Crie um armazenamento de dados de eventos para eventos do Insights com o console

AWS CloudTrail O Insights ajuda AWS os usuários a identificar e responder a atividades incomuns associadas a chamadas de API e taxas de erro de API, analisando continuamente os eventos CloudTrail de gerenciamento. CloudTrail O Insights analisa seus padrões normais de volume de chamadas de API e taxas de erro de API, também chamados de linha de base, e gera eventos do Insights quando o volume de chamadas ou as taxas de erro estão fora dos padrões normais. Eventos de insights no volume de chamadas de API são gerados para write APIs de gerenciamento e eventos do Insights na taxa de erros da API são gerados para ambosread e write APIs de gerenciamento.

Para registrar eventos do Insights no CloudTrail Lake, você precisa de um armazenamento de dados de eventos de destino que registre eventos do Insights e um armazenamento de dados de eventos de origem que permita o Insights e eventos de gerenciamento de registros.

nota

Para registrar em log eventos do Insights sobre o volume de chamadas à API, o armazenamento de dados de eventos de origem deve registrar em log os eventos de gerenciamento de write. Para registrar em log eventos do Insights sobre a taxa de erros da API, o armazenamento de dados de eventos de origem deve registrar em log os eventos de gerenciamento de read ou write.

Se você tiver o CloudTrail Insights ativado em um armazenamento de dados de eventos de origem e CloudTrail detectar atividades incomuns, CloudTrail entrega os eventos do Insights ao seu armazenamento de dados de eventos de destino. Ao contrário de outros tipos de eventos capturados em um armazenamento de dados de CloudTrail eventos, os eventos do Insights são registrados somente quando CloudTrail detectam alterações no uso da API da sua conta que diferem significativamente dos padrões de uso típicos da conta.

Depois de ativar o CloudTrail Insights pela primeira vez em um armazenamento de dados de eventos, pode levar até 7 dias CloudTrail para entregar o primeiro evento do Insights, se uma atividade incomum for detectada.

CloudTrail O Insights analisa eventos de gerenciamento que ocorrem em uma única região, não globalmente. Um evento do CloudTrail Insights é gerado na mesma região em que seus eventos de gerenciamento de apoio são gerados.

Para um armazenamento de dados de eventos da organização, CloudTrail analisa os eventos de gerenciamento da conta de cada membro em vez de analisar a agregação de todos os eventos de gerenciamento da organização.

Cobranças adicionais se aplicam à ingestão de eventos do Insights em CloudTrail Lake. Você será cobrado separadamente se ativar o Insights tanto para trilhas quanto para armazenamentos de dados de eventos em CloudTrail Lake. Para obter informações sobre CloudTrail preços, consulte AWS CloudTrail Preços.

Para criar um armazenamento de dados de eventos de destino que registra eventos do Insights

Ao criar um armazenamento de dados de eventos do Insights, você tem a opção de escolher um armazenamento de dados de eventos de origem existente que registra os eventos de gerenciamento e, em seguida, especificar os tipos de Insights que deseja receber. Ou, como alternativa, é possível habilitar o Insights em um armazenamento de dados de eventos novo ou existente depois de criar seu armazenamento de dados de eventos do Insights e, em seguida, escolher esse armazenamento de dados de eventos como o armazenamento de dados de eventos de destino.

Este procedimento mostra como criar um armazenamento de dados de eventos de destino que registra eventos do Insights

1. Faça login no AWS Management Console e abra o CloudTrail console em https://console.aws.amazon.com/cloudtrail/.

2. No painel de navegação, abra o submenu Lake e escolha Event data stores (Armazenamentos de dados de eventos).

3. Selecione Create event data store (Criar armazenamento de dados de eventos).

4. Na página Configure event data store (Configurar armazenamento de dados de eventos), em General details (Detalhes gerais), insira um nome para o armazenamento de dados de eventos. Um nome é obrigatório.

5. Escolha a opção de preço que você deseja usar para o armazenamento de dados de eventos. A opção de preço determina o custo para a ingestão e para o armazenamento de eventos, e os períodos de retenção padrão e máximo para o armazenamento de dados de eventos. Para obter mais informações, consulte Preços do AWS CloudTrail e Gerenciando os custos CloudTrail do Lake.

   As seguintes opções estão disponíveis:

   • Preço de retenção extensível de um ano: geralmente recomendado se você espera ingerir menos de 25 TB de dados de eventos por mês e deseja um período de retenção flexível de até 10 anos. Nos primeiros 366 dias (o período de retenção padrão), o armazenamento é incluído sem custo adicional no preço de ingestão. Depois de 366 dias, a retenção estendida está disponível pelo pay-as-you-go preço. Esta é a opção padrão.

     • Período de retenção padrão: 366 dias

     • Período máximo de retenção: 3.653 dias

   • Preço de retenção de sete anos: recomendado se você espera ingerir mais de 25 TB de dados de eventos por mês e precisa de um período de retenção de até 7 anos. A retenção está incluída no preço de ingestão sem custo adicional.

     • Período de retenção padrão: 2.557 dias

     • Período máximo de retenção: 2.557 dias

6. Especifique um período de retenção para o armazenamento de dados de eventos em dias. Os períodos de retenção podem ser entre 7 dias e 3.653 dias (cerca de 10 anos) para a opção de preço de retenção extensível de um ano ou entre 7 dias e 2.557 dias (cerca de sete anos) para a opção de preço de retenção de sete anos. O armazenamento de dados de eventos retém os dados de eventos pelo número especificado de dias.

7. (Opcional) Para ativar o uso da criptografia AWS Key Management Service, escolha Usar minha própria AWS KMS key. Escolha Novo para AWS KMS key criar uma para você ou escolha Existente para usar uma chave KMS existente. Em Inserir alias KMS, especifique um alias, no formato. alias/ MyAliasName Usar sua própria chave KMS exige que você edite sua política de chaves KMS para permitir que CloudTrail os registros sejam criptografados e descriptografados. Para obter mais informações, consulteConfigure as AWS KMS principais políticas para CloudTrail. CloudTrail também suporta chaves AWS KMS multirregionais. Para obter mais informações sobre chaves de várias regiões, consulte Usar chaves de várias regiões no Manual do desenvolvedor do AWS Key Management Service .

   Usar sua própria chave KMS gera AWS KMS custos de criptografia e descriptografia. Após associar um armazenamento de dados de eventos a uma chave do KMS, não será possível remover ou alterar a chave do KMS.

   nota

   Para habilitar a AWS Key Management Service criptografia para um armazenamento de dados de eventos da organização, você deve usar uma chave KMS existente para a conta de gerenciamento.

8. (Opcional) Se você quiser consultar os dados do seu evento usando o Amazon Athena, escolha Habilitar na federação de consultas do Lake. A federação permite que você visualize os metadados associados ao armazenamento de dados de eventos no Catálogo de Dados do AWS Glue e execute consultas SQL nos dados do evento no Athena. Os metadados da tabela armazenados no Catálogo de AWS Glue Dados permitem que o mecanismo de consulta do Athena saiba como encontrar, ler e processar os dados que você deseja consultar. Para ter mais informações, consulte Federar um armazenamento de dados de eventos.

   Para habilitar a federação de consultas do Lake, escolha Habilitar e faça o seguinte:

   1. Escolha se deseja criar um perfil ou usar um perfil do IAM existente. O AWS Lake Formation usa esse perfil para gerenciar permissões para o armazenamento de dados de eventos federados. Quando você cria uma nova função usando o CloudTrail console, cria CloudTrail automaticamente uma função com as permissões necessárias. Se você escolher um perfil existente, a política do perfil deve fornecer as permissões mínimas necessárias.

   2. Se você estiver criando um perfil, insira um nome para identificá-lo.

   3. Se você estiver usando um perfil existente, escolha o perfilo que deseja usar. O perfil deve existir em sua conta.

9. (Opcional) Na seção Tags, é possível adicionar até 50 pares de chave de tag para ajudar a identificar, classificar e controlar o acesso ao seu armazenamento de dados de eventos. Para obter mais informações sobre como usar políticas do IAM para autorizar o acesso a um armazenamento de dados de eventos com base em tags, consulte Exemplos: negação de acesso para criar ou excluir armazenamentos de dados de eventos com base em tags. Para obter mais informações sobre como você pode usar tags em AWS, consulte Como marcar seus AWS recursos no Guia do usuário de AWS recursos de marcação.

10. Escolha Next (Avançar) para configurar o armazenamento de dados de eventos.

11. Na página Escolher eventos, escolha AWS eventos e, em seguida, escolha Eventos do CloudTrail Insights.

12. Em eventos do CloudTrail Insights, faça o seguinte.

    1. Escolha Permitir acesso de administrador delegado se quiser dar acesso ao administrador delegado da sua organização a esse armazenamento de dados de eventos. Essa opção só está disponível se você estiver conectado com a conta de gerenciamento de uma AWS Organizations organização.

    2. (Opcional) Escolha um armazenamento de dados de eventos de origem existente que registre eventos de gerenciamento e especifique os tipos de Insights que deseja receber.

       Para adicionar um armazenamento de dados de eventos de origem, faça o seguinte:

       1. Escolha Adicionar armazenamento de dados de eventos de origem.

       2. Escolha o armazenamento de dados de eventos de origem.

       3. Escolha o Tipo de insights que deseja receber.

          • ApiCallRateInsight: o tipo de insight ApiCallRateInsight analisa as chamadas à API de gerenciamento somente de gravação que são agregadas por minuto em relação a um volume de chamadas à API de linha de base. Para receber insights de ApiCallRateInsight, o armazenamento de dados de eventos de origem deve registrar os eventos de gerenciamento de gravação.

          • ApiErrorRateInsight: o tipo de insight ApiErrorRateInsight analisa as chamadas à API de gerenciamento que resultam em códigos de erro. O erro será exibido se a chamada à API não for bem-sucedida. Para receber insights de ApiErrorRateInsight, o armazenamento de dados de eventos de origem deve registrar os eventos de gerenciamento de gravação ou de leitura.

       4. Repita as duas etapas anteriores (ii e iii) para adicionar outros tipos de insights que você deseja receber.

13. Selecione Next (Próximo) para revisar suas escolhas.

14. Na página Review and create (Revisar e criar), revise as suas escolhas. Escolha Edit (Editar) para fazer alterações a uma seção. Quando estiver pronto para criar o armazenamento de dados de eventos, escolha Create event data store (Criar armazenamento de dados de eventos).

15. O novo armazenamento de dados de eventos está visível na tabela Armazenamentos de dados de eventos na página Armazenamento de dados de eventos.

16. Se você não escolheu um armazenamento de dados de eventos de origem na etapa 10, siga as etapas em Para criar um armazenamento de dados de eventos de origem que registra eventos do Insights para criar um armazenamento de dados de eventos de origem.

Para criar um armazenamento de dados de eventos de origem que registra eventos do Insights

Este procedimento mostra como criar um armazenamento de dados de eventos de origem que habilita eventos do Insights e registra eventos de gerenciamento.

1. Faça login no AWS Management Console e abra o CloudTrail console em https://console.aws.amazon.com/cloudtrail/.

2. No painel de navegação, abra o submenu Lake e escolha Event data stores (Armazenamentos de dados de eventos).

3. Selecione Create event data store (Criar armazenamento de dados de eventos).

4. Na página Configure event data store (Configurar armazenamento de dados de eventos), em General details (Detalhes gerais), insira um nome para o armazenamento de dados de eventos. Um nome é obrigatório.

5. Escolha a opção de preço que você deseja usar para o armazenamento de dados de eventos. A opção de preço determina o custo para a ingestão e para o armazenamento de eventos, e os períodos de retenção padrão e máximo para o armazenamento de dados de eventos. Para obter mais informações, consulte Preços do AWS CloudTrail e Gerenciando os custos CloudTrail do Lake.

   As seguintes opções estão disponíveis:

   • Preço de retenção extensível de um ano: geralmente recomendado se você espera ingerir menos de 25 TB de dados de eventos por mês e deseja um período de retenção flexível de até 10 anos. Nos primeiros 366 dias (o período de retenção padrão), o armazenamento é incluído sem custo adicional no preço de ingestão. Depois de 366 dias, a retenção estendida está disponível pelo pay-as-you-go preço. Esta é a opção padrão.

     • Período de retenção padrão: 366 dias

     • Período máximo de retenção: 3.653 dias

   • Preço de retenção de sete anos: recomendado se você espera ingerir mais de 25 TB de dados de eventos por mês e precisa de um período de retenção de até 7 anos. A retenção está incluída no preço de ingestão sem custo adicional.

     • Período de retenção padrão: 2.557 dias

     • Período máximo de retenção: 2.557 dias

6. Especifique um período de retenção para o armazenamento de dados de eventos. Os períodos de retenção podem ser entre 7 dias e 3.653 dias (cerca de 10 anos) para a opção de preço de retenção extensível de um ano ou entre 7 dias e 2.557 dias (cerca de sete anos) para a opção de preço de retenção de sete anos.

   CloudTrail Lake determina se deve reter um evento verificando se o eventTime evento está dentro do período de retenção especificado. Por exemplo, se você especificar um período de retenção de 90 dias, CloudTrail removerá eventos quando forem mais antigos do que 90 dias. eventTime

7. (Opcional) Para ativar o uso da criptografia AWS Key Management Service, escolha Usar minha própria AWS KMS key. Escolha Novo para AWS KMS key criar uma para você ou escolha Existente para usar uma chave KMS existente. Em Inserir alias KMS, especifique um alias, no formato. alias/ MyAliasName Usar sua própria chave KMS exige que você edite sua política de chaves KMS para permitir que CloudTrail os registros sejam criptografados e descriptografados. Para obter mais informações, consulteConfigure as AWS KMS principais políticas para CloudTrail. CloudTrail também suporta chaves AWS KMS multirregionais. Para obter mais informações sobre chaves de várias regiões, consulte Usar chaves de várias regiões no Manual do desenvolvedor do AWS Key Management Service .

   Usar sua própria chave KMS gera AWS KMS custos de criptografia e descriptografia. Após associar um armazenamento de dados de eventos a uma chave do KMS, não será possível remover ou alterar a chave do KMS.

   nota

   Para habilitar a AWS Key Management Service criptografia para um armazenamento de dados de eventos da organização, você deve usar uma chave KMS existente para a conta de gerenciamento.

8. (Opcional) Se você quiser consultar os dados do seu evento usando o Amazon Athena, escolha Habilitar na federação de consultas do Lake. A federação permite que você visualize os metadados associados ao armazenamento de dados de eventos no Catálogo de Dados do AWS Glue e execute consultas SQL nos dados do evento no Athena. Os metadados da tabela armazenados no Catálogo de AWS Glue Dados permitem que o mecanismo de consulta do Athena saiba como encontrar, ler e processar os dados que você deseja consultar. Para ter mais informações, consulte Federar um armazenamento de dados de eventos.

   Para habilitar a federação de consultas do Lake, escolha Habilitar e faça o seguinte:

   1. Escolha se deseja criar um perfil ou usar um perfil do IAM existente. O AWS Lake Formation usa esse perfil para gerenciar permissões para o armazenamento de dados de eventos federados. Quando você cria uma nova função usando o CloudTrail console, cria CloudTrail automaticamente uma função com as permissões necessárias. Se você escolher um perfil existente, a política do perfil deve fornecer as permissões mínimas necessárias.

   2. Se você estiver criando um perfil, insira um nome para identificá-lo.

   3. Se você estiver usando um perfil existente, escolha o perfilo que deseja usar. O perfil deve existir em sua conta.

9. (Opcional) Na seção Tags, é possível adicionar até 50 pares de chave de tag para ajudar a identificar, classificar e controlar o acesso ao seu armazenamento de dados de eventos. Para obter mais informações sobre como usar políticas do IAM para autorizar o acesso a um armazenamento de dados de eventos com base em tags, consulte Exemplos: negação de acesso para criar ou excluir armazenamentos de dados de eventos com base em tags. Para obter mais informações sobre como você pode usar tags em AWS, consulte Como marcar seus AWS recursos no Guia do usuário de AWS recursos de marcação.

10. Escolha Next (Avançar) para configurar o armazenamento de dados de eventos.

11. Na página Escolher eventos, escolha AWS eventos e, em seguida, escolha CloudTraileventos.

12. Em CloudTrail eventos, deixe a opção Eventos de gerenciamento selecionada.

13. Para que o armazenamento de dados do seu evento colete eventos de todas as contas em uma organização do AWS Organizations , selecione Enable for all accounts in my organization (Habilitar para todas as contas na minha organização). Você deve estar conectado à conta de gerenciamento da organização para criar um armazenamento de dados de eventos que habilite o Insights.

14. Expanda Configurações adicionais para escolher se você deseja que seu armazenamento de dados de eventos colete eventos para todos Regiões da AWS ou somente para os atuais Região da AWS, e escolha se o armazenamento de dados de eventos ingere eventos. Por padrão, seu armazenamento de dados de eventos coleta eventos de todas as regiões em sua conta e começa a ingerir eventos ao ser criado.

    1. Opcionalmente, selecione Incluir somente a região atual no meu armazenamento de dados de eventos para incluir somente eventos que são registrados em log na região atual. Se você não escolher essa opção, o armazenamento de dados de eventos incluirá eventos de todas as regiões.

    2. Mantenha a opção Ingerir eventos selecionada.

15. Escolha o tipo dos eventos de gerenciamento que você deseja incluir em seu armazenamento de dados de eventos. É possível escolher Ler, Gravar ou ambas. Pelo menos um é necessário.

    nota

    Para registrar em log eventos do Insights sobre o volume de chamadas à API, o armazenamento de dados de eventos deve registrar em log os eventos de gerenciamento de write. Para registrar em log eventos do Insights sobre a taxa de erros da API, o armazenamento de dados de eventos deve registrar em log os eventos de gerenciamento de read ou write.

16. Você pode optar por excluir AWS Key Management Service ou excluir eventos da Amazon RDS Data API do seu armazenamento de dados de eventos. Para obter mais informações sobre essas opções, consulte Log de eventos de gerenciamento.

17. Escolha Habilitar Insights.

18. Em Habilitar Insights, escolha o armazenamento de dados de eventos de destino que registrará os eventos do Insights. O armazenamento de dados de eventos de destino coletará eventos do Insights com base na atividade de gerenciamento de eventos nesse armazenamento de dados de eventos. Para obter informações sobre como criar o armazenamento de dados de eventos de destino, consulte Para criar um armazenamento de dados de eventos de destino que registra eventos do Insights.

19. Escolha os tipos de Insights. É possível escolher a Taxa de chamadas à API, a Taxa de erros da API ou ambas. Você deve registrar eventos de gerenciamento de gravação para registrar em log eventos do Insights sobre a taxa de chamadas à API. É necessário registrar eventos de gerenciamento de leitura ou gravação para registrar em log eventos do Insights sobre a taxa de erros da API.

20. Selecione Next (Próximo) para revisar suas escolhas.

21. Na página Review and create (Revisar e criar), revise as suas escolhas. Escolha Edit (Editar) para fazer alterações a uma seção. Quando estiver pronto para criar o armazenamento de dados de eventos, escolha Create event data store (Criar armazenamento de dados de eventos).

22. O novo armazenamento de dados de eventos está visível na tabela Armazenamentos de dados de eventos na página Armazenamento de dados de eventos.

    Deste ponto em diante, o armazenamento de dados de eventos captura eventos que correspondem aos seletores de eventos avançados. Depois de ativar o CloudTrail Insights pela primeira vez em seu armazenamento de dados de eventos de origem, pode levar até 7 dias CloudTrail para entregar o primeiro evento do Insights ao armazenamento de dados de eventos de destino, se uma atividade incomum for detectada.

    Você pode visualizar o painel do CloudTrail Lake para visualizar os eventos do Insights em seu armazenamento de dados de eventos de destino. Para obter mais informações sobre painéis do Lake, consulte Veja os painéis do CloudTrail Lake com o console CloudTrail .

Cobranças adicionais se aplicam à ingestão de eventos do Insights em CloudTrail Lake. Você será cobrado separadamente se ativar o Insights tanto para trilhas quanto para armazenamentos de dados de eventos. Para obter informações sobre CloudTrail preços, consulte AWS CloudTrail Preços.