Gérer les sentiers à l'aide du AWS CLI - AWS CloudTrail
Ajouter une ou plusieurs identifications à un journal de suiviListe des identifications pour un ou plusieurs journaux de suiviSupprimer une ou plusieurs identifications à partir d'un journal de suiviRécupération des paramètres et de l'état d'un journal de suiviConfiguration des sélecteurs d'événements CloudTrail InsightsConfiguration des sélecteurs d’événementsConfiguration des sélecteurs d’événements avancésArrêt et démarrage de la journalisation pour un journal de suiviSuppression d’un journal de suivi

Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Gérer les sentiers à l'aide du AWS CLI

AWS CLI Il inclut plusieurs autres commandes qui vous aident à gérer vos sentiers. Ces commandes ajoutent des identifications aux journaux de suivi pour obtenir le statut du journal de suivi, démarrer et arrêter la journalisation pour les journaux de suivi et supprimer un journal de suivi. Vous devez exécuter ces commandes depuis la même AWS région où le parcours a été créé (sa région d'origine). Lorsque vous utilisez le AWS CLI, n'oubliez pas que vos commandes s'exécutent dans la AWS région configurée pour votre profil. Si vous souhaitez exécuter les commandes dans une autre région, modifiez la région par défaut pour votre profil, ou utilisez le paramètre --region avec la commande.

Ajouter une ou plusieurs identifications à un journal de suivi

Pour ajouter une ou plusieurs identifications à un journal de suivi existant, utilisez la commande add-tags.

L’exemple suivant ajoute une identification avec le nom Owner (Propriétaire) et la valeur de Mary à un journal de suivi avec l’ARN de arn:aws:cloudtrail:us-east-2:123456789012:trail/my-trail dans la région USA Est (Ohio). 

aws cloudtrail add-tags --resource-id arn:aws:cloudtrail:us-east-2:123456789012:trail/my-trail --tags-list Key=Owner,Value=Mary --region us-east-2

Si elle aboutit, cette commande ne renvoie rien.

Liste des identifications pour un ou plusieurs journaux de suivi

Pour afficher les identifications associées à un ou plusieurs journaux de suivi existants, utilisez la commande list-tags.

L'exemple suivant répertorie les identifications pour Trail1 et Trail2.

aws cloudtrail list-tags --resource-id-list arn:aws:cloudtrail:us-east-2:123456789012:trail/Trail1 arn:aws:cloudtrail:us-east-2:123456789012:trail/Trail2

Si elle aboutit, cette commande renvoie un résultat similaire à ce qui suit.

{
 "ResourceTagList": [
     {
         "ResourceId": "arn:aws:cloudtrail:us-east-2:123456789012:trail/Trail1",
         "TagsList": [
             {
                 "Value": "Alice",
                 "Key": "Name"
             },
             {
                 "Value": "Ohio",
                 "Key": "Location"
             }
         ]
     },
     {
         "ResourceId": "arn:aws:cloudtrail:us-east-2:123456789012:trail/Trail2",
         "TagsList": [
             {
                 "Value": "Bob",
                 "Key": "Name"
             }
         ]
     }
  ]
}

Supprimer une ou plusieurs identifications à partir d'un journal de suivi

Pour supprimer une ou plusieurs identifications d'un journal de suivi existant, utilisez la commande remove-tags.

L’exemple suivant supprime les identifications avec les noms Location (Emplacement) et Name (Nom) d’un journal de suivi avec l’ARN de arn:aws:cloudtrail:us-east-2:123456789012:trail/Trail1 dans la région USA Est (Ohio). 

aws cloudtrail remove-tags --resource-id arn:aws:cloudtrail:us-east-2:123456789012:trail/Trail1 --tags-list Key=Name Key=Location --region us-east-2

Si elle aboutit, cette commande ne renvoie rien.

Récupération des paramètres et de l'état d'un journal de suivi

Exécutez la describe-trails commande pour récupérer des informations sur les sentiers d'une AWS région. L'exemple suivant renvoie des informations sur les journaux de suivi configurés dans la région USA Est (Ohio).

aws cloudtrail describe-trails --region us-east-2

Si la commande aboutit, vous obtenez un résultat similaire à ce qui suit. 

{
  "trailList": [
    {
      "Name": "my-trail",
      "S3BucketName": "DOC-EXAMPLE-BUCKET1",
      "S3KeyPrefix": "my-prefix",
      "IncludeGlobalServiceEvents": true,
      "IsMultiRegionTrail": true,
      "HomeRegion": "us-east-2"
      "TrailARN": "arn:aws:cloudtrail:us-east-2:123456789012:trail/my-trail",
      "LogFileValidationEnabled": false,
      "HasCustomEventSelectors": false, 
      "SnsTopicName": "my-topic",
      "IsOrganizationTrail": false,
    },
    {
      "Name": "my-special-trail",
      "S3BucketName": "DOC-EXAMPLE-BUCKET2",
      "S3KeyPrefix": "example-prefix",
      "IncludeGlobalServiceEvents": false,
      "IsMultiRegionTrail": false,
      "HomeRegion": "us-east-2",
      "TrailARN": "arn:aws:cloudtrail:us-east-2:123456789012:trail/my-special-trail",
      "LogFileValidationEnabled": false,
      "HasCustomEventSelectors": true,
      "IsOrganizationTrail": false
    },
    {
      "Name": "my-org-trail",
      "S3BucketName": "DOC-EXAMPLE-BUCKET3",
      "S3KeyPrefix": "my-prefix",
      "IncludeGlobalServiceEvents": true,
      "IsMultiRegionTrail": true,
      "HomeRegion": "us-east-1"
      "TrailARN": "arn:aws:cloudtrail:us-east-2:123456789012:trail/my-org-trail",
      "LogFileValidationEnabled": false,
      "HasCustomEventSelectors": false, 
      "SnsTopicName": "my-topic",
      "IsOrganizationTrail": true
    }
  ]
}

Utilisez la commande get-trail pour récupérer les informations sur les paramètres d'un journal de suivi spécifique. L'exemple suivant renvoie les informations sur les paramètres d'un journal de suivi nommé my-trail.

aws cloudtrail get-trail - -name my-trail

Si elle aboutit, cette commande renvoie un résultat similaire à ce qui suit.

{
   "Trail": {
      "Name": "my-trail",
      "S3BucketName": "DOC-EXAMPLE-BUCKET",
      "S3KeyPrefix": "my-prefix",
      "IncludeGlobalServiceEvents": true,
      "IsMultiRegionTrail": true,
      "HomeRegion": "us-east-2"
      "TrailARN": "arn:aws:cloudtrail:us-east-2:123456789012:trail/my-trail",
      "LogFileValidationEnabled": false,
      "HasCustomEventSelectors": false, 
      "SnsTopicName": "my-topic",
      "IsOrganizationTrail": false,
   }
}

Exécutez la commande get-trail-status pour récupérer l'état d'un journal de suivi. Vous devez exécuter cette commande depuis la AWS région dans laquelle elle a été créée (la région d'origine) ou vous devez spécifier cette région en ajoutant le --region paramètre.

Note

Si le parcours est un parcours organisé par une organisation et que vous êtes un compte membre de l'organisation dans AWS Organizations, vous devez fournir l'ARN complet de ce parcours, et pas seulement son nom.

aws cloudtrail get-trail-status --name my-trail

Si la commande aboutit, vous obtenez un résultat similaire à ce qui suit. 

{
    "LatestDeliveryTime": 1441139757.497, 
    "LatestDeliveryAttemptTime": "2015-09-01T20:35:57Z", 
    "LatestNotificationAttemptSucceeded": "2015-09-01T20:35:57Z", 
    "LatestDeliveryAttemptSucceeded": "2015-09-01T20:35:57Z", 
    "IsLogging": true, 
    "TimeLoggingStarted": "2015-09-01T00:54:02Z", 
    "StartLoggingTime": 1441068842.76, 
    "LatestDigestDeliveryTime": 1441140723.629, 
    "LatestNotificationAttemptTime": "2015-09-01T20:35:57Z", 
    "TimeLoggingStopped": ""
}

Outre les champs affichés dans le code JSON précédent, l'état contient les champs suivants si des erreurs sont survenues dans Amazon SNS ou Amazon S3 :

  • LatestNotificationError. Contient l'erreur émise par Amazon SNS en cas d'échec d'un abonnement à une rubrique.

  • LatestDeliveryError. Contient l'erreur émise par Amazon S3 en cas d' CloudTrail impossibilité de fournir un fichier journal à un compartiment.

Configuration des sélecteurs d'événements CloudTrail Insights

Activez les événements Insights sur un journal de suivi en exécutant put-insight-selectors, et en spécifiant ApiCallRateInsight, ApiErrorRateInsight, ou les deux comme valeur de InsightType l'attribut . Pour afficher les paramètres du sélecteur Insights pour un journal de suivi, exécutez la commande get-insight-selectors. Vous devez exécuter cette commande depuis la AWS région dans laquelle le parcours a été créé (la région d'origine) ou vous devez spécifier cette région en ajoutant le --region paramètre à la commande.

Note

Pour journaliser les événements Insights pour ApiCallRateInsight, le journal de suivi doit journaliser les événements de gestion write. Pour journaliser les événements Insights pour ApiErrorRateInsight, le journal de suivi doit journaliser les événements de gestion read ou write.

Exemple : un journal de suivi qui journalise les événements Insights

L'exemple suivant permet put-insight-selectors de créer un sélecteur d'événements Insights pour un parcours nommé TrailName3. Cela permet de collecter des événements Insights pour le parcours TrailName3. Le sélecteur d'événements Insights journalise les deux ApiErrorRateInsight et ApiCallRateInsightTypes d'événements Insights.

aws cloudtrail put-insight-selectors --trail-name TrailName3 --insight-selectors '[{"InsightType": "ApiCallRateInsight"},{"InsightType": "ApiErrorRateInsight"}]'

L'exemple montre comment renvoyer le sélecteur d'événements Insights configuré pour le journal de suivi.

{
   "InsightSelectors": 
      [
         {
            "InsightType": "ApiErrorRateInsight"
         },
         {
            "InsightType": "ApiCallRateInsight"
         }
      ],
   "TrailARN": "arn:aws:cloudtrail:us-east-2:123456789012:trail/TrailName3"
}

Exemple: désactiver la collecte d'événements Insights pour un journal de suivi

L'exemple suivant permet put-insight-selectors de supprimer le sélecteur d'événements Insights pour une piste nommée TrailName3. La suppression de la chaîne JSON des sélecteurs Insights désactive la collecte d'événements Insights pour le trail TrailName3.

aws cloudtrail put-insight-selectors --trail-name TrailName3 --insight-selectors '[]'

L'exemple renvoie le sélecteur d'événement Insights maintenant vide configuré pour le journal de suivi.

{
   "InsightSelectors": [ ],
   "TrailARN": "arn:aws:cloudtrail:us-east-2:123456789012:trail/TrailName3"
}

Configuration des sélecteurs d’événements

Pour afficher les paramètres du sélecteur d'événements pour un journal de suivi, exécutez la commande get-event-selectors. Vous devez exécuter cette commande depuis la AWS région dans laquelle elle a été créée (la région d'origine) ou vous devez spécifier cette région à l'aide du --region paramètre. 

aws cloudtrail get-event-selectors --trail-name TrailName
Note

Si le parcours est un parcours organisé par une organisation et que vous êtes un compte membre de l'organisation dans AWS Organizations, vous devez fournir l'ARN complet de ce parcours, et pas seulement son nom.

L'exemple suivant renvoie les paramètres par défaut pour un sélecteur d'événements pour un journal de suivi.

{
    "EventSelectors": [
        {
            "ExcludeManagementEventSources": [],
            "IncludeManagementEvents": true,
            "DataResources": [],
            "ReadWriteType": "All"
        }
    ],
    "TrailARN": "arn:aws:cloudtrail:us-east-2:123456789012:trail/TrailName"
}

Pour créer un sélecteur d’événements, exécutez la commande put-event-selectors. Si vous souhaitez journaliser les événements Insights sur le journal de suivi, assurez-vous que le sélecteur d'événements active la journalisation des types Insights pour lesquels vous souhaitez configurer votre journal de suivi. Pour plus d'informations sur la journalisation des événements Insights, veuillez consulter Journalisation des événements Insights.

Lorsqu'un événement se produit dans votre compte, CloudTrail évalue la configuration de vos sentiers. Si l'événement correspond à un sélecteur d'événements pour un journal de suivi, il est traité et journalisé par le journal de suivi. Vous pouvez configurer jusqu'à 5 sélecteurs d'événements et jusqu'à 250 ressources de données pour un journal de suivi. Pour plus d'informations, consultez Journalisation des événements de données.

Exemple: journal de suivi avec sélecteurs d'événements spécifiques

L'exemple suivant crée un sélecteur d'événements pour un journal nommé TrailNameafin d'inclure des événements de gestion en lecture seule et en écriture seule, des événements de données pour deux combinaisons de compartiments et de préfixes Amazon S3 et des événements de données pour une seule fonction nommée. AWS Lambda hello-world-python-function 

aws cloudtrail put-event-selectors --trail-name TrailName --event-selectors '[{"ReadWriteType": "All","IncludeManagementEvents": true,"DataResources": [{"Type":"AWS::S3::Object", "Values": ["arn:aws:s3:::DOC-EXAMPLE-BUCKET1/prefix","arn:aws:s3:::DOC-EXAMPLE-BUCKET2/prefix2"]},{"Type": "AWS::Lambda::Function","Values": ["arn:aws:lambda:us-west-2:999999999999:function:hello-world-python-function"]}]}]'

L'exemple renvoie le sélecteur d'événements configuré pour le journal de suivi.

{
    "EventSelectors": [
        {
            "ExcludeManagementEventSources": [],
            "IncludeManagementEvents": true,
            "DataResources": [
                {
                    "Values": [
                        "arn:aws:s3:::DOC-EXAMPLE-BUCKET1/prefix",
                        "arn:aws:s3:::DOC-EXAMPLE-BUCKET2/prefix2"
                    ],
                    "Type": "AWS::S3::Object"
                },
                {
                    "Values": [
                        "arn:aws:lambda:us-west-2:123456789012:function:hello-world-python-function"
                    ],
                    "Type": "AWS::Lambda::Function"
                },
            ],
            "ReadWriteType": "All"
        }
    ],
    "TrailARN": "arn:aws:cloudtrail:us-east-2:123456789012:trail/TrailName"
}

Exemple: journal de suivi qui journalise tous les événements de gestion et de données

L'exemple suivant crée un sélecteur d'événements pour une piste nommée TrailName2 qui inclut tous les événements, y compris les événements de gestion en lecture seule et en écriture seule, ainsi que tous les événements de données pour tous les compartiments, fonctions AWS Lambda et tables Amazon DynamoDB d'Amazon S3 du compte. AWS Comme cet exemple utilise des sélecteurs d'événements de base, il ne peut pas configurer la journalisation des événements S3 sur AWS Outposts, des appels Amazon Managed Blockchain JSON-RPC sur des nœuds Ethereum ou d'autres types de ressources de sélection d'événements avancés. Vous devez utiliser des sélecteurs d'événements avancés pour journaliser les événements de données de ces ressources. Pour plus d'informations, consultez Configuration des sélecteurs d’événements avancés.

Note

Si le journal de suivi s'applique à une seule région, seuls les événements de cette région sont consignés, même si les paramètres du sélecteur d'événements spécifient tous les compartiments Amazon S3 et fonctions Lambda. Les sélecteurs d'événements s'appliquent uniquement aux régions dans lesquelles le journal de suivi est créé.

aws cloudtrail put-event-selectors --trail-name TrailName2 --event-selectors '[{"ReadWriteType": "All","IncludeManagementEvents": true,"DataResources": [{"Type":"AWS::S3::Object", "Values": ["arn:aws:s3:::"]},{"Type": "AWS::Lambda::Function","Values": ["arn:aws:lambda"]},{"Type": "AWS::DynamoDB::Table","Values": ["arn:aws:dynamodb"]}]}]'

L'exemple renvoie les sélecteurs d'événements configurés pour le journal de suivi.

{
    "EventSelectors": [
        {
            "ExcludeManagementEventSources": [],
            "IncludeManagementEvents": true,
            "DataResources": [
                {
                    "Values": [
                        "arn:aws:s3:::"
                    ],
                    "Type": "AWS::S3::Object"
                },
                {
                    "Values": [
                        "arn:aws:lambda"
                    ],
                    "Type": "AWS::Lambda::Function"
                },
{
                    "Values": [
                        "arn:aws:dynamodb"
                    ],
                    "Type": "AWS::DynamoDB::Table"
                }
            ],
            "ReadWriteType": "All"
        }
    ],
    "TrailARN": "arn:aws:cloudtrail:us-east-2:123456789012:trail/TrailName2"
}

Exemple de parcours qui n'enregistre pas AWS Key Management Service les événements

L'exemple suivant crée un sélecteur d'événements pour un journal nommé TrailNamepour inclure les événements de gestion en lecture seule et en écriture seule, mais pour exclure les événements (). AWS Key Management Service AWS KMSÉtant donné que les AWS KMS événements sont traités comme des événements de gestion et qu'ils peuvent être nombreux, ils peuvent avoir un impact important sur votre CloudTrail facture si vous disposez de plusieurs pistes qui enregistrent les événements de gestion. Dans cet exemple, l'utilisateur a choisi d'exclure les événements AWS KMS de chaque journal de suivi, sauf un. Pour exclure une source d’événement, ajoutez ExcludeManagementEventSources à vos sélecteurs d’événements et spécifiez une source d’événement dans la valeur de chaîne.

Si vous choisissez de ne pas consigner les événements de gestion, AWS KMS ceux-ci ne sont pas enregistrés et vous ne pouvez pas modifier les paramètres de journalisation des AWS KMS événements.

Pour recommencer à AWS KMS consigner les événements dans un journal, transmettez un tableau vide comme valeur deExcludeManagementEventSources.

aws cloudtrail put-event-selectors --trail-name TrailName --event-selectors '[{"ReadWriteType": "All","ExcludeManagementEventSources": ["kms.amazonaws.com"],"IncludeManagementEvents": true]}]'

L'exemple renvoie le sélecteur d'événements configuré pour le journal de suivi.

{
    "EventSelectors": [
        {
            "ExcludeManagementEventSources": [ "kms.amazonaws.com" ],
            "IncludeManagementEvents": true,
            "DataResources": [],
            "ReadWriteType": "All"
        }
    ],
    "TrailARN": "arn:aws:cloudtrail:us-east-2:123456789012:trail/TrailName"
}

Pour recommencer à consigner les AWS KMS événements dans un journal, transmettez un tableau vide comme valeur deExcludeManagementEventSources, comme indiqué dans la commande suivante.

aws cloudtrail put-event-selectors --trail-name TrailName --event-selectors '[{"ReadWriteType": "All","ExcludeManagementEventSources": [],"IncludeManagementEvents": true]}]'

Exemple de journal qui enregistre les événements pertinents à faible volume AWS Key Management Service

L'exemple suivant crée un sélecteur d'événements pour un parcours nommé de manière TrailNameà inclure des événements de gestion en écriture seule et des événements. AWS KMS Étant donné que les AWS KMS événements sont traités comme des événements de gestion et qu'ils peuvent être nombreux, ils peuvent avoir un impact important sur votre CloudTrail facture si vous disposez de plusieurs pistes qui enregistrent les événements de gestion. Dans cet exemple, l'utilisateur a choisi d'inclure les événements AWS KMS Write, qui incluront DisableScheduleKey, Delete mais n'incluront plus les actions à volume élevé telles que EncryptDecrypt, et GenerateDataKey (elles sont désormais traitées comme des événements de lecture).

aws cloudtrail put-event-selectors --trail-name TrailName --event-selectors '[{"ReadWriteType": "WriteOnly","ExcludeManagementEventSources": [],"IncludeManagementEvents": true]}]'

L'exemple renvoie le sélecteur d'événements configuré pour le journal de suivi. Cela enregistre les événements de gestion en écriture uniquement, y compris AWS KMS les événements.

{
    "EventSelectors": [
        {
            "ExcludeManagementEventSources": [],
            "IncludeManagementEvents": true,
            "DataResources": [],
            "ReadWriteType": "WriteOnly"
        }
    ],
    "TrailARN": "arn:aws:cloudtrail:us-east-2:123456789012:trail/TrailName"
}

Exemple de journal de suivi qui ne journalise pas les événements d'API de données Amazon RDS

L'exemple suivant crée un sélecteur d'événements pour un journal nommé TrailNamepour inclure les événements de gestion en lecture seule et en écriture seule, mais pour exclure les événements de l'API Amazon RDS Data. Étant donné que les événements de l'API Amazon RDS Data sont traités comme des événements de gestion et qu'ils peuvent être très nombreux, ils peuvent avoir un impact important sur votre CloudTrail facture si vous disposez de plusieurs traces qui capturent les événements de gestion. Dans cet exemple, l'utilisateur a choisi d'exclure les événements d'API de données Amazon RDS de chaque journal de suivi, sauf un. Pour exclure une source d'événement, ajoutez ExcludeManagementEventSources à vos sélecteurs d'événements et spécifiez une source d'événement d'API de données Amazon RDS dans la valeur de chaîne : rdsdata.amazonaws.com.

Si vous choisissez de ne pas journaliser les événements de gestion, les événements d’API de données Amazon RDS ne seront pas journalisés et vous ne pourrez pas modifier les paramètres de journalisation des événements.

Pour recommencer à consigner les événements de gestion de l'API Amazon RDS Data dans un journal, transmettez un tableau vide comme valeur deExcludeManagementEventSources.

aws cloudtrail put-event-selectors --trail-name TrailName --event-selectors '[{"ReadWriteType": "All","ExcludeManagementEventSources": ["rdsdata.amazonaws.com"],"IncludeManagementEvents": true]}]'

L'exemple renvoie le sélecteur d'événements configuré pour le journal de suivi.

{
    "EventSelectors": [
        {
            "ExcludeManagementEventSources": [ "rdsdata.amazonaws.com" ],
            "IncludeManagementEvents": true,
            "DataResources": [],
            "ReadWriteType": "All"
        }
    ],
    "TrailARN": "arn:aws:cloudtrail:us-east-2:123456789012:trail/TrailName"
}

Pour recommencer à consigner les événements de gestion de l'API Amazon RDS Data dans un journal, transmettez un tableau vide comme valeur deExcludeManagementEventSources, comme indiqué dans la commande suivante.

aws cloudtrail put-event-selectors --trail-name TrailName --event-selectors '[{"ReadWriteType": "All","ExcludeManagementEventSources": [],"IncludeManagementEvents": true]}]'

Configuration des sélecteurs d’événements avancés

Pour utiliser des sélecteurs d'événements avancés pour inclure ou exclure des événements de données au lieu des sélecteurs d'événements de base, optez pour utiliser des sélecteurs d'événements avancés sur la page de détails d'une piste. Les sélecteurs d’événements avancés vous permettent de journaliser des événements de données sur davantage de types de ressources que les sélecteurs d’événements de base. Les sélecteurs de base journalisent l’activité des objets S3, l’activité d’exécution des fonctions AWS Lambda et les tables DynamoDB.

Dans les sélecteurs d'événements avancés, créez une expression pour collecter des événements de données sur des types de ressources spécifiques tels que les compartiments S3, les AWS Lambda fonctions, les tables DynamoDB, les points d'accès S3 Object Lambda, les API directes Amazon EBS sur les instantanés EBS, les points d'accès S3, les flux DynamoDB, les tables créées par Lake Formation, etc. AWS Glue

Pour en savoir plus sur les sélecteurs d’événements avancés, consultez Configuration des sélecteurs d’événements avancés.

Pour afficher les paramètres du sélecteur d'événements avancés pour un journal de suivi, exécutez la commande get-event-selectors suivante. Vous devez exécuter cette commande depuis la AWS région dans laquelle le parcours a été créé (la région d'origine) ou vous devez spécifier cette région en ajoutant le --region paramètre.

aws cloudtrail get-event-selectors --trail-name TrailName
Note

Si le sentier est un sentier organisé par une organisation et que vous êtes connecté avec un compte de membre de l'organisation en AWS Organizations, vous devez fournir l'ARN complet du sentier, et pas seulement son nom.

L'exemple suivant renvoie les paramètres par défaut pour un sélecteur d'événements avancés pour un journal de suivi. Par défaut, aucun sélecteur d'événement avancé n'est configuré pour un journal de suivi.

{
    "AdvancedEventSelectors": [],
    "TrailARN": "arn:aws:cloudtrail:us-east-2:123456789012:trail/TrailName"
}

Pour créer un sélecteur d'événements avancés, exécutez la commande put-event-selectors. Lorsqu'un événement lié aux données se produit dans votre compte, CloudTrail évalue la configuration de vos sentiers. Si l'événement correspond à un sélecteur d'événements avancé pour un journal de suivi, il est traité et journalisé par le journal de suivi. Vous pouvez configurer jusqu'à 500 conditions sur un journal de suivi, y compris toutes les valeurs spécifiées pour tous les sélecteurs d'événements avancés de votre journal de suivi. Pour plus d'informations, consultez Journalisation des événements de données.

Exemple: journal de suivi avec sélecteurs d'événements spécifiques avancés

L'exemple suivant crée des sélecteurs d'événements avancés personnalisés pour un journal nommé de manière TrailNameà inclure les événements de gestion de lecture et d'écriture (en omettant le readOnly sélecteur) et les événements de DeleteObject données pour toutes les combinaisons de compartiments PutObject et de préfixes Amazon S3, à l'exception d'un bucket nommé DOC-EXAMPLE-BUCKET et d'événements de données pour une fonction nommée. AWS Lambda MyLambdaFunction Comme il s'agit de sélecteurs d'événements avancés personnalisés, chaque ensemble de sélecteurs a un nom descriptif. Notez qu'une barre oblique de fin fait partie de la valeur ARN pour les compartiments S3.

aws cloudtrail put-event-selectors --trail-name TrailName --advanced-event-selectors
'[
  {
    "Name": "Log readOnly and writeOnly management events",
    "FieldSelectors": [
      { "Field": "eventCategory", "Equals": ["Management"] }
    ]
  },
  {
    "Name": "Log PutObject and DeleteObject events for all but one bucket",
    "FieldSelectors": [
      { "Field": "eventCategory", "Equals": ["Data"] },
      { "Field": "resources.type", "Equals": ["AWS::S3::Object"] },
      { "Field": "eventName", "Equals": ["PutObject","DeleteObject"] },
      { "Field": "resources.ARN", "NotStartsWith": ["arn:aws:s3:::DOC-EXAMPLE-BUCKET/"] }
    ]
  },
  {
    "Name": "Log data plane actions on MyLambdaFunction",
    "FieldSelectors": [
      { "Field": "eventCategory", "Equals": ["Data"] },
      { "Field": "resources.type", "Equals": ["AWS::Lambda::Function"] },
      { "Field": "resources.ARN", "Equals": ["arn:aws:lambda:us-east-2:111122223333:function/MyLambdaFunction"] }
    ]
  }
]'

L’exemple renvoie le sélecteur d’événements avancés configuré pour le journal de suivi.

{
  "AdvancedEventSelectors": [
    {
      "Name": "Log readOnly and writeOnly management events",
      "FieldSelectors": [
        {
          "Field": "eventCategory", 
          "Equals": [ "Management" ]
        }
      ]
    },
    {
      "Name": "Log PutObject and DeleteObject events for all but one bucket",
      "FieldSelectors": [
        {
          "Field": "eventCategory", 
          "Equals": [ "Data" ]
        },
        {
          "Field": "resources.type", 
          "Equals": [ "AWS::S3::Object" ]
        },
        {
          "Field": "resources.ARN", 
          "NotStartsWith": [ "arn:aws:s3:::DOC-EXAMPLE-BUCKET/" ]
        },
      ]
    },
{
      "Name": "Log data plane actions on MyLambdaFunction",
      "FieldSelectors": [
        {
          "Field": "eventCategory", 
          "Equals": [ "Data" ]
        },
        {
          "Field": "resources.type", 
          "Equals": [ "AWS::Lambda::Function" ]
        },
        {
          "Field": "eventName", 
          "Equals": [ "Invoke" ]
        },
        {
          "Field": "resources.ARN", 
          "Equals": [ "arn:aws:lambda:us-east-2:111122223333:function/MyLambdaFunction" ]
        }
      ]
    }
  ],
  "TrailARN": "arn:aws:cloudtrail:us-east-2:123456789012:trail/TrailName"
}

Exemple de parcours utilisant des sélecteurs d'événements avancés personnalisés pour enregistrer Amazon S3 sur les événements liés aux AWS Outposts données

L'exemple suivant montre comment configurer votre parcours pour inclure tous les événements de données relatifs à tous les Amazon S3 relatifs aux AWS Outposts objets de votre avant-poste. Dans cette version, la valeur prise en charge pour S3 sur les AWS Outposts événements du resources.type champ estAWS::S3Outposts::Object.

aws cloudtrail put-event-selectors --trail-name TrailName --region region \
--advanced-event-selectors \
'[
    {
            "Name": "OutpostsEventSelector",
            "FieldSelectors": [
                { "Field": "eventCategory", "Equals": ["Data"] },
                { "Field": "resources.type", "Equals": ["AWS::S3Outposts::Object"] }
            ]
        }
]'

La commande renvoie l’exemple de résultat suivant.

{
    "AdvancedEventSelectors": [
        {
            "Name": "OutpostsEventSelector",
            "FieldSelectors": [
                {
                    "Field": "eventCategory",
                    "Equals": [
                        "Data"
                    ]
                },
                {
                    "Field": "resources.type",
                    "Equals": [
                        "AWS::S3Outposts::Object"
                    ]
                }
            ]
        }
    ],
  "TrailARN": "arn:aws:cloudtrail:region:123456789012:trail/TrailName"
}

Exemple de parcours utilisant des sélecteurs d'événements avancés pour exclure AWS Key Management Service des événements

L'exemple suivant crée un sélecteur d'événements avancé pour un journal nommé TrailNamepour inclure les événements de gestion en lecture seule et en écriture seule (en omettant le readOnly sélecteur), mais pour exclure () les événements. AWS Key Management Service AWS KMSÉtant donné que les AWS KMS événements sont traités comme des événements de gestion et qu'ils peuvent être nombreux, ils peuvent avoir un impact important sur votre CloudTrail facture si vous disposez de plusieurs pistes qui enregistrent les événements de gestion.

Si vous choisissez de ne pas consigner les événements de gestion, AWS KMS ceux-ci ne sont pas enregistrés et vous ne pouvez pas modifier les paramètres de journalisation des AWS KMS événements.

Pour recommencer à enregistrer AWS KMS des événements dans un journal, supprimez le eventSource sélecteur et réexécutez la commande.

aws cloudtrail put-event-selectors --trail-name TrailName \
--advanced-event-selectors '
[
  {
    "Name": "Log all management events except KMS events",
    "FieldSelectors": [
      { "Field": "eventCategory", "Equals": ["Management"] },
      { "Field": "eventSource", "NotEquals": ["kms.amazonaws.com"] }
    ]
  }
]'

L’exemple renvoie le sélecteur d’événements avancés configuré pour le journal de suivi.

{
  "AdvancedEventSelectors": [
    {
      "Name": "Log all management events except KMS events",
      "FieldSelectors": [
        {
          "Field": "eventCategory", 
          "Equals": [ "Management" ]
        },
        {
          "Field": "eventSource", 
          "NotEquals": [ "kms.amazonaws.com" ]
        }
      ]
    }
  ],
  "TrailARN": "arn:aws:cloudtrail:us-east-2:123456789012:trail/TrailName"
}

Pour redémarrer la journalisation des événements exclus dans un journal de suivi, supprimez le sélecteur eventSource, comme indiqué dans la commande suivante.

aws cloudtrail put-event-selectors --trail-name TrailName \
--advanced-event-selectors '
[
  {
    "Name": "Log all management events",
    "FieldSelectors": [
      { "Field": "eventCategory", "Equals": ["Management"] }
    ]
  }
]'

Exemple de parcours utilisant des sélecteurs d'événements avancés pour exclure les événements de gestion de l'API Amazon RDS Data

L'exemple suivant crée un sélecteur d'événements avancé pour un journal nommé de manière TrailNameà inclure les événements de gestion en lecture seule et en écriture seule (en omettant le readOnly sélecteur), mais pour exclure les événements de gestion de l'API Amazon RDS Data. Pour exclure les événements de gestion de l'API Amazon RDS Data, spécifiez la source de l'événement Amazon RDS Data API dans la valeur de chaîne du eventSource champ :. rdsdata.amazonaws.com

Si vous choisissez de ne pas enregistrer les événements de gestion, les événements de gestion de l'API Amazon RDS Data ne sont pas enregistrés et vous ne pouvez pas modifier les paramètres de journalisation des événements de l'API Amazon RDS Data.

Pour recommencer à consigner les événements de gestion de l'API Amazon RDS Data dans un journal, supprimez le eventSource sélecteur et réexécutez la commande.

aws cloudtrail put-event-selectors --trail-name TrailName \
--advanced-event-selectors '
[
  {
    "Name": "Log all management events except Amazon RDS Data API management events",
    "FieldSelectors": [
      { "Field": "eventCategory", "Equals": ["Management"] },
      { "Field": "eventSource", "NotEquals": ["rdsdata.amazonaws.com"] }
    ]
  }
]'

L’exemple renvoie le sélecteur d’événements avancés configuré pour le journal de suivi.

{
  "AdvancedEventSelectors": [
    {
      "Name": "Log all management events except Amazon RDS Data API management events",
      "FieldSelectors": [
        {
          "Field": "eventCategory", 
          "Equals": [ "Management" ]
        },
        {
          "Field": "eventSource", 
          "NotEquals": [ "rdsdata.amazonaws.com" ]
        }
      ]
    }
  ],
  "TrailARN": "arn:aws:cloudtrail:us-east-2:123456789012:trail/TrailName"
}

Pour redémarrer la journalisation des événements exclus dans un journal de suivi, supprimez le sélecteur eventSource, comme indiqué dans la commande suivante.

aws cloudtrail put-event-selectors --trail-name TrailName \
--advanced-event-selectors '
[
  {
    "Name": "Log all management events",
    "FieldSelectors": [
      { "Field": "eventCategory", "Equals": ["Management"] }
    ]
  }
]'

Arrêt et démarrage de la journalisation pour un journal de suivi

Les commandes suivantes démarrent et arrêtent la CloudTrail journalisation.

aws cloudtrail start-logging --name awscloudtrail-example
aws cloudtrail stop-logging --name awscloudtrail-example
Note

Avant de supprimer un compartiment, exécutez la commande stop-logging pour arrêter de livrer des événements au compartiment. Si vous n'arrêtez pas la journalisation, CloudTrail tente de transférer les fichiers journaux vers un bucket portant le même nom pendant une période limitée.

Si vous arrêtez de consigner ou supprimez un parcours, CloudTrail Insights est désactivé sur ce parcours.

Suppression d’un journal de suivi

Si vous avez activé les événements CloudTrail de gestion dans Amazon Security Lake, vous devez gérer au moins un journal organisationnel multirégional qui enregistre à la fois les read événements de gestion et les événements write de gestion. Vous ne pouvez pas supprimer une piste si c'est la seule qui répond à cette exigence, sauf si vous désactivez les événements CloudTrail de gestion dans Security Lake.

Vous pouvez supprimer un journal de suivi avec la commande suivante. Vous pouvez supprimer un journal de suivi uniquement dans la région où il a été créé.

aws cloudtrail delete-trail --name awscloudtrail-example

Lorsque vous supprimez un journal de suivi, vous ne supprimez pas le compartiment Amazon S3 ni la rubrique Amazon SNS associée. Utilisez l'API AWS Management Console AWS CLI, ou service pour supprimer ces ressources séparément.