Grabación de API llamadas de Step Functions con AWS CloudTrail

AWS Step Functions está integrado con AWS CloudTrail, un servicio que proporciona un registro de las acciones realizadas por un usuario, un rol o un Servicio de AWS. CloudTrail captura todas las API llamadas de Step Functions como eventos. Las llamadas capturadas incluyen llamadas desde la consola de Step Functions y llamadas en código a las API operaciones de Step Functions. Con la información recopilada por CloudTrail, puede determinar la solicitud que se realizó a Step Functions, la dirección IP desde la que se realizó la solicitud, cuándo se realizó y detalles adicionales.

Cada entrada de registro o evento contiene información sobre quién generó la solicitud. La información de identidad del usuario lo ayuda a determinar lo siguiente:

• Si la solicitud se realizó con las credenciales del usuario raíz o del usuario.

• Si la solicitud se realizó en nombre de un usuario de IAM Identity Center.

• Si la solicitud se realizó con credenciales de seguridad temporales de un rol o fue un usuario federado.

• Si la solicitud la realizó otra persona Servicio de AWS.

CloudTrail está activo en su Cuenta de AWS al crear la cuenta y acceder automáticamente al historial de CloudTrail eventos. El historial de CloudTrail eventos proporciona un registro visible, consultable, descargable e inmutable de los últimos 90 días de eventos de gestión registrados en un Región de AWS. Para obtener más información, consulte Trabajar con el historial de CloudTrail eventos en la AWS CloudTrail Guía del usuario. La visualización del historial de eventos no conlleva ningún CloudTrail cargo.

Para tener un registro continuo de los eventos en su Cuenta de AWS en los últimos 90 días, cree un almacén de datos de eventos de senderos o CloudTraillagos.

CloudTrail senderos

Un rastro permite CloudTrail entregar archivos de registro a un bucket de Amazon S3. Todos los senderos se crearon con el AWS Management Console son multirregionales. Puede crear una ruta de una sola región o de varias regiones mediante el AWS CLI. Se recomienda crear un sendero multirregional porque se captura la actividad en todas partes Regiones de AWS en tu cuenta. Si creas una ruta de una sola región, solo podrás ver los eventos registrados en la ruta Región de AWS. Para obtener más información sobre los senderos, consulte Crear un sendero para su Cuenta de AWSy Crear un sendero para una organización en el AWS CloudTrail Guía del usuario.

Puede enviar una copia de sus eventos de administración en curso a su bucket de Amazon S3 sin coste alguno CloudTrail mediante la creación de una ruta; sin embargo, hay cargos por almacenamiento en Amazon S3. Para obtener más información sobre CloudTrail los precios, consulte AWS CloudTrail Precios. Para obtener información acerca de los precios de Amazon S3, consulte Precios de Amazon S3.

CloudTrail Almacenes de datos de eventos en Lake

CloudTrail Lake le permite ejecutar consultas SQL basadas en sus eventos. CloudTrail Lake convierte los eventos existentes en JSON formato basado en filas al ORC formato Apache. ORCes un formato de almacenamiento en columnas que está optimizado para una rápida recuperación de datos. Los eventos se agregan en almacenes de datos de eventos, que son recopilaciones inmutables de eventos en función de criterios que se seleccionan aplicando selectores de eventos avanzados. Los selectores que se aplican a un almacén de datos de eventos controlan los eventos que perduran y están disponibles para la consulta. Para obtener más información acerca de CloudTrail Lake, consulte Trabajar con AWS CloudTrail Lago en el AWS CloudTrail Guía del usuario.

CloudTrail Los almacenes de datos y las consultas sobre eventos de Lake incurren en costos. Cuando crea un almacén de datos de eventos, elige la opción de precios que desea utilizar para él. La opción de precios determina el costo de la incorporación y el almacenamiento de los eventos, así como el periodo de retención predeterminado y máximo del almacén de datos de eventos. Para obtener más información sobre CloudTrail los precios, consulte AWS CloudTrail Precios.

Eventos de datos en CloudTrail

Los eventos de datos proporcionan información sobre las operaciones de recursos realizadas en o dentro de un recurso (por ejemplo, leer o escribir en un objeto de Amazon S3). Se denominan también operaciones del plano de datos. Los eventos de datos suelen ser actividades de gran volumen. De forma predeterminada, CloudTrail no registra los eventos de datos. El historial de CloudTrail eventos no registra los eventos de datos.

Se aplican cargos adicionales a los eventos de datos. Para obtener más información sobre CloudTrail los precios, consulte AWS CloudTrail Precios.

Puede registrar eventos de datos para los tipos de recursos de Step Functions mediante la CloudTrail consola, AWS CLI, u CloudTrail API operaciones. Para obtener más información sobre cómo registrar eventos de datos, consulte Registrar eventos de datos con el AWS Management Consoley Registrar eventos de datos con el AWS Command Line Interface en la AWS CloudTrail Guía del usuario.

En la siguiente tabla se enumeran los tipos de recursos de Step Functions para los que puede registrar eventos de datos. La columna de tipos de eventos de datos muestra el valor que se puede elegir en la lista de tipos de eventos de datos de la CloudTrail consola. La columna de valores resources.type muestra el resources.type valor que se debe especificar al configurar los selectores de eventos avanzados mediante el AWS CLI CloudTrail APIso. La CloudTrail columna Datos APIs registrados muestra las API llamadas registradas CloudTrail para el tipo de recurso.

Puede configurar selectores de eventos avanzados para filtrar según los campos eventName, readOnly y resources.ARN y así registrar solo los eventos que son importantes para usted. Para obtener más información sobre estos campos, consulte AdvancedFieldSelector en la AWS CloudTrail APIReferencia.

Tipo de evento de datos	resources.type value	Datos APIs registrados en CloudTrail
Máquina de estado de Step Functions	AWS::StepFunctions::StateMachine	InvokeHTTPEndpoint

Eventos de gestión en CloudTrail

Los eventos de administración proporcionan información sobre las operaciones de administración que se realizan en los recursos de su Cuenta de AWS. También se conocen como operaciones del plano de control. De forma predeterminada, CloudTrail registra los eventos de administración.

State Machine (Máquina de estado)

• CreateStateMachine

• ListStateMachines

• DescribeStateMachine

• UpdateStateMachine

• DeleteStateMachine

• ValidateStateMachineDefinition

• TestState

Alias de State Machine

• CreateStateMachineAlias

• ListStateMachineAliases

• DescribeStateMachineAlias

• UpdateStateMachineAlias

• DeleteStateMachineAlias

Versión de State Machine

• ListStateMachineVersions

• PublishStateMachineVersion

• DeleteStateMachineVersion

Ejecuciones

• StartExecution

• StartSyncExecution

• RedriveExecution

• ListExecutions

• DescribeExecution

• GetExecutionHistory

• DescribeStateMachineForExecution

• StopExecution

Actividad

• CreateActivity

• ListActivities

• DescribeActivity

• DeleteActivity

• GetActivityTask

Token de tarea

• SendTaskSuccess

• SendTaskHeartbeat

• SendTaskFailure

MapRun

• ListMapRuns

• DescribeMapRun

• UpdateMapRun

Etiquetas

• ListTagsForResource

• TagResource

• UntagResource

Ejemplos de evento

Un evento representa una solicitud única de cualquier fuente e incluye información sobre la API operación solicitada, la fecha y la hora de la operación, los parámetros de la solicitud, etc. CloudTrail Los archivos de registro no son un registro ordenado de las API llamadas públicas, por lo que los eventos no aparecen en ningún orden específico.

El siguiente ejemplo muestra un evento CloudTrail de datos que lo demuestraInvokeHTTPEndpoint.

{
    "eventVersion": "1.09",
    "userIdentity": {
        "accountId": "123456789012",
        "invokedBy": "states.amazonaws.com"
    },
    "eventTime": "2024-05-01T01:23:45Z",
    "eventSource": "states.amazonaws.com",
    "eventName": "InvokeHTTPEndpoint",
    "awsRegion": "us-east-1",
    "sourceIPAddress": "states.amazonaws.com",
    "userAgent": "states.amazonaws.com",
    "requestParameters": null,
    "responseElements": null,
    "eventID": "a1b2c3d4-5678-90ab-cdef-EXAMPLEaaaaa",
    "readOnly": false,
    "resources": [
        {
            "accountId": "123456789012",
            "type": "AWS::StepFunctions::StateMachine",
            "ARN": "arn:aws:states:us-east-1:123456789012:stateMachine:ExampleStateMachine"
        }
    ],
    "eventType": "AwsServiceEvent",
    "managementEvent": false,
    "recipientAccountId": "123456789012",
    "serviceEventDetails": {
        "httpMethod": "GET",
        "httpEndpoint": "https://example.com"
    },
    "eventCategory": "Data"
}

El siguiente ejemplo muestra un evento CloudTrail de administración que demuestra la CreateStateMachine operación.

{
    "eventVersion": "1.08",
    "userIdentity": {
        "type": "IAMUser",
        "principalId": "AIDAJYDLDBVBI4EXAMPLE",
        "arn": "arn:aws:iam::123456789012:user/test-user",
        "accountId": "123456789012",
        "accessKeyId": "AKIAIOSFODNN7EXAMPLE",
        "userName": "test-user"
    },
    "eventTime": "2024-05-01T01:23:45Z",
    "eventSource": "states.amazonaws.com",
    "eventName": "CreateStateMachine",
    "awsRegion": "us-east-1",
    "sourceIPAddress": "AWS Internal",
    "userAgent": "AWS Internal",
    "requestParameters": {
        "name": "MyStateMachine",
        "definition": "HIDDEN_DUE_TO_SECURITY_REASONS",
        "roleArn": "arn:aws:iam::123456789012:role/MyStateMachineRole",
        "type": "STANDARD",
        "loggingConfiguration": {
            "level": "OFF",
            "includeExecutionData": false
        },
        "tags": [],
        "tracingConfiguration": {
            "enabled": false
        },
        "publish": false
    },
    "responseElements": {
        "stateMachineArn": "arn:aws:states:us-east-1:123456789012:stateMachine:MyStateMachine",
        "creationDate": "May 1, 2024 1:23:45 AM"
    },
    "requestID": "a1b2c3d4-5678-90ab-cdef-EXAMPLEaaaaa",
    "eventID": "a1b2c3d4-5678-90ab-cdef-EXAMPLE11111",
    "readOnly": false,
    "eventType": "AwsApiCall",
    "managementEvent": true,
    "recipientAccountId": "123456789012",
    "eventCategory": "Management"
}

Para obtener información sobre el contenido de los CloudTrail registros, consulte el contenido de los CloudTrail registros en AWS CloudTrail Guía del usuario.