建立追蹤 - AWS CloudTrail
在主控台中建立追蹤後續步驟

本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

建立追蹤

最佳實務是建立套用至所有 AWS 區域的追蹤。這是您在 CloudTrail主控台中建立追蹤時的預設設定。當追蹤套用至所有區域時，會將您正在使用之AWS 分割區中所有區域的日誌檔 CloudTrail 傳遞至您指定的 S3 儲存貯體。建立追蹤之後， AWS CloudTrail 會自動開始記錄您指定的事件。

注意

建立追蹤之後，您可以設定其他，以 AWS 服務 進一步分析 CloudTrail 記錄檔中收集的事件資料並採取行動。如需詳細資訊，請參閱 AWS 與 CloudTrail 日誌的服務整合。

在主控台中建立追蹤

使用下列程序建立追蹤，以記錄您正在使用的 AWS 磁碟分割中的所有 AWS 區域 事件。這是建議的最佳實務。若要記錄單一區域內的事件 (不建議)，請使用 AWS CLI。

使用建立 CloudTrail 系統線 AWS Management Console

  1. 請登入 AWS Management Console 並開啟 CloudTrail 主控台，網址為 https://console.aws.amazon.com/cloudtrail/。

  2. 在 CloudTrail 服務首頁、「追蹤」頁面或「儀表板」頁面的「追蹤」區段中，選擇「建立軌跡」。

  3. 在 Create Trail (建立追蹤) 頁面的 Trail name (追蹤名稱) 中，輸入追蹤的名稱。如需詳細資訊，請參閱 命名要求。

  4. 如果這是組 AWS Organizations 織追蹤，您可以為組織中的所有帳戶啟用追蹤。若要查看此選項，您必須使用管理或委派的管理員帳戶中的使用者或角色登入到主控台。若要成功建立組織追蹤，請確保該使用者或角色具備足夠許可。如需詳細資訊，請參閱 建立組織追蹤。

  5. 針對 Storage location (儲存位置)，選擇 Create a new S3 bucket (建立新 S3 儲存貯體)，以建立儲存貯體。建立值區時， CloudTrail會建立並套用所需的值區政策。

    注意

    如果您選擇使用現有的 S3 儲存貯體，請在追蹤日誌儲存貯體名稱中指定一個儲存貯體，或選擇瀏覽以便在您自己的帳戶中選擇一個儲存貯體。如果想要在其他帳戶中使用儲存貯體，您需要指定儲存貯體名稱。值區政策必須授 CloudTrail 予寫入權限。如需手動編輯儲存貯體政策的資訊，請參閱「Amazon S3 存儲桶政策 CloudTrail」。

    為了更輕鬆地找到您的日誌，請在現有存儲桶中創建一個新文件夾（也稱為前綴）以存儲 CloudTrail 日誌。在字首中輸入字首。

  6. 針對 Log file SSE-KMS encryption (日誌檔案 SSE-KMS 加密)，如果您想要使用 SSE-KMS 而非 SSE-S3 來加密日誌檔案，請選擇 Enabled (啟用)。預設為啟用。如果您未啟用 SSE-KMS 加密，則會使用 SSE-S3 加密來加密您的日誌。如需 SSE-KMS 加密的詳細資訊，請參閱使用伺服器端加密搭配 AWS Key Management Service (SS E-KMS)。如需 SSE-S3 加密的詳細資訊，請參閱搭配使用伺服器端加密與 Amazon S3 受管加密金鑰 (SSE-S3)。

    如果您啟用 SSE-KMS 加密，請選擇 [新增] 或 [現有]。 AWS KMS key在AWS KMS 別名中，以格式指定別名alias/MyAliasName。如需詳細資訊，請參閱 更新資源以使用您的 KMS 金鑰。 CloudTrail 還支持 AWS KMS 多區域鍵。如需多區域金鑰的詳細資訊，請參閱《AWS Key Management Service 開發人員指南》中的使用多區域金鑰。

    注意

    您也可以從另一個帳戶輸入金鑰的 ARN。如需詳細資訊，請參閱 更新資源以使用您的 KMS 金鑰。金鑰原則必須允許 CloudTrail 使用金鑰來加密記錄檔，並允許您指定的使用者以未加密的形式讀取記錄檔。如需手動編輯金鑰政策的資訊，請參閱「設定 CloudTrail 的 AWS KMS 金鑰政策」。

  7. 在其他設定下，設定下列項目。

    1. 針對 Log file validation (日誌檔案驗證)，選擇 Enabled (啟用) 將日誌摘要交付到您的 S3 儲存貯體。您可以使用摘要檔來驗證記錄檔在 CloudTrail 傳送記錄檔之後是否未變更。如需詳細資訊，請參閱 驗證 CloudTrail 日誌檔案完整性。

    2. 對於 SNS 通知傳遞，請選擇 [啟用]，以便在每次將記錄傳送至儲存貯體時收到通知。 CloudTrail 將多個事件儲存在記錄檔中。SNS 通知是針對每個日誌檔案所傳送，而不是每個事件。如需詳細資訊，請參閱 設定 CloudTrail 的 Amazon SNS 通知。

      如果您啟用 SNS 通知，針對建立新 SNS 主題，選擇 New (新的) 以建立主題，或選擇 Existing (現有) 以使用現有的主題。如果您要建立套用至所有區域的追蹤，則會將所有區域中日誌檔案傳遞的 SNS 通知都交付至您建立的單一 SNS 主題。

      如果您選擇「新增」，請為您 CloudTrail 指定新主題的名稱，或者您也可以輸入名稱。如果選擇 Existing (現有),請從下拉式清單中選擇 SNS 主題。您也可以輸入來自另一個區域，或具有適當許可之帳戶的主題 ARN。如需詳細資訊，請參閱 Amazon SNS 主題政策 CloudTrail。

      如果您建立主題，則必須訂閱該主題，以便在日誌檔案交付時收到通知。您可以從 Amazon SNS 主控台進行訂閱。基於通知頻率，建議您設定訂閱以利用 Amazon SQS 佇列，透過編寫程式的方式處理通知。如需詳細資訊，請參閱《Amazon Simple Notification Service 入門指南》。

  8. 選擇性地選擇「記錄檔中已啟用」，設定 CloudTrail 將 CloudWatch 記錄檔傳送至CloudWatch 記錄檔。如需詳細資訊，請參閱 傳送事件到 CloudWatch Logs。

    1. 如果您啟用與 CloudWatch 記錄整合，請選擇 [新增] 以建立新的記錄群組，或選擇 [現有] 使用現有的記錄群組。如果選擇 [新增]，請為您 CloudTrail 指定新記錄群組的名稱，或者輸入名稱。

    2. 如果選擇 Existing (現有)，請從下拉式清單中選擇日誌群組。

    3. 選擇 [新增]，為許可建立新的 IAM 角色，以便將記錄傳送至 CloudWatch 記錄。選擇 Existing (現有) 從下拉式功能表中選擇現有的 IAM 角色。新角色或現有角色的政策陳述式會在您展開政策文件時顯示。如需有關此角色的詳細資訊，請參閱 使用 CloudWatch 記錄進行監視 CloudTrail 的角色原則文件。

      注意

      • 設定追蹤時，您可以選擇由其他帳戶所屬的 S3 儲存貯體和 SNS 主題。不過，如果您想 CloudTrail 要將事件傳遞至 CloudWatch 記錄檔記錄群組，則必須選擇目前帳戶中存在的記錄群組。

      • 只有管理帳戶可以使用主控台為組織追蹤設定 CloudWatch 記錄檔群組。委派的系統管理員可以使用 AWS CLI 或 CloudTrail CreateTrail或 UpdateTrail API 作業來設定 CloudWatch 記錄檔記錄群組。

  9. 對於 標籤 (Tags)，請將一個或多個自訂標籤 (鍵/值對) 新增至追蹤。標籤可協助您識別 CloudTrail 追蹤和包含 CloudTrail 日誌檔的 Amazon S3 儲存貯體。然後，您可以將資源群組用於資 CloudTrail 源。如需詳細資訊，請參閱 AWS Resource Groups及 為什麼要使用標籤作為 CloudTrail 資源？。

  10. 在選擇日誌事件頁面上，選擇您要記錄的事件類型。對於 Management events (管理事件)，請執行下列動作。

    1. 針對 API 活動，選擇您是否希望追蹤記錄讀取事件、寫入事件，或兩者。如需詳細資訊，請參閱 管理事件。

    2. 選擇「排除 AWS KMS 事件」，將 AWS Key Management Service (AWS KMS) 事件從追蹤中篩選出來。預設設定是包含所有 AWS KMS 事件。

      只有在追蹤記錄中記錄管理 AWS KMS 事件時，才能使用記錄或排除事件的選項。如果您選擇不記錄管理事件，則不會記錄 AWS KMS 事件，而且您無法變更 AWS KMS 事件記錄設定。

      AWS KMS 動作，例如EncryptDecrypt、，GenerateDataKey通常會產生大量 (超過 99%) 的事件。這些動作現在會記錄為 Read (讀取) 事件。低容量的相關 AWS KMS 動作，例如DisableDelete、和 ScheduleKey (通常佔 AWS KMS 事件磁碟區的 0.5% 以下) 會記錄為「寫入」事件。

      若要排除、和等大量事件 Encrypt DecryptGenerateDataKey，但仍記錄相關事件 (例如Disable、Delete和ScheduleKey)，請選擇記錄 Write 管理事件，然後清除 [排除 AWS KMS 事件] 的核取方塊。

    3. 選擇排除 Amazon RDS Data API 事件從追蹤中篩選 Amazon Relational Database Service Data API 事件。預設設定是包含所有 Amazon RDS Data API 事件。如需 Amazon RDS Data API 事件的詳細資訊，請參閱《Amazon RDS 使用者指南 (Aurora)》中的使用 AWS CloudTrail記錄資料 API 呼叫。

  11. 若要記錄資料事件，請選擇資料事件。記錄資料事件需支付額外的費用。如需詳細資訊，請參閱 AWS CloudTrail 定價。

  12. 重要

    依預設，透過使用進階事件選取器執行步驟 12-16，可設定資料事件。進階事件選取器可讓您設定更多資料事件類型，並對追蹤擷取的資料事件提供精細控制。如果您選擇使用基本事件選取器，請完成 使用基本事件選取器執行資料事件設定 中的步驟，然後返回至此程序的步驟 17。

    針對資料事件類型，選擇您想要記錄資料事件的資源類型。如需有關可用資料事件類型的詳細資訊，請參閱 資料事件。

    注意

    若要記錄由 Lake Formation 成所建立之 AWS Glue 表格的資料事件，請選擇 Lake Formation。

  13. 選擇記錄選取器範本。 CloudTrail 包括記錄資源類型的所有資料事件的預先定義範本。若要建立自訂記錄選取器範本，請選擇 Custom (自訂)。

    注意

    為 S3 儲存貯體選擇預先定義的範本，可為 AWS 帳戶中目前的所有儲存貯體以及您在完成追蹤建立後建立的任何儲存貯體啟用資料事件記錄。它還可以記錄您 AWS 帳戶中任何 IAM 身分執行的資料事件活動，即使該活動是在屬於另一個 AWS 帳戶的值區上執行也一樣。

    如果追蹤僅套用至一個區域，選取預先定義的記錄所有 S3 儲存貯體的範本可針對下列儲存貯體啟用記錄資料事件：與您追蹤相同之區域中的所有儲存貯體，以及您稍後在該區域中建立的任何儲存貯體。它不會記錄帳戶中其他區域中 Amazon S3 儲存貯體的 AWS 資料事件。

    如果您要為所有區域建立追蹤，請為 Lambda 函數選擇預先定義的範本，為 AWS 帳戶中目前的所有函數啟用資料事件記錄，以及在完成追蹤建立後可能在任何區域建立的任何 Lambda 函數。如果您要為單一區域建立追蹤 (透過使用完成 AWS CLI)，此選項會啟用 AWS 帳戶中目前該區域中所有函數的資料事件記錄，以及在您完成建立追蹤後可能在該區域中建立的任何 Lambda 函數。並不會為其他區域中所建立之 Lambda 函數啟用記錄資料事件。

    記錄所有功能的資料事件也可讓您記錄 AWS 帳戶中任何 IAM 身分所執行的資料事件活動，即使該活動是在屬於其他 AWS 帳戶的函數上執行也一樣。

  14. (選用) 在選取器名稱中，輸入用於識別選取器的名稱。選取器名稱是進階事件選擇器的描述性名稱，例如「僅為兩個 S3 儲存貯體記錄資料事件」。選取器名稱會被作為 Name 列在進階事件選取器中，您在展開 JSON 檢視時可檢視該名稱。

  15. 在進階事件選取器，請為您想要記錄資料事件的特定資源建立表達式。如果您使用預先定義的日誌範本，則可略過此步驟。

    1. 從下列欄位選取。

      • readOnly-readOnly 可以設定為等於true或的值false。唯讀資料事件是不會變更資源狀態的事件，例如 Get* 或 Describe* 事件. 寫入事件新增、變更或刪除資源、屬性或成品，例如 Put*、Delete* 或 Write* 事件。若要同時記錄 read 和 write 事件，請勿新增 readOnly 選擇器。

      • eventName-eventName可以使用任何運算子。您可以使用它來包含或排除記錄到的任何資料事件 CloudTrailPutBucket，例如PutItem、或GetSnapshotBlock。

      • resources.ARN-您可以將任何運算子搭配使用resources.ARN，但是如果您使用 equals 或不等於，則值必須完全符合您在範本中指定為值之類型之有效資源的 ARN。resources.type

        下表顯示每種 resources.type 的有效 ARN 格式。

        注意

        您無法使用resources.ARN欄位來篩選沒有 ARN 的資源類型。

        resources.type resources.ARN
        AWS::DynamoDB::Table1 
        arn:partition:dynamodb:region:account_ID:table/table_name
        AWS::Lambda::Function 
        arn:partition:lambda:region:account_ID:function:function_name

        AWS::S3::Object2

        		 
        arn:partition:s3:::bucket_name/
arn:partition:s3:::bucket_name/object_or_file_name/
        AWS::AppConfig::Configuration 
        arn:partition:appconfig:region:account_ID:application/application_ID/environment/environment_ID/configuration/configuration_profile_ID
        AWS::B2BI::Transformer 
        arn:partition:b2bi:region:account_ID:transformer/transformer_ID
        AWS::Bedrock::AgentAlias 
        arn:partition:bedrock:region:account_ID:agent-alias/agent_ID/alias_ID
        AWS::Bedrock::KnowledgeBase 
        arn:partition:bedrock:region:account_ID:knowledge-base/knowledge_base_ID
        AWS::Cassandra::Table 
        arn:partition:cassandra:region:account_ID:keyspace/keyspace_name/table/table_name
        AWS::CloudFront::KeyValueStore 
        arn:partition:cloudfront:region:account_ID:key-value-store/KVS_name
        AWS::CloudTrail::Channel 
        arn:partition:cloudtrail:region:account_ID:channel/channel_UUID
        AWS::CodeWhisperer::Customization 
        arn:partition:codewhisperer:region:account_ID:customization/customization_ID
        AWS::CodeWhisperer::Profile 
        arn:partition:codewhisperer:region:account_ID:profile/profile_ID
        AWS::Cognito::IdentityPool 
        arn:partition:cognito-identity:region:account_ID:identitypool/identity_pool_ID
        AWS::DynamoDB::Stream 
        arn:partition:dynamodb:region:account_ID:table/table_name/stream/date_time
        AWS::EC2::Snapshot 
        arn:partition:ec2:region::snapshot/snapshot_ID
        AWS::EMRWAL::Workspace 
        arn:partition:emrwal:region:account_ID:workspace/workspace_name
        AWS::FinSpace::Environment 
        arn:partition:finspace:region:account_ID:environment/environment_ID
        AWS::Glue::Table 
        arn:partition:glue:region:account_ID:table/database_name/table_name
        AWS::GreengrassV2::ComponentVersion 
        arn:partition:greengrass:region:account_ID:components/component_name
        AWS::GreengrassV2::Deployment 
        arn:partition:greengrass:region:account_ID:deployments/deployment_ID
        AWS::GuardDuty::Detector 
        arn:partition:guardduty:region:account_ID:detector/detector_ID
        AWS::IoT::Certificate 
        arn:partition:iot:region:account_ID:cert/certificate_ID
        AWS::IoT::Thing 
        arn:partition:iot:region:account_ID:thing/thing_ID
        AWS::IoTSiteWise::Asset 
        arn:partition:iotsitewise:region:account_ID:asset/asset_ID
        AWS::IoTSiteWise::TimeSeries 
        arn:partition:iotsitewise:region:account_ID:timeseries/timeseries_ID
        AWS::IoTTwinMaker::Entity 
        arn:partition:iottwinmaker:region:account_ID:workspace/workspace_ID/entity/entity_ID
        AWS::IoTTwinMaker::Workspace 
        arn:partition:iottwinmaker:region:account_ID:workspace/workspace_ID
        AWS::KendraRanking::ExecutionPlan 
        arn:partition:kendra-ranking:region:account_ID:rescore-execution-plan/rescore_execution_plan_ID
        AWS::KinesisVideo::Stream 
        arn:partition:kinesisvideo:region:account_ID:stream/stream_name/creation_time
        AWS::ManagedBlockchain::Network 
        arn:partition:managedblockchain:::networks/network_name
        AWS::ManagedBlockchain::Node 
        arn:partition:managedblockchain:region:account_ID:nodes/node_ID
        AWS::MedicalImaging::Datastore 
        arn:partition:medical-imaging:region:account_ID:datastore/data_store_ID
        AWS::NeptuneGraph::Graph 
        arn:partition:neptune-graph:region:account_ID:graph/graph_ID
        AWS::PCAConnectorAD::Connector 
        arn:partition:pca-connector-ad:region:account_ID:connector/connector_ID
        AWS::QBusiness::Application 
        arn:partition:qbusiness:region:account_ID:application/application_ID
        AWS::QBusiness::DataSource 
        arn:partition:qbusiness:region:account_ID:application/application_ID/index/index_ID/data-source/datasource_ID
        AWS::QBusiness::Index 
        arn:partition:qbusiness:region:account_ID:application/application_ID/index/index_ID
        AWS::QBusiness::WebExperience 
        arn:partition:qbusiness:region:account_ID:application/application_ID/web-experience/web_experienc_ID
        AWS::RDS::DBCluster 
        arn:partition:rds:region:account_ID:cluster/cluster_name

        AWS::S3::AccessPoint3

        		 
        arn:partition:s3:region:account_ID:accesspoint/access_point_name
        AWS::S3ObjectLambda::AccessPoint 
        arn:partition:s3-object-lambda:region:account_ID:accesspoint/access_point_name
        AWS::S3Outposts::Object 
        arn:partition:s3-outposts:region:account_ID:object_path
        AWS::SageMaker::Endpoint 
        arn:partition:sagemaker:region:account_ID:endpoint/endpoint_name
        AWS::SageMaker::ExperimentTrialComponent 
        arn:partition:sagemaker:region:account_ID:experiment-trial-component/experiment_trial_component_name
        AWS::SageMaker::FeatureGroup 
        arn:partition:sagemaker:region:account_ID:feature-group/feature_group_name
        AWS::SCN::Instance 
        arn:partition:scn:region:account_ID:instance/instance_ID
        AWS::ServiceDiscovery::Namespace 
        arn:partition:servicediscovery:region:account_ID:namespace/namespace_ID
        AWS::ServiceDiscovery::Service 
        arn:partition:servicediscovery:region:account_ID:service/service_ID
        AWS::SNS::PlatformEndpoint 
        arn:partition:sns:region:account_ID:endpoint/endpoint_type/endpoint_name/endpoint_ID
        AWS::SNS::Topic 
        arn:partition:sns:region:account_ID:topic_name
        AWS::SQS::Queue 
        arn:partition:sqs:region:account_ID:queue_name
        AWS::SSM::ManagedNode

        ARN 必須採用下列其中一種格式：

        • arn:partition:ssm:region:account_ID:managed-instance/instance_ID

        • arn:partition:ec2:region:account_ID:instance/instance_ID
        AWS::SSMMessages::ControlChannel 
        arn:partition:ssmmessages:region:account_ID:control-channel/control_channel_ID
        AWS::SWF::Domain 
        arn:partition:swf:region:account_ID:/domain/domain_name
        AWS::ThinClient::Device 
        arn:partition:thinclient:region:account_ID:device/device_ID
        AWS::ThinClient::Environment 
        arn:partition:thinclient:region:account_ID:environment/environment_ID
        AWS::Timestream::Database 
        arn:partition:timestream:region:account_ID:database/database_name
        AWS::Timestream::Table 
        arn:partition:timestream:region:account_ID:database/database_name/table/table_name
        AWS::VerifiedPermissions::PolicyStore 
        arn:partition:verifiedpermissions:region:account_ID:policy-store/policy_store_ID

        1 對於已啟用串流的資料表，資料事件中的 resources 欄位會同時包含 AWS::DynamoDB::Stream 和 AWS::DynamoDB::Table。如果您指定 AWS::DynamoDB::Table 作為 resources.type，則會根據預設同時記錄 DynamoDB 資料表和 DynamoDB 串流事件。若要排除串流事件，請在eventName欄位上新增篩選器。

        2 若要記錄特定 S3 儲存貯體中所有物件的所有資料事件，請使用 StartsWith 運算子，並僅包含儲存貯體 ARN 作為相符值。末尾斜線是有意保留，請勿排除。

        3 若要在 S3 存取點中的所有物件上記錄事件，建議您僅使用存取點 ARN、不要包含物件路徑，並使用 StartsWith 或 NotStartsWith 運算子。

      如需資料事件資源 ARN 格式的詳細資訊，請參閱《AWS Identity and Access Management 使用者指南》中的動作、資源及條件金鑰。

    2. 針對每個欄位，選擇 + 條件，視需要新增任意數目的條件，所有條件最多可指定 500 個值。例如，若要從追蹤記錄的資料事件中排除兩個 S3 儲存貯體的資料事件，您可以將欄位設定為 Resources.arn，將運算子設定為「不開始於」，然後貼上 S3 儲存貯體 ARN，或瀏覽您不想記錄事件的 S3 儲存貯體。

      若要新增第二個 S3 儲存貯體，請選擇 + 條件，然後重複上述指令，在 ARN 中粘貼或瀏覽不同的儲存貯體。

      注意

      追蹤上的所有選取器，您最多可以有 500 個值。這包括一個選擇器的多個值的陣列，如 eventName。如果所有選擇器都有單個值，則最多可以有 500 個條件新增至選擇器。

      如果您的帳戶中有超過 15,000 個 Lambda 函數，則無法在建立追蹤時在 CloudTrail 主控台中檢視或選取所有函數。您仍然可以使用預先定義的選取器範本記錄所有函數，即使其未全部顯示。如果您要記錄特定函數之資料事件，則可以在得知該函數的 ARN 後手動加以新增。您也可以在主控台中完成追蹤的建立，然後使用 AWS CLI 和put-event-selectors命令為特定 Lambda 函數設定資料事件記錄。如需詳細資訊，請參閱 管理軌跡 AWS CLI。

    3. 選擇 + 欄位以根據需要新增其他欄位。為避免發生錯誤，請勿為欄位設定衝突或重複的值。例如，不要在一個選擇器中指定 ARN 等於一個值，然後指定 ARN 不等於另一個選取器中的相同值。

  16. 若要新增其他要記錄資料事件的資料類型，請選擇 Add data event type (新增資料事件類型)。重複步驟 12 到此步驟，以設定資料事件類型的進階事件選取器。

  17. 如果您希望追蹤記錄見解事件，請選擇「 CloudTrail深入解析」事件。

    在 Event type (事件類型) 中，選取 Insights 事件。您必須記錄寫入管理事件，以便記錄 API 呼叫率的 Insights 事件。您必須記錄讀取或寫入管理事件，以便記錄 API 錯誤率的 Insights 事件。

    CloudTrail Insights 會分析異常活動的管理事件，並在偵測到異常時記錄事件。依預設，追蹤不會記錄 Insights 事件。如需 Insights 事件的詳細資訊，請參閱記錄 Insights 事件。記錄 Insights 事件需支付額外費用。如需 CloudTrail 定價，請參閱AWS CloudTrail 定價。

    見解事件會傳遞到名為相同 S3 儲存貯體/CloudTrail-Insight的不同資料夾，該資料夾名稱為在追蹤詳細資料頁面的儲存位置區域中指定。 CloudTrail會為您建立新字首。例如，如果您目前的目的地 S3 儲存貯體名為 S3bucketName/AWSLogs/CloudTrail/，則具有新前綴的 S3 儲存貯體名稱會被命名為 S3bucketName/AWSLogs/CloudTrail-Insight/。

  18. 當您完成選擇要記錄的事件類型時，請選擇 Next (下一頁)。

  19. 在 Review and create (檢閱和建立) 頁面上，檢閱您的選擇。選擇區段中的 Edit (編輯)，以變更該區段中顯示的追蹤設定。當您準備好建立追蹤時，請選擇 Create trail (建立追蹤)。

  20. 新的追蹤會出現在 Trails (追蹤) 頁面上。大約 5 分鐘後，會 CloudTrail 發佈記錄檔，其中顯示您帳戶中發出的 AWS API 呼叫。您可以在所指定之 S3 儲存貯體中看到日誌檔案。如果您已啟用 Insights 事件記錄，且偵測到異常活動，則傳遞第一個 Insights 事件最多可能需 CloudTrail 要 36 小時的時間。

    注意

    CloudTrail 通常會在 API 呼叫後平均約 5 分鐘內提供記錄檔。此時間無法保證。如需詳細資訊，請參閱 AWS CloudTrail 服務水準協議。

    如果您錯誤設定追蹤 (例如，無法連線 S3 儲存貯體)， CloudTrail 將嘗試將日誌檔重新傳送到 S3 儲存貯體 30 天，而且這些 attempted-to-deliver 事件將收取標準費用。 CloudTrail 若要避免支付追蹤設定錯誤費用，您需要刪除追蹤。

使用基本事件選取器執行資料事件設定

您可以使用進階事件選取器來設定所有資料事件類型。進階事件選取器可讓您建立精細的選取器，以僅記錄感興趣的事件。

如果您使用基本事件選取器來記錄資料事件，則只能記錄 Amazon S3 儲存貯體、 AWS Lambda 函數和 Amazon DynamoDB 表的資料事件。您無法使用基本事件選取器篩選eventName欄位。

追蹤上資料事件的基本事件選取器

使用以下程序，透過基本事件選取器執行資料事件設定。

若要使用基本事件選取器執行資料事件設定

  1. 在事件中，選擇資料事件以記錄資料事件。記錄資料事件需支付額外的費用。如需詳細資訊，請參閱 AWS CloudTrail 定價。

  2. 對於 Amazon S3 儲存貯體：

    1. 對於 Data source (資料來源)，請選擇 S3。

    2. 您可以選取記錄所有目前和未來的 S3 儲存貯體，也可以指定個別儲存貯體或函數。依預設，會記錄所有目前和未來 S3 儲存貯體的資料事件。

      注意

      保留預設的 [所有目前和 future 的 S3 儲存貯體] 選項，可為 AWS 帳戶中目前的所有儲存貯體以及您在完成追蹤建立後建立的任何儲存貯體啟用資料事件記錄。它還可以記錄您 AWS 帳戶中任何 IAM 身分執行的資料事件活動，即使該活動是在屬於另一個 AWS 帳戶的值區上執行也一樣。

      如果您要為單一區域建立追蹤 (透過使用完成 AWS CLI)，選擇 [所有目前和 future 的 S3 儲存貯體] 會啟用與追蹤相同區域中的所有儲存貯體的資料事件記錄，以及稍後在該區域中建立的任何儲存貯體的資料事件記錄。它不會記錄帳戶中其他區域中 Amazon S3 儲存貯體的 AWS 資料事件。

    3. 如果您保留預設值，所有目前和未來的 S3 儲存貯體，選擇記錄讀事件、寫事件，或兩者。

    4. 若要選擇個別儲存貯體，請清空所有目前和未來的 S3 儲存貯體的讀和寫核取方塊。在個別儲存貯體選擇中，瀏覽要記錄資料事件的儲存貯體。透過輸入您想要的儲存貯體前綴來查找特定的儲存貯體。您可以在此視窗中選取多個儲存貯體。選擇新增儲存貯體以記錄更多儲存貯體的資料事件。選擇記錄 Read (讀取) 事件 (例如 GetObject)、Write (寫) 事件 (例如 PutObject) 還是兩者。

      此設定的優先順序高於您針對個別儲存貯體所設定的個別設定。例如，如果您指定記錄所有 S3 儲存貯體之 Read (讀取) 事件，然後選擇新增要記錄資料事件的特定儲存貯體，則您新增的儲存貯體會直接選取 Read (讀取)。您無法清除選取項目。您只能設定 Write (寫入) 的選項。

      若要從記錄中移除儲存貯體，請選擇 X。

  3. 若要新增其他要記錄資料事件的資料類型，請選擇 Add data event type (新增資料事件類型)。

  4. 針對 Lambda 函數：

    1. 針對資料事件來源中，選擇 Lambda。

    2. 在 Lambda 函數中，選擇所有區域來記錄所有的 Lambda 函數，或者輸入函數作為 ARN以記錄特定函數的資料事件。

      若要記錄 AWS 帳戶中所有 Lambda 函數的資料事件，請選取記錄所有目前和 future 的函數。此設定的優先順序高於您針對個別函數所設定的個別設定。皆會記錄所有函數，縱使未顯示全部的函數。

      注意

      如果您要建立所有區域的追蹤，則此選取項目可針對下列函數啟用記錄資料事件：目前在您 AWS 帳戶中的所有函數，以及在您完成建立追蹤之後可能在任何區域中建立的任何 Lambda 函數。如果您要為單一區域建立追蹤 (透過使用完成 AWS CLI)，此選項會啟用 AWS 帳戶中目前該區域中所有函數的資料事件記錄，以及在您完成建立追蹤後可能在該區域中建立的任何 Lambda 函數。並不會為其他區域中所建立之 Lambda 函數啟用記錄資料事件。

      記錄所有功能的資料事件也可讓您記錄 AWS 帳戶中任何 IAM 身分所執行的資料事件活動，即使該活動是在屬於其他 AWS 帳戶的函數上執行也一樣。

    3. 如果您選擇輸入函數作為 ARN，請輸入 Lambda 函數的 ARN。

      注意

      如果您的帳戶中有超過 15,000 個 Lambda 函數，則無法在建立追蹤時在 CloudTrail 主控台中檢視或選取所有函數。您仍然可以選取記錄所有函數的選項，縱使其未全部顯示。如果您要記錄特定函數之資料事件，則可以在得知該函數的 ARN 後手動加以新增。您也可以在主控台中完成追蹤的建立，然後使用 AWS CLI 和put-event-selectors命令為特定 Lambda 函數設定資料事件記錄。如需詳細資訊，請參閱 管理軌跡 AWS CLI。

  5. 針對 DynamoDB 資料表：

    1. 針對資料事件來源中，選擇 DynamoDB。

    2. 在 DynamoDB 資料表選取中，選擇 Browse (瀏覽) 以選取表格，或貼到您有權存取的 DynamoDB 資料表的 ARN 中。DynamoDB 資料表 ARN 採用以下格式：

      arn:partition:dynamodb:region:account_ID:table/table_name

      若要新增其他資料表，請選擇 Add row (新增資料列)，然後瀏覽資料表或貼上您可以存取之資料表的 ARN。

  6. 若要為您的追蹤設定 Insights 事件和其他設定，請返回本主題中的上述程序 在主控台中建立追蹤。

後續步驟

在您建立追蹤之後，即可返回追蹤以進行變更：

  • 如果您還沒有，您可以設定 CloudTrail 將記錄檔傳送至 CloudWatch 記錄檔。如需詳細資訊，請參閱 傳送事件到 CloudWatch Logs。

  • 在 Amazon Athena 中建立資料表並用以執行查詢，以分析 AWS 服務活動。如需詳細資訊，請參閱 Amazon Athena 使用者指南中的 CloudTrail 主控台中的為 CloudTrail 日誌建立表格。

  • 將自訂標籤 (鍵/值對) 新增至追蹤。

  • 若要建立另一個追蹤，請打開追蹤頁面，然後選擇建立追蹤。