Supervisión del uso rápido de Amazon CloudTrail

Amazon Quick está integrado con AWS CloudTrail. Este servicio proporciona un registro de las acciones realizadas por un usuario, un rol o un AWS servicio en Amazon Quick. CloudTrail captura las llamadas a la API de Amazon Quick como eventos. Las llamadas capturadas incluyen algunas llamadas desde la consola y todas las llamadas de código a las operaciones de la API. Si crea un registro, puede habilitar la entrega continua de CloudTrail eventos a un bucket de Amazon S3, incluidos los eventos de Amazon Quick. Si no configuras un registro, puedes seguir viendo los eventos más recientes en la CloudTrail consola, en el Historial de eventos. Con la información recopilada por CloudTrail, puedes determinar quién hizo una solicitud a Amazon Quick y cuándo. También puedes identificar la dirección IP de origen, la solicitud específica y otros detalles.

nota

CloudTrail los registros respaldaron las operaciones de Amazon Quick API y los eventos no relacionados con la API documentados en esta página. Al examinar los ejemplos de eventos, los registros de eventos incluyen los metadatos seleccionados, como el ID de la cuenta, el ID del recurso y la identidad del usuario. Para conversaciones de chat y comentarios, usaSupervisión de Amazon Quick mediante CloudWatch registros. Para ver el modelo completo de señal por capacidad, consulte. Respuesta a incidentes, registro y supervisión en Amazon Quick

Amazon Quick también publica las métricas operativas CloudWatch, y usted puede crear CloudWatch alarmas a partir de esas métricas. Para obtener más información, consulte Creación de alarmas con la CloudWatch consola de Amazon. Para alertar sobre CloudTrail eventos individuales, puede desarrollar una solución personalizada que procese los CloudTrail registros.

El estado del servicio de Amazon Quick se puede ver en el panel de estado del servicio.

De forma predeterminada, CloudTrail cifra los archivos de registro que envía a tu bucket con las claves de S3-managed cifrado de Amazon (SSE-S3). Si desea una capa de seguridad que se pueda gestionar directamente, puede utilizar en su lugar claves AWS gestionadas por KMS (SSE-KMS) para sus archivos de registro. CloudTrail SSE-KMS cifra los archivos de registro, pero no los archivos resumidos. Los archivos de resumen se cifran con las claves de S3-managed cifrado de Amazon (SSE-S3).

Para obtener más información CloudTrail, incluido cómo configurarlo y habilitarlo, consulte la Guía del AWS CloudTrail usuario.

Registrando las operaciones de Amazon Quick con AWS CloudTrail

Público al que va dirigido: administradores de sistemas

CloudTrail está activado en tu AWS cuenta cuando la creas. Cuando se produce una actividad de eventos admitida en Amazon Quick, esa actividad se registra en un CloudTrail evento junto con otros eventos de AWS servicio en el historial de eventos. Puede ver, buscar y descargar los eventos recientes en su AWS cuenta. Para obtener más información, consulte Visualización de eventos con el historial de eventos de CloudTrail.

Para obtener un registro continuo de los eventos de tu AWS cuenta, incluidos los de Amazon Quick, crea un registro. Un registro permite CloudTrail enviar archivos de registro a un bucket de Amazon S3. De forma predeterminada, cuando se crea un registro de seguimiento en la consola, el registro de seguimiento se aplica a todas las . El registro de seguimiento registra los eventos de todas las regiones de la partición de AWS y envía los archivos de registro al bucket de Amazon S3 especificado. Además, puede configurar otros AWS servicios para analizar más a fondo los datos de eventos recopilados en los CloudTrail registros y tomar medidas en función de ellos. Para más información, consulte los siguientes temas:

• Introducción a la creación de registros de seguimiento

• CloudTrail Servicios e integraciones compatibles

• Configuración de las notificaciones de Amazon SNS para CloudTrail

• Recepción de archivos de CloudTrail registro de varias regiones y recepción de archivos de CloudTrail registro de varias cuentas

• Cross-Account CloudTrailInicio de sesión en la guía para AWS Lake Formation desarrolladores: este tema incluye instrucciones para incluir las identidades principales en CloudTrail los registros entre cuentas.

Amazon Quick permite registrar las siguientes acciones como eventos en los archivos de CloudTrail registro:

• Si la solicitud se realizó con credenciales de AWS Identity and Access Management usuario o raíz

• Si la solicitud se realizó con credenciales de seguridad temporales de una función de IAM o fue un usuario federado

• Si la solicitud fue realizada por otro AWS servicio

Para obtener más información sobre la identidad del usuario, consulte Elemento userIdentity de CloudTrail.

De forma predeterminada, cada entrada de Amazon Quick Log contiene la siguiente información:

• userIdentity: identidad del usuario

• eventTime: hora del evento

• EventID: ID del evento

• readOnly: solo lectura

• Región de AWS — Región de AWS

• EventSource (quicksight): origen del evento (Amazon Quick)

• eventType (AwsServiceEvent): tipo de evento (evento de servicio)AWS

• destinatario AccountId ( AWS cuenta de cliente): ID de la cuenta del destinatario ( AWS cuenta de cliente)

Algunos eventos incluyen un userIdentity.invokedBy campo establecido enquicksight.amazonaws.com. Esto indica que el evento fue activado por el servicio rápido de Amazon en nombre de la cuenta y no por una acción directa del usuario. Puedes usar este campo para distinguir las operaciones iniciadas por el usuario de las llamadas internas del servicio al analizar tu registro.

nota

CloudTrail muestra la identidad del usuario igual unknown que la de los usuarios aprovisionados directamente por Amazon Quick (aprovisionamiento tradicional). Los usuarios autenticados a través del centro de identidad de IAM aparecen IdentityCenterUser con todos los onBehalfOf detalles en el elemento. userIdentity

Descubre los eventos de Amazon Quick a tu paso

Amazon Quick añade nuevos nombres de eventos a medida que las funciones se lanzan y evolucionan. Los eventos no relacionados con la API que se enumeran a continuación representan un subconjunto de lo que captura su ruta. Para descubrir todos los eventos de Amazon Quick en tu cuenta, consulta tu ruta eventSource: quicksight.amazonaws.com e inspecciona los eventName valores. Los nombres de los eventos siguen un patrón uniforme: el nombre de la operación (por ejemplo, CreateFlow oUpdateAgent) coincide con la función a la que se refiere.

Ejemplo: entradas del archivo de registro rápido de Amazon

Un registro es una configuración que permite la entrega de eventos como archivos de registro a un bucket de Amazon S3 que usted especifique. CloudTrail Los archivos de registro contienen una o más entradas de registro. Un evento representa una única solicitud de cualquier origen e incluye información sobre la acción solicitada, la fecha y la hora de la acción, los parámetros de la solicitud, etcétera. Los archivos de registro de CloudTrail no son un rastro de la pila ordenada de las llamadas a la API públicas, por lo que no aparecen en ningún orden específico.

El siguiente ejemplo muestra una entrada de CloudTrail registro que demuestra la BatchCreateUser acción.

{ 
   "eventVersion":"1.11",
   "userIdentity":
	{ 
	   "type":"Root",
	   "principalId":"123456789012",
	   "arn":"arn:aws:iam::123456789012:root",
	   "accountId":"123456789012",
	   "userName":"test-username"
	},
	   "eventTime":"2017-04-19T03:16:13Z",
	   "eventSource":"quicksight.amazonaws.com",
	   "eventName":"BatchCreateUser",
	   "awsRegion":"us-west-2",
	   "requestParameters":null,
	   "responseElements":null,
	   "eventID":"e7d2382e-70a0-3fb7-9d41-a7a913422240",
	   "readOnly":false,
	   "eventType":"AwsServiceEvent",
	   "recipientAccountId":"123456789012",
	   "serviceEventDetails":
	   { 
		   "eventRequestDetails":
		   { 
				"users":
				{ 
					"test-user-11":
					{ 
						"role":"USER"
					},
					"test-user-22":
					{ 
						"role":"ADMIN"
					}
				}
			},
			"eventResponseDetails":
			{ 
			"validUsers":[ 
				],
			"InvalidUsers":[ 
				"test-user-11",
				"test-user-22"
				]
			}
	   }
   }
        

Registrando los eventos de Amazon Quick Data en CloudTrail

Además de los eventos de administración, Amazon Quick admite eventos de CloudTrail datos para tipos de recursos seleccionados. Los eventos de datos están desactivados de forma predeterminada. Actívalos a través de los selectores de eventos avanzados que encuentres en tu ruta.

Los siguientes tipos de recursos de Amazon Quick admiten eventos de datos:

Tipo de recurso	Nombre de evento	Disponibilidad.
AWS::Quicksight::ActionConnector	InvokeAction	Disponibilidad general
AWS::QuickSight::Flow	–	Disponibilidad general
AWS::QuickSight::FlowSession	–	Disponibilidad general
AWS::Quicksight::Companion	–	Varía según la región
AWS::Quicksight::CompanionAccess	–	Varía según la región
AWS::QuickSight::Namespace	–	Varía según la región

importante

Data-event la disponibilidad del tipo de recurso varía según la cuenta y. Región de AWS Si un tipo de recurso no es compatible en su región, la put-event-selectors llamada devuelve un error para ese tipo. Crea una put-event-selectors llamada que incluya solo los tipos de recursos admitidos en tu región y omite los tipos no compatibles de esa llamada.

nota

El uso de mayúsculas y minúsculas QuickSight en Quicksight comparación con los del tipo de recurso es intencional y varía según el tipo de recurso. Usa las mayúsculas exactas que se muestran arriba al configurar los selectores de eventos.

Habilitar los eventos de datos

Utilice selectores de eventos avanzados para habilitar los eventos de datos. Incluya un selector de eventos de administración para conservar el registro de eventos de administración:

aws cloudtrail put-event-selectors \
  --trail-name your-trail-name \
  --region us-east-1 \
  --advanced-event-selectors '[
    { "Name": "All management events",
      "FieldSelectors": [ { "Field": "eventCategory", "Equals": ["Management"] } ] },
    { "Name": "Quick action connector data events",
      "FieldSelectors": [
        { "Field": "eventCategory", "Equals": ["Data"] },
        { "Field": "resources.type", "Equals": ["AWS::Quicksight::ActionConnector"] } ] },
    { "Name": "Quick flow data events",
      "FieldSelectors": [
        { "Field": "eventCategory", "Equals": ["Data"] },
        { "Field": "resources.type", "Equals": ["AWS::QuickSight::Flow"] } ] },
    { "Name": "Quick flow session data events",
      "FieldSelectors": [
        { "Field": "eventCategory", "Equals": ["Data"] },
        { "Field": "resources.type", "Equals": ["AWS::QuickSight::FlowSession"] } ] }
  ]'

Agregue selectores para su región yAWS::Quicksight::Companion, AWS::QuickSight::Namespace si los admiteAWS::Quicksight::CompanionAccess, en su región.

InvokeActionevento de datos

Cuando un usuario o un flujo invoca un conector de acciones, CloudTrail graba un evento de InvokeAction datos. Este evento captura la siguiente información:

• Identidad de la persona que llama, que incluye y onBehalfOf.userId endUserArn

• El fin actionConnectorId actionId de la acción invocada

• El resultado: invokeActionStatus y httpStatusCode

• readOnly: false(siempre)

• eventCategory: Data, managementEvent: false

• Tipo de recurso: AWS::Quicksight::ActionConnector

importante

InvokeActionno incluye los parámetros de entrada de la acción (como el destinatario, el asunto o el cuerpo del correo electrónico) ni ninguna decisión de aprobación. Usa los CloudWatch registros vendidos para el contenido de las conversaciones.

nota

Este readOnly campo es siempre false para las invocaciones de conectores de acciones, incluidas las acciones de solo lectura, como la creación de listas de correos electrónicos. Para distinguir las operaciones de lectura de las de escritura, filtre por campo actionId en lugar de hacerlo por campo. readOnly

El siguiente ejemplo muestra un evento InvokeAction de datos para una acción de correo electrónico exitosa:

{
    "eventVersion": "1.11",
    "userIdentity": {
        "type": "IdentityCenterUser",
        "accountId": "111122223333",
        "onBehalfOf": {
            "userId": "a1b2c3d4-e5f6-7890-abcd-ef1234567890",
            "identityStoreArn": "arn:aws:identitystore::111122223333:identitystore/d-1234567890"
        }
    },
    "eventTime": "2026-08-19T20:26:36Z",
    "eventSource": "quicksight.amazonaws.com",
    "eventName": "InvokeAction",
    "awsRegion": "us-east-1",
    "sourceIPAddress": "203.0.113.1",
    "requestParameters": {
        "awsAccountId": "111122223333",
        "actionConnectorId": "52bde8f0-3de5-4e3d-9283-222f81a9fc4f",
        "actionId": "SendUserEmail",
        "endUserArn": "arn:aws:quicksight:us-east-1:111122223333:user/default/johndoe"
    },
    "responseElements": {
        "invokeActionStatus": "SUCCESS",
        "invokeActionOutput": {
            "httpInvokeActionOutput": {
                "httpStatusCode": "200"
            }
        }
    },
    "readOnly": false,
    "resources": [
        {
            "accountId": "111122223333",
            "type": "AWS::Quicksight::ActionConnector",
            "ARN": "arn:aws:quicksight:us-east-1:111122223333:action-connector/52bde8f0-3de5-4e3d-9283-222f81a9fc4f"
        }
    ],
    "eventType": "AwsApiCall",
    "managementEvent": false,
    "eventCategory": "Data"
}

Seguimiento de eventos ajenos a la API mediante el uso de registros CloudTrail

En su registro se capturan los siguientes eventos ajenos CloudTrail a la API:

Administración de usuarios

• CreateAccount— Crear una cuenta

• BatchCreateUser— Crear usuario

• BatchResendUserInvite— Invitar a un usuario

• UpdateGroups— Actualizar grupos

  Este evento funciona solo con la edición Enterprise.

• UpdateSpiceCapacity— Actualizar la SPICE capacidad

• DeleteUser— Eliminar usuario

• Unsubscribe: cancelar suscripción de usuario

Suscripción

• CreateSubscription— Crear suscripción

• UpdateSubscription— Actualizar la suscripción

• DeleteSubscription— Eliminar suscripción

Panel de control

• GetDashboard— Obtener el panel

• CreateDashboard— Crear panel

• UpdateDashboard— Actualizar panel

• UpdateDashboardAccess— Actualizar el acceso al panel

• DeleteDashboard— Eliminar panel

Análisis

• GetAnalysis— Obtenga un análisis

• CreateAnalysis— Crear análisis

• UpdateAnalysisAccess— Actualizar el acceso al análisis

• UpdateAnalysis— Actualizar el análisis

  • RenameAnalysis— Cambiar el nombre del análisis

  • CreateVisual— Crear contenido visual

  • RenameVisual— Cambiar el nombre de Visual

  • DeleteVisual— Eliminar Visual

  • DeleteAnalysis— Eliminar análisis

Origen de datos

• CreateDataSource— Crear fuente de datos

  • FlatFile— Archivo plano

  • External: externo

  • S3: S3

  • ImportS3ManifestFile— Archivo de manifiesto S3

  • Presto: Presto

  • RDS: RDS

  • Redshift: Redshift (manual)

• UpdateDataSource— Actualizar la fuente de datos

• DeleteDataSource— Eliminar fuente de datos

Conjunto de datos

• CreateDataSet— Crear conjunto de datos

  • CustomSQL: SQL personalizado

  • SQLTable: tabla de SQL

  • File: CSV o XLSX

• UpdateDataSet— Actualizar el conjunto de datos de SQL Join

• UpdateDatasetAccess— Actualizar el acceso al conjunto de datos

• DeleteDataSet— Eliminar conjunto de datos

• Querydatabase: durante la actualización de un conjunto de datos, consulte el origen de datos.