Individuazione dei file di CloudTrail registro

CloudTrail pubblica i file di log nel tuo bucket S3 in un archivio gzip. Nel bucket S3, il file di log ha un nome formattato che include i seguenti elementi:

• Il nome del bucket che hai specificato quando hai creato il trail (disponibile nella pagina Trails della console) CloudTrail

• Prefisso (opzionale) specificato durante la creazione del trail

• La stringa "» AWSLogs

• Numero di account

• La stringa "CloudTrail»

• Un identificatore della regione, ad esempio us-west-1

• Anno di pubblicazione del file di log nel formato YYYY

• Mese di pubblicazione del file di log nel formato MM

• Giorno di pubblicazione del file di log nel formato DD

• Stringa alfanumerica che disambigua il file dagli altri inclusi nello stesso periodo di tempo

L'esempio seguente mostra un nome di oggetto file di log completo:

bucket_name/prefix_name/AWSLogs/Account ID/CloudTrail/region/YYYY/MM/DD/file_name.json.gz

Nota

Per gli itinerari organizzativi, il nome dell'oggetto del file di registro nel bucket S3 include l'ID dell'unità organizzativa nel percorso, come segue:

bucket_name/prefix_name/AWSLogs/O-ID/Account ID/CloudTrail/Region/YYYY/MM/DD/file_name.json.gz

Per recuperare un file di log, puoi utilizzare la console Amazon S3, l'interfaccia a riga di comando (CLI) o l'API Amazon S3.

Per trovare i file di log mediante la console Amazon S3

1. Apri la console Amazon S3.

2. Scegliere il bucket specificato.

3. Esplorare la gerarchia di oggetti fino a trovare il file di log desiderato.

   Tutti i file di log hanno l'estensione .gz.

Potrai navigare in una gerarchia di oggetti simile a quella dell'esempio seguente, ma con valori diversi per nome di bucket, ID account, Regione e data.

All Buckets
    Bucket_Name
        AWSLogs
            123456789012
                CloudTrail
                    us-west-1
                        2014
                            06
                                20

Un file di log per la precedente gerarchia di oggetti sarà simile alla seguente:

123456789012_CloudTrail_us-west-1_20140620T1255ZHdkvFTXOA3Vnhbc.json.gz

Nota

Anche se è una possibilità non comune, è possibile ricevere file di log contenenti uno o più eventi duplicati. Nella maggior parte dei casi, gli eventi duplicati avranno lo stesso eventID. Per ulteriori informazioni sul campo eventID, consulta CloudTrail contenuto del record.