FieldSelectors": [
                {
                    "Field": "eventCategory",
                    "Equals": [
                        "Management"
                    ]
                },
                {
                    "Field": "eventSource",
                    "NotEquals": [
                        "kms.amazonaws.com"
                    ]
                }
            ]
        }
    ],
    "MultiRegionEnabled": true,
    "OrganizationEnabled": false,
    "BillingMode": "EXTENDABLE_RETENTION_PRICING",
    "RetentionPeriod": 90,
    "TerminationProtectionEnabled": true,
    "CreatedTimestamp": "2023-11-13T17:02:02.067000+00:00",
    "UpdatedTimestamp": "2023-11-13T17:02:02.241000+00:00"
}

Para crear un almacén de datos de eventos que excluya los eventos de administración de la API de datos de Amazon RDS, ejecute el create-event-data-store comando y especifique que eventSource no es igual. rdsdata.amazonaws.com En el ejemplo siguiente se crea un almacén de datos de eventos que incluye eventos de administración de solo lectura y de solo escritura, pero excluye los eventos de la API de datos de Amazon RDS.


aws cloudtrail create-event-data-store --name event-data-store-name --retention-period 90 --advanced-event-selectors '[
    {
        "Name": "Management events selector",
        "FieldSelectors": [
            {"Field": "eventCategory","Equals": ["Management"]},
            {"Field": "eventSource","NotEquals": ["rdsdata.amazonaws.com"]}
        ]
    }
]'

A continuación, se muestra un ejemplo de respuesta.


{
    "EventDataStoreArn": "arn:aws:cloudtrail:us-east-1:12345678910:eventdatastore/EXAMPLE-f852-4e8f-8bd1-bcf6cEXAMPLE",
    "Name": "my-event-data-store",
    "Status": "CREATED",
    "AdvancedEventSelectors": [
        {
            "Name": "Management events selector",
            "FieldSelectors": [
                {
                    "Field": "eventCategory",
                    "Equals": [
                        "Management"
                    ]
                },
                {
                    "Field": "eventSource",
                    "NotEquals": [
                        "rdsdata.amazonaws.com"
                    ]
                }
            ]
        }
    ],
    "MultiRegionEnabled": true,
    "OrganizationEnabled": false,
    "BillingMode": "EXTENDABLE_RETENTION_PRICING",
    "RetentionPeriod": 90,
    "TerminationProtectionEnabled": true,
    "CreatedTimestamp": "2023-11-13T17:02:02.067000+00:00",
    "UpdatedTimestamp": "2023-11-13T17:02:02.241000+00:00"
}

Registro de eventos con los SDK de AWS

Utilice la GetEventSelectorsoperación para comprobar si su ruta está registrando los eventos de administración de una ruta. Puede configurar sus senderos para que registren los eventos de administración con la PutEventSelectorsoperación. Para obtener más información, consulte la Referencia de la API de AWS CloudTrail.

Ejecute la GetEventDataStoreoperación para comprobar si su almacén de datos de eventos incluye eventos de gestión. Puede configurar sus almacenes de datos de eventos para incluir eventos de administración ejecutando las UpdateEventDataStoreoperaciones CreateEventDataStoreo. Para obtener más información, consulte Cree, actualice y gestione almacenes de datos de eventos con AWS CLI y la AWS CloudTrail API Reference.

Envío de eventos a Amazon CloudWatch Logs

En el caso de las rutas, CloudTrail admite el envío de datos y eventos de gestión a CloudWatch Logs. Cuando configuras tu ruta para enviar eventos a tu grupo de CloudWatch registros, CloudTrail envía solo los eventos que especifiques en tu ruta. Por ejemplo, si configuras tu ruta para registrar solo los eventos de administración, tu ruta solo entrega los eventos de administración a tu grupo de CloudWatch registros. Para obtener más información, consulte Supervisión de archivos de CloudTrail registro con Amazon CloudWatch Logs.

Aviso JavaScript está desactivado o no está disponible en su navegador.

Para utilizar la documentación de AWS, debe estar habilitado JavaScript. Para obtener más información, consulte las páginas de ayuda de su navegador.

Convenciones del documento

Comprensión de CloudTrail los eventos

Eventos de datos