Journalisation des API appels Amazon S3 à l'aide de AWS CloudTrail

Amazon S3 est intégré à AWS CloudTrailun service qui fournit un enregistrement des actions entreprises par un utilisateur, un rôle ou un AWS service. CloudTrail capture tous les API appels pour Amazon S3 sous forme d'événements. Les appels capturés incluent des appels provenant de la console Amazon S3 et des appels de code vers les API opérations Amazon S3. À l'aide des informations collectées par CloudTrail, vous pouvez déterminer la demande envoyée à Amazon S3, l'adresse IP à partir de laquelle la demande a été faite, la date à laquelle elle a été faite et des informations supplémentaires.

Chaque événement ou entrée de journal contient des informations sur la personne ayant initié la demande. Les informations relatives à l’identité permettent de déterminer :

• Si la demande a été effectuée avec des informations d’identification d’utilisateur root ou d’utilisateur root.

• Si la demande a été faite au nom d'un utilisateur IAM d'Identity Center.

• Si la demande a été effectuée avec les informations d’identification de sécurité temporaires d’un rôle ou d’un utilisateur fédéré.

• Si la requête a été effectuée par un autre AWS service.

CloudTrail est actif dans votre compte Compte AWS lorsque vous créez le compte et vous avez automatiquement accès à l'historique des CloudTrail événements. L'historique des CloudTrail événements fournit un enregistrement consultable, consultable, téléchargeable et immuable des 90 derniers jours des événements de gestion enregistrés dans un. Région AWS Pour plus d'informations, consultez la section Utilisation de l'historique des CloudTrail événements dans le guide de AWS CloudTrail l'utilisateur. La consultation de CloudTrail l'historique des événements est gratuite.

Pour un enregistrement continu des événements de vos 90 Compte AWS derniers jours, créez un magasin de données sur les événements de Trail ou CloudTrailLake.

CloudTrail sentiers

Un suivi permet CloudTrail de fournir des fichiers journaux à un compartiment Amazon S3. Tous les sentiers créés à l'aide du AWS Management Console sont multirégionaux. Vous pouvez créer un parcours à région unique ou multirégionale à l'aide du. AWS CLI Il est recommandé de créer un parcours multirégional, car vous capturez l'activité dans l'ensemble Régions AWS de votre compte. Si vous créez un parcours à région unique, vous ne pouvez voir que les événements enregistrés dans le parcours. Région AWS Pour plus d'informations sur les sentiers, consultez les sections Création d'un sentier pour votre organisation Compte AWS et Création d'un sentier pour une organisation dans le guide de AWS CloudTrail l'utilisateur.

Vous pouvez envoyer une copie de vos événements de gestion en cours à votre compartiment Amazon S3 gratuitement CloudTrail en créant un journal. Toutefois, des frais de stockage Amazon S3 sont facturés. Pour plus d'informations sur la CloudTrail tarification, consultez la section AWS CloudTrail Tarification. Pour obtenir des informations sur la tarification Amazon S3, consultez Tarification Amazon S3.

CloudTrail Stockages de données sur les événements du lac

CloudTrail Lake vous permet d'exécuter SQL des requêtes basées sur vos événements. CloudTrail Lake convertit les événements existants au JSON format basé sur les lignes au ORC format Apache. ORCest un format de stockage en colonnes optimisé pour une extraction rapide des données. Les événements sont agrégés dans des magasins de données d’événement. Ceux-ci constituent des collections immuables d’événements basées sur des critères que vous sélectionnez en appliquant des sélecteurs d’événements avancés. Les sélecteurs que vous appliquez à un magasin de données d’événement contrôlent les événements qui persistent et que vous pouvez interroger. Pour plus d'informations sur CloudTrail Lake, consultez la section Travailler avec AWS CloudTrail Lake dans le guide de AWS CloudTrail l'utilisateur.

CloudTrail Les stockages et requêtes de données sur les événements de Lake entraînent des coûts. Lorsque vous créez un magasin de données d’événement, vous choisissez l’option de tarification que vous voulez utiliser pour le magasin de données d’événement. L’option de tarification détermine le coût d’ingestion et de stockage des événements, ainsi que les périodes de conservation par défaut et maximale pour le magasin de données d’événement. Pour plus d'informations sur la CloudTrail tarification, consultez la section AWS CloudTrail Tarification.

Vous pouvez stocker vos fichiers journaux dans votre compartiment aussi longtemps que vous le souhaitez, ou bien définir des règles de cycle de vie Amazon S3 afin de les archiver ou de les supprimer automatiquement. Par défaut, vos fichiers journaux sont chiffrés à l'aide du chiffrement côté serveur Amazon S3 ()SSE.

Utilisation de CloudTrail journaux avec les journaux d'accès au serveur Amazon S3 et CloudWatch les journaux

AWS CloudTrail les journaux fournissent un enregistrement des actions entreprises par un utilisateur, un rôle ou un AWS service dans Amazon S3, tandis que les journaux d'accès au serveur Amazon S3 fournissent des enregistrements détaillés des demandes adressées à un compartiment S3. Pour plus d'informations sur le fonctionnement des différents journaux ainsi que sur leurs propriétés, performances et coûts, consultez Options de journalisation pour Amazon S3.

Vous pouvez utiliser AWS CloudTrail les journaux avec les journaux d'accès au serveur pour Amazon S3. CloudTrail les journaux vous fournissent un API suivi détaillé des opérations au niveau du bucket et au niveau de l'objet d'Amazon S3. Les journaux d'accès au serveur pour Amazon S3 vous offrent une visibilité sur les opérations au niveau des objets sur vos données dans Amazon S3. Pour plus d'informations sur les journaux d'accès au serveur, consultez Enregistrement de demandes avec journalisation des accès au serveur.

Vous pouvez également utiliser CloudTrail les journaux avec Amazon CloudWatch pour Amazon S3. CloudTrail l'intégration avec CloudWatch Logs fournit l'APIactivité au niveau du compartiment S3 capturée par CloudTrail un flux de CloudWatch journaux dans le groupe de CloudWatch journaux que vous spécifiez. Vous pouvez créer des CloudWatch alarmes pour surveiller une API activité spécifique et recevoir des notifications par e-mail lorsque l'APIactivité spécifique se produit. Pour plus d'informations sur les CloudWatch alarmes destinées à surveiller une API activité spécifique, consultez le guide de AWS CloudTrail l'utilisateur. Pour plus d'informations sur l'utilisation CloudWatch avec Amazon S3, consultezSurveillance des métriques avec Amazon CloudWatch.

Note

S3 ne prend pas en charge la livraison de CloudTrail journaux au demandeur ou au propriétaire du compartiment pour les demandes de point de VPC terminaison lorsque la politique de point de VPC terminaison les refuse.

CloudTrail suivi avec les SOAP API appels Amazon S3

CloudTrail suit les SOAP API appels Amazon S3. Le SOAP support d'Amazon S3 HTTP est obsolète, mais il est toujours disponible. HTTPS Pour plus d'informations sur le SOAP support Amazon S3, consultezAnnexe A : Utilisation de l'API SOAP.

Important

Les nouvelles fonctionnalités d'Amazon S3 ne sont pas prises en charge pourSOAP. Nous vous recommandons d'utiliser le REST API ou le AWS SDKs.

SOAPActions Amazon S3 suivies par CloudTrail journalisation
SOAPAPInom	APInom de l'événement utilisé dans le CloudTrail journal
ListAllMyBuckets	ListBuckets
CreateBucket	CreateBucket
DeleteBucket	DeleteBucket
GetBucketAccessControlPolicy	GetBucketAcl
SetBucketAccessControlPolicy	PutBucketAcl
GetBucketLoggingStatus	GetBucketLogging
SetBucketLoggingStatus	PutBucketLogging

Pour plus d'informations sur Amazon S3 CloudTrail et Amazon S3, consultez les rubriques suivantes :

Rubriques

• CloudTrail Événements Amazon S3
• CloudTrail entrées de fichiers journaux pour Amazon S3 et S3 on Outposts
• Activation de la journalisation des CloudTrail événements pour les compartiments et les objets S3
• Identifier les demandes Amazon S3 à l'aide de CloudTrail