CloudTrail insightDetailsElemento Insights

AWS CloudTrail I record degli eventi di Insights includono campi diversi dagli altri CloudTrail eventi nella loro struttura JSON, a volte denominati payload. Un record di eventi CloudTrail Insights include un insightDetails blocco che contiene informazioni sui trigger sottostanti di un evento Insights, ad esempio l'origine dell'evento, le identità degli utenti, gli agenti utente, medie o baseline storiche, statistiche, nome API e se l'evento è l'inizio o la fine dell'evento Insights. Il blocco insightDetails contiene le seguenti informazioni.

• state: indica se l'evento è l'evento Insights di inizio o di fine. Il valore può essere Start o End.

  Since: 1.07

  Optional: False

• eventSource- L'endpoint del AWS servizio all'origine dell'attività insolita, ad esempio. ec2.amazonaws.com

  Since: 1.07

  Optional: False

• eventName: il nome dell'evento Insights, in genere il nome dell'API che ha dato origine all'attività insolita.

  Since: 1.07

  Optional: False

• insightType: il tipo di evento Insights. Questo valore può essere ApiCallRateInsight o ApiErrorRateInsight, o entrambi.

  Since: 1.07

  Optional: False

• insightContext -

  Informazioni sugli AWS strumenti (chiamati user agent), sugli utenti e sui ruoli IAM (denominati identità utente) e sui codici di errore associati agli eventi CloudTrail analizzati per generare l'evento Insights. Questo elemento include anche statistiche che mostrano il modo in cui l'attività insolita in un evento Insights viene confrontata con l'attività di riferimento o normale.

  Since: 1.07

  Optional: False

  • statistics: include i dati relativi al riferimento, o frequenza media tipica delle chiamate o degli errori all'API oggetto da parte di un account, misurata durante il periodo di base, la frequenza media delle chiamate o degli errori che hanno attivato l'evento Insights nel primo minuto dell'evento Insights, la durata, espressa in minuti, dell'evento Insights e la durata, espressa in minuti, del periodo di misurazione di base.

    Since: 1.07

    Optional: False

    • baseline: il numero medio di chiamate o degli errori API al minuto per la durata di riferimento all'API oggetto dell'evento Insights per l'account, calcolato nei sette giorni precedenti all'inizio dell'evento Insights.

      Since: 1.07

      Optional: False

    • insight -

      Per un evento Insights di inizio, questo valore è il numero medio di chiamate o errori API al minuto durante l'inizio dell'attività insolita. Per un evento Insights di fine, questo valore è il numero medio di chiamate o erriri API al minuto per la durata dell'attività insolita.

      Since: 1.07

      Optional: False

    • insightDuration: la durata, espressa in minuti, di un evento Insights (il periodo di tempo dall'inizio alla fine dell'attività insolita sull'API oggetto). insightDuration si verifica sia negli eventi Insights di inizio che di fine.

      Since: 1.07

      Optional: False

    • baselineDuration: la durata, espressa in minuti, del periodo di riferimento (il periodo di tempo in cui l'attività normale è misurata sull'API oggetto). baselineDuration corrisponde ad almeno sette giorni (10.080 minuti) prima di un evento Insights. Questo campo è presente sia negli eventi Insights di inizio che di fine. L'ora di fine di baselineDuration è sempre l'inizio di un evento Insights.

      Since: 1.07

      Optional: False

  • attributions: questo blocco include informazioni sulle identità utente, sugli agenti dell'utente e sui codici di errore correlati all'attività insolita e di riferimento. Sono acquisiti un massimo di cinque identità utente, cinque agenti dell'utente e cinque codici di errore in un blocco attributions di un evento Insights, ordinati in base alla media del conteggio delle attività, in ordine decrescente dalla più alta alla più bassa.

    Since: 1.07

    Optional: True

    • attribute: contiene il tipo di attributo. Il valore può essere userIdentityArn, userAgent o errorCode.

      • userIdentityArn- Un blocco che mostra i primi cinque AWS utenti o ruoli IAM che hanno contribuito alle chiamate o agli errori delle API durante le attività insolite e i periodi di riferimento. Consulta anche userIdentity in CloudTrail contenuto del record.

        Since: 1.07

        Optional: False

        • insight: un blocco che mostra fino ai primi cinque ARN delle identità utente che hanno contribuito alle chiamate API effettuate durante il periodo di attività insolita, in ordine decrescente dal numero di chiamate API maggiore a quello minore. Mostra anche il numero medio di chiamate API effettuate dalle identità utente durante il periodo di attività insolita.

          Since: 1.07

          Optional: False

          • value: l'ARN di una delle prime cinque identità utente che hanno contribuito alle chiamate API effettuate durante il periodo di attività insolita.

            Since: 1.07

            Optional: False

          • average: il numero di chiamate o errori API al minuto durante il periodo di attività insolita per l'identità utente nel campo value.

            Since: 1.07

            Optional: False

        • baseline: un blocco che mostra fino ai primi cinque ARN di identità utente che hanno contribuito maggiormente alle chiamate o agli errori API effettuate durante il periodo di attività normale. Mostra anche il numero medio di chiamate o errori API registrati dalle identità utente durante il periodo di attività normale.

          Since: 1.07

          Optional: False

          • value: l'ARN di una delle prime cinque identità utente che hanno contribuito alle chiamate o agli errori API durante il periodo di attività normale.

            Since: 1.07

            Optional: False

          • average: la media cronologica delle chiamate o degli errori API al minuto durante i sette giorni precedenti all'ora di inizio dell'attività Insights per l'identità utente nel campo value.

            Since: 1.07

            Optional: False

      • userAgent- Un blocco che mostra i cinque AWS strumenti principali con cui l'identità dell'utente ha contribuito alle chiamate API durante i periodi di attività e di riferimento insoliti. Questi strumenti includono AWS Management Console AWS CLI, o gli SDK. AWS Consulta anche userAgent in CloudTrail contenuto del record.

        Since: 1.07

        Optional: False

        • insight: un blocco che mostra fino ai primi cinque agenti dell'utente che hanno contribuito alle chiamate API effettuate durante il periodo di attività insolita, in ordine decrescente dal numero di chiamate API maggiore a quello minore. Mostra anche il numero medio di chiamate o errori API registrati dagli agenti dell'utente durante il periodo di attività insolita.

          Since: 1.07

          Optional: False

          • value: uno dei primi cinque agenti dell'utente che hanno contribuito alle chiamate API effettuate durante il periodo di attività insolita.

            Since: 1.07

            Optional: False

          • average: il numero di chiamate o errori API registrati al minuto durante il periodo di attività insolita per l'agente dell'utente nel campo value.

            Since: 1.07

            Optional: False

        • baseline: un blocco che mostra fino ai primi cinque agenti dell'utente che hanno contribuito maggiormente alle chiamate API effettuate durante il periodo di attività normale. Mostra anche il numero medio di chiamate o errori API registrati dagli agenti dell'utente durante il periodo di attività normale.

          Since: 1.07

          Optional: False

          • value: uno dei primi cinque agenti dell'utente che hanno contribuito alle chiamate o agli errori API registrati durante il periodo di attività normale.

            Since: 1.07

            Optional: False

          • average: la media cronologica delle chiamate o degli errori API al minuto durante i sette giorni precedenti all'ora di inizio dell'attività Insights per l'agente dell'utente nel campo value.

            Since: 1.07

            Optional: False

      • errorCode: un blocco che mostra fino ai primi cinque codici di errore che si sono verificati nelle chiamate API durante il periodo dell'attività insolita e di riferimento, in ordine decrescente dal numero di chiamate API maggiore a quello minore. Consulta anche errorCode in CloudTrail contenuto del record.

        Since: 1.07

        Optional: False

        • insight: un blocco che mostra fino ai primi cinque codici di errore che si sono verificati nelle chiamate API effettuate durante il periodo dell'attività insolita, in ordine decrescente dal numero di chiamate API associate maggiore a quello minore. Mostra anche il numero medio di chiamate API su cui si sono verificati gli errori durante il periodo di attività insolita.

          Since: 1.07

          Optional: False

          • value: uno dei primi cinque codici di errore che si sono verificati nelle chiamate API effettuate durante il periodo di attività insolita, ad esempio AccessDeniedException.

            Se nessuna delle chiamate che hanno attivato l'evento Insights ha generato errori, questo valore è null.

            Since: 1.07

            Optional: False

          • average: il numero di chiamate API al minuto durante il periodo di attività insolita per il codice di errore nel campo value.

            Se il valore del codice di errore è null e non sono presenti altri codici di errore nel blocco insight, il valore di average è uguale a quello nel blocco statistics per l'evento Insights generale.

            Since: 1.07

            Optional: False

        • baseline: un blocco che mostra fino ai primi cinque codici di errore che si sono verificati nelle chiamate API effettuate durante il periodo di attività normale. Mostra anche il numero medio di chiamate API effettuate dagli agenti dell'utente durante il periodo di attività normale.

          Since: 1.07

          Optional: False

          • value: uno dei primi cinque codici di errore che si sono verificati nelle chiamate API effettuate durante il periodo di attività normale, ad esempio AccessDeniedException.

            Since: 1.07

            Optional: False

          • average: la media cronologica delle chiamate o degli errori API al minuto durante i sette giorni precedenti all'ora di inizio dell'attività Insights per il codice di errore nel campo value.

            Since: 1.07

            Optional: False

Blocco insightDetails di esempio

Nell'esempio seguente viene illustrato un blocco insightDetails di evento Insights per un evento Insights che si è verificato quando l'API Application Auto Scaling CompleteLifecycleAction è stata chiamata un numero insolito di volte. Per un esempio di un evento Insights completo, consulta Eventi Insights.

Questo esempio proviene da un evento Insights di inizio, indicato da "state": "Start". Le prime identità utente che hanno chiamato le API associate all'evento Insights, CodeDeployRole1, CodeDeployRole2 e CodeDeployRole3, sono mostrate nel blocco attributions, insieme alla frequenza media delle chiamate API per questo evento Insights e al riferimento per il ruolo CodeDeployRole1. Il attributions blocco mostra anche che lo user agent ècodedeploy.amazonaws.com, il che significa che le principali identità utente hanno utilizzato la AWS CodeDeploy console per eseguire le chiamate API.

Poiché non sono presenti codici di errore associati agli eventi analizzati per generare l'evento Insights (il valore è null), la media insight per il codice di errore è la stessa della media insight generale per l'intero evento Insights, mostrata nel blocco statistics.

          "insightDetails": {
            "state": "Start",
            "eventSource": "autoscaling.amazonaws.com",
            "eventName": "CompleteLifecycleAction",
            "insightType": "ApiCallRateInsight",
            "insightContext": {
              "statistics": {
                "baseline": {
                  "average": 0.0000882145
                },
                "insight": {
                  "average": 0.6
                },
                "insightDuration": 5,
                "baselineDuration": 11336
              },
              "attributions": [
                {
                  "attribute": "userIdentityArn",
                  "insight": [
                    {
                      "value": "arn:aws:sts::012345678901:assumed-role/CodeDeployRole1",
                      "average": 0.2
                    },
                    {
                      "value": "arn:aws:sts::012345678901:assumed-role/CodeDeployRole2",
                      "average": 0.2
                    },
                    {
                      "value": "arn:aws:sts::012345678901:assumed-role/CodeDeployRole3",
                      "average": 0.2
                    }
                  ],
                  "baseline": [
                    {
                      "value": "arn:aws:sts::012345678901:assumed-role/CodeDeployRole1",
                      "average": 0.0000882145
                    }
                  ]
                },
                {
                  "attribute": "userAgent",
                  "insight": [
                    {
                      "value": "codedeploy.amazonaws.com",
                      "average": 0.6
                    }
                  ],
                  "baseline": [
                    {
                      "value": "codedeploy.amazonaws.com",
                      "average": 0.0000882145
                    }
                  ]
                },
                {
                  "attribute": "errorCode",
                  "insight": [
                    {
                      "value": "null",
                      "average": 0.6
                    }
                  ],
                  "baseline": [
                    {
                      "value": "null",
                      "average": 0.0000882145
                    }
                  ]
                }
              ]
            }
          }