Agrégation des événements liés aux données

Les événements de données fournissent des informations sur les opérations de ressource exécutées sur ou dans une ressource. Ils sont également connus sous le nom opérations de plans de données. Les événements de données sont souvent des activités à fort volume.

En activant l'agrégation de vos événements de données, vous pouvez surveiller efficacement les modèles d'accès à de gros volumes de données sans traiter d'énormes quantités d'événements individuels. Cette fonctionnalité consolide automatiquement les événements liés aux données dans des résumés de 5 minutes, présentant les principales tendances telles que la fréquence d'accès, les taux d'erreur et les actions les plus utilisées. Par exemple, au lieu de traiter des milliers d'événements individuels d'accès aux compartiments S3 pour comprendre les modèles d'utilisation, vous recevez des résumés consolidés indiquant les principaux utilisateurs et les actions les plus importantes.

Vous pouvez activer l'agrégation sur les événements de données lors de la création d'un nouveau suivi ou de la mise à jour d'un suivi existant qui collecte des événements de données. Vous pouvez sélectionner un ou les trois out-of-the-box modèles pour agréger vos événements de données sur :

• Activité de l'API pour obtenir un résumé en 5 minutes des événements liés à vos données en fonction des appels d'API effectués. Utilisez-le pour comprendre les habitudes d'utilisation de vos API, notamment la fréquence, les appelants et la source.

• Accès aux ressources pour connaître les modèles d'activité de vos AWS ressources. Utilisez-le pour comprendre comment vos AWS ressources sont accessibles, combien de fois elles sont consultées dans la fenêtre de 5 minutes, qui accède à la ressource et quelles actions sont effectuées.

• Actions de l'utilisateur pour obtenir des modèles d'activité basés sur le fait que le principal IAM effectue des appels d'API dans votre compte.

Activation des agrégations pour les événements de données à l'aide de la console

Pour activer les agrégations sur les pistes, vous devez d'abord choisir l'enregistrement des événements de données lorsque vous créez ou mettez à jour une piste et que vous configurez les événements de données pour enregistrer les événements dans la piste. Ensuite, à l'étape de configuration de l'agrégation d'événements, vous pouvez sélectionner des modèles tels que l'activité des API et l'accès aux ressources dans la liste déroulante des modèles d'agrégation, comme indiqué dans la capture d'écran ci-dessous.

Activation des agrégations pour les événements de données à l'aide du AWS CLI

Vous pouvez configurer vos parcours pour agréger les événements à l'aide duAWS CLI.

Pour savoir si votre suivi agrège des événements de données, exécutez la get-event-configurations commande.

aws cloudtrail get-event-configuration --region us-east-1 --trail-name TrailName

La commande renvoie la configuration d'agrégation pour le trail.

Avant d'activer l'agrégation d'événements, vous devez créer un journal et y configurer les événements de données.

Pour activer l'agrégation d'événements sur un parcours, suivez les étapes ci-dessous. Le parcours regroupera les événements en fonction des modèles d'RESOURCE_ACCESSagrégation API_ACTIVITY et.

aws cloudtrail put-event-configuration --region us-east-1 --trail TrailName \
--aggregation-configurations \
'[
    {
        "EventCategory": "Data",
        "Templates":
        [
            "API_ACTIVITY",
            "RESOURCE_ACCESS"
        ]
    }
]'

Exemple : événement API_ACTIVITY agrégé

Voici un exemple d'événement agrégé pour le API_ACTIVITY modèle :

{
    "eventVersion": "1.0",
    "accountId": "111122223333",
    "eventId": "62759c1a-6248-48e1-a6b3-d5fb7e6c4bc0",
    "eventCategory": "Aggregated",
    "eventType": "AwsAggregatedEvent",
    "awsRegion": "us-west-2",
    "eventSource": "s3.amazonaws.com",
    "timeWindow":
    {
        "windowStart": "2025-11-17T19:20:00Z",
        "windowEnd": "2025-11-17T19:25:00Z",
        "windowSize": "PT5M"
    },
    "summary":
    {
        "primaryDimension":
        {
            "dimension": "eventName",
            "statistics":
            [
                {
                    "name": "PutObject",
                    "value": 1000
                }
            ],
            "aggregationType": "Count"
        },
        "details":
        [
            {
                "dimension": "resourceARN",
                "statistics":
                [
                    {
                        "name": "arn:aws:s3:::bucket-1",
                        "value": 800
                    },
                    {
                        "name": "arn:aws:s3:::bucket-2",
                        "value": 150
                    },
                    {
                        "name": "arn:aws:s3:::bucket-3",
                        "value": 50
                    }
                ],
                "aggregationType": "Count"
            }
        ]
    }
}

Exemple : événement agrégé RESOURCE_ACCESS

Voici un exemple d'événement agrégé pour le RESOURCE_ACCESS modèle :

{
    "eventVersion": "1.0",
    "accountId": "111122223333",
    "eventId": "2ed87efa-45c1-412d-bc38-7e0879faa6df",
    "eventCategory": "Aggregated",
    "eventType": "AwsAggregatedEvent",
    "awsRegion": "us-west-2",
    "eventSource": "s3.amazonaws.com",
    "timeWindow":
    {
        "windowStart": "2025-11-17T19:20:00Z",
        "windowEnd": "2025-11-17T19:25:00Z",
        "windowSize": "PT5M"
    },
    "summary":
    {
        "primaryDimension":
        {
            "dimension": "resourceARN",
            "statistics":
            [
                {
                    "name": "arn:aws:s3:::bucket-1",
                    "value": 800
                }
            ],
            "aggregationType": "Count"
        },
        "details":
        [
            {
                "dimension": "eventName",
                "statistics":
                [
                    {
                        "name": "PutObject",
                        "value": 800
                    }
                ],
                "aggregationType": "Count"
            }
        ]
    }
}