CloudTrail 见解`insightDetails`元素

AWS CloudTrail Insights 事件记录包括与其 JSON 结构中其他 CloudTrail 事件不同的字段，有时称为负载。 CloudTrail Insights 事件记录包括一个insightDetails块，其中包含有关 Insights 事件底层触发器的信息，例如事件源、用户身份、用户代理、历史平均值或基线、统计数据、API 名称以及该事件是 Insights 事件的开始还是结束。insightDetails 数据块包含以下信息。

state - 事件是开始还是结束见解事件。该值可以是 Start 或 End。

从：1.07

Optional (可选)：False
eventSource-作为异常活动来源的 AWS 服务端点，例如ec2.amazonaws.com。

从：1.07

Optional (可选)：False
eventName - 见解事件的名称，通常是作为异常活动的源的 API 的名称。

从：1.07

Optional (可选)：False
insightType - 见解事件的类型。该值可以是 ApiCallRateInsight 和/或 ApiErrorRateInsight。

从：1.07

Optional (可选)：False
insightContext -

有关 AWS 工具（称为用户代理）、IAM 用户和角色（称为用户身份）以及与为生成 Insights 事件而 CloudTrail 分析的事件关联的错误代码的信息。此元素还包括统计信息，显示了 Insights 事件中的异常活动与基准或正常活动对比的情况。

从：1.07

Optional (可选)：False
- statistics - 包括有关基准的数据，或者在基准期内账户对主题 API 的典型平均调用或错误速率、在 Insights 事件的第一分钟内触发 Insights 事件的调用或错误速率、Insights 事件的持续时间（以分钟为单位）以及基准测量周期的持续时间（以分钟为单位）。
  
  从：1.07
  
  Optional (可选)：False
  - baseline - 在基准持续时间内，关于该账户的 Insights 事件主题 API 的平均每分钟 API 调用或错误次数，计算 Insights 事件开始之前七天内的值。
    
    从：1.07
    
    Optional (可选)：False
  - insight -
    
    对于开始 Insights 事件，此值是在异常活动开始期间的每分钟平均 API 调用或错误次数。对于结束 Insights 事件，此值是在异常活动持续期间的每分钟平均 API 调用或错误次数。
    
    从：1.07
    
    Optional (可选)：False
  - insightDuration - 见解事件的持续时间（在主题 API 中从异常活动开始到结束的时间段），以分钟为单位。在见解事件开始和结束时都会发生 insightDuration。
    
    从：1.07
    
    Optional (可选)：False
  - baselineDuration - 基准周期的持续时间（在主题 API 中测量正常活动的时间段），以分钟为单位。baselineDuration 至少为见解事件之前的七天时间（10080 分钟）。此字段同时出现在开始和结束见解事件中。baselineDuration 测量的结束时间始终是见解事件的开始。
    
    从：1.07
    
    Optional (可选)：False
- attributions - 此数据块包含有关与异常活动和基准活动相关的用户身份、用户代理和错误代码的信息。在见解事件 attributions 数据块中捕获最多五个用户身份、五个用户代理和五个错误代码，按活动计数的平均值，从最高到最低的降序排列。
  
  从：1.07
  
  Optional (可选)：True
  - attribute - 包含属性类型。值可以是 userIdentityArn、userAgent 或 errorCode。
    
    userIdentityArn-显示在异常活动和基准期内导致 API 调用或错误的前五名 AWS 用户或 IAM 角色的区块。另请参阅 CloudTrail 录制内容中的 userIdentity。
    
    从：1.07
    
    Optional (可选)：False
    
    insight - 此数据块显示对异常活动期间进行的 API 调用有贡献的最多前五名的用户身份 ARN，按 API 调用数量从最大到最小的降序排列。它还显示了用户身份在异常活动期间进行的 API 调用的平均数量。
    
    从：1.07
    
    Optional (可选)：False
    
    value - 对异常活动期间进行的 API 调用有贡献的排名前五的用户身份之一的 ARN。
    
    从：1.07
    
    Optional (可选)：False
    
    average - value 字段中的用户身份在异常活动期间每分钟的 API 调用或错误次数。
    
    从：1.07
    
    Optional (可选)：False
    
    baseline - 此数据块显示在正常活动期间，引发 API 调用或错误的排名前五的用户身份 ARN。它还显示了用户身份在正常活动期间记录的 API 调用或错误的平均数量。
    
    从：1.07
    
    Optional (可选)：False
    
    value - 在正常活动期间，引发 API 调用或错误的排名前五的用户身份中某一个身份的 ARN。
    
    从：1.07
    
    Optional (可选)：False
    
    average - 在 Insights 活动开始时间之前的七天内，value 字段中用户身份的每分钟 API 调用或错误的历史平均值。
    
    从：1.07
    
    Optional (可选)：False
    
    userAgent-一个方块，显示了在异常活动和基准期内，用户身份促成 API 调用的前五个 AWS 工具。这些工具包括 AWS Management Console AWS CLI、或 AWS SDK。另请参阅 CloudTrail 录制内容中的 userAgent。
    
    从：1.07
    
    Optional (可选)：False
    
    insight - 此数据块显示对异常活动期间进行的 API 调用有贡献的最多前五名的用户代理，按 API 调用数量从最大到最小的降序排列。它还显示了用户代理在异常活动期间记录的 API 调用或错误的平均数量。
    
    从：1.07
    
    Optional (可选)：False
    
    value - 对异常活动期间进行的 API 调用有贡献的排名前五的用户代理之一。
    
    从：1.07
    
    Optional (可选)：False
    
    average - value 字段中的用户代理在异常活动期间，每分钟的 API 调用或错误数。
    
    从：1.07
    
    Optional (可选)：False
    
    baseline - 此数据块显示对正常活动期间进行的 API 调用贡献最大的最多前五名的用户代理。它还显示了用户代理在正常活动期间记录的 API 调用或错误的平均数量。
    
    从：1.07
    
    Optional (可选)：False
    
    value - 在正常活动期间，引发 API 调用或错误的排名前五的用户代理之一。
    
    从：1.07
    
    Optional (可选)：False
    
    average - 在 Insights 活动开始时间之前的七天内，value 字段中的用户代理的每分钟 API 调用或错误的历史平均值。
    
    从：1.07
    
    Optional (可选)：False
    
    errorCode - 此数据块显示在异常活动期间和基准期的 API 调用中发生的最多前五名的错误代码，按 API 调用数量从最大到最小的降序排列。另请参阅 CloudTrail 录制内容中的 errorCode。
    
    从：1.07
    
    Optional (可选)：False
    
    insight - 此数据块显示在异常活动期间进行的 API 调用中发生的最多前五名的错误代码，按相关 API 调用数量从最大到最小的降序排列。它还显示了在异常活动期间发生了错误的 API 调用的平均数量。
    
    从：1.07
    
    Optional (可选)：False
    
    value - 在异常活动期间进行的 API 调用中发生的排名前五的错误代码之一，例如 AccessDeniedException。
    
    如果触发见解事件的任何调用都不会导致错误，则此值为 null。
    
    从：1.07
    
    Optional (可选)：False
    
    average - value 字段中的错误代码在异常活动期间每分钟调用的 API 次数。
    
    如果错误代码值为 null，并且 insight 数据块中没有其他错误代码，则 average 的值与表现见解事件总体的 statistics 数据块中的值相同。
    
    从：1.07
    
    Optional (可选)：False
    
    baseline - 此数据块显示在正常活动期间进行的 API 调用中发生的最多前五名的错误代码。它还显示了用户代理在正常活动期间进行的 API 调用的平均数量。
    
    从：1.07
    
    Optional (可选)：False
    
    value - 在正常活动期间进行的 API 调用中发生的排名前五的错误代码之一，例如 AccessDeniedException。
    
    从：1.07
    
    Optional (可选)：False
    
    average - 在 Insights 活动开始时间之前的七天内，value 字段中的错误代码的每分钟 API 调用或错误的历史平均值。
    
    从：1.07
    
    Optional (可选)：False

示例 `insightDetails` 数据块

下面是在不寻常地多次调用 Application Auto Scaling API CompleteLifecycleAction 时发生的见解事件的见解事件 insightDetails 数据块示例。有关完整见解事件的示例，请参阅洞察活动。

此示例来自开始见解事件，通过 "state": "Start" 表示。调用与见解事件关联的 API 的顶级用户身份 CodeDeployRole1、CodeDeployRole2 和 CodeDeployRole3，与其对此见解事件的平均 API 调用率以及 CodeDeployRole1 角色的基准值一起显示在 attributions 数据块中。该attributions区块还显示用户代理是codedeploy.amazonaws.com，这意味着顶级用户身份使用 AWS CodeDeploy 控制台运行 API 调用。

因为没有与为了生成见解事件而分析的事件相关的错误代码（值为 null)，错误代码的 insight 平均值与整个见解事件的总体 insight 平均值相同，显示在 statistics 数据块中。


          "insightDetails": {
            "state": "Start",
            "eventSource": "autoscaling.amazonaws.com",
            "eventName": "CompleteLifecycleAction",
            "insightType": "ApiCallRateInsight",
            "insightContext": {
              "statistics": {
                "baseline": {
                  "average": 0.0000882145
                },
                "insight": {
                  "average": 0.6
                },
                "insightDuration": 5,
                "baselineDuration": 11336
              },
              "attributions": [
                {
                  "attribute": "userIdentityArn",
                  "insight": [
                    {
                      "value": "arn:aws:sts::012345678901:assumed-role/CodeDeployRole1",
                      "average": 0.2
                    },
                    {
                      "value": "arn:aws:sts::012345678901:assumed-role/CodeDeployRole2",
                      "average": 0.2
                    },
                    {
                      "value": "arn:aws:sts::012345678901:assumed-role/CodeDeployRole3",
                      "average": 0.2
                    }
                  ],
                  "baseline": [
                    {
                      "value": "arn:aws:sts::012345678901:assumed-role/CodeDeployRole1",
                      "average": 0.0000882145
                    }
                  ]
                },
                {
                  "attribute": "userAgent",
                  "insight": [
                    {
                      "value": "codedeploy.amazonaws.com",
                      "average": 0.6
                    }
                  ],
                  "baseline": [
                    {
                      "value": "codedeploy.amazonaws.com",
                      "average": 0.0000882145
                    }
                  ]
                },
                {
                  "attribute": "errorCode",
                  "insight": [
                    {
                      "value": "null",
                      "average": 0.6
                    }
                  ],
                  "baseline": [
                    {
                      "value": "null",
                      "average": 0.0000882145
                    }
                  ]
                }
              ]
            }
          }

Javascript 在您的浏览器中被禁用或不可用。

要使用 Amazon Web Services 文档，必须启用 Javascript。请参阅浏览器的帮助页面以了解相关说明。

文档惯例

CloudTrail 用户身份元素

捕获的非 API 事件 CloudTrail

CloudTrail 见解insightDetails元素

示例 insightDetails 数据块

CloudTrail 见解`insightDetails`元素

示例 `insightDetails` 数据块