使用 CloudTrail 主控台更新追蹤

本節將描述如何變更追蹤設定。

若要更新單一區域追蹤以記錄您正在運作之AWS 分割區 AWS 區域 中的所有事件，或更新多區域追蹤以僅記錄單一區域中的事件，您必須使用 AWS CLI。如需有關如何更新單一區域追蹤以記錄所有區域中事件的詳細資訊，請參閱 將套用至一個區域的追蹤轉換成套用至所有區域。如需有關如何更新多區域追蹤以記錄單一區域中事件的詳細資訊，請參閱 將多區域追蹤轉換成單一區域追蹤。

如果您已在 Amazon Security Lake 中啟用 CloudTrail 管理事件，則需要至少維護一個多區域組織追蹤，並同時記錄 read write和管理事件。您不能以不符合 Security Lake 要求的方式更新合格的追蹤。例如，透過將追蹤變更為單一區域，或關閉記錄 read 或 write 管理事件。

注意

CloudTrail 即使資源驗證失敗， 也會更新成員帳戶中的組織追蹤。驗證失敗的範例包括：

• 不正確的 Amazon S3 儲存貯體政策

• 不正確的 Amazon SNS主題政策

• 無法交付至 CloudWatch Logs 日誌群組

• 使用KMS金鑰加密的許可不足

具有 CloudTrail 許可的成員帳戶可以透過在 CloudTrail 主控台上檢視追蹤的詳細資訊頁面，或執行 來查看組織追蹤的任何驗證失敗 AWS CLI get-trail-status 命令。

使用 更新追蹤 AWS Management Console

1. 登入 AWS Management Console 並在 開啟 CloudTrail 主控台https://console.aws.amazon.com/cloudtrail/。

2. 在導覽窗格中，選擇追蹤，然後選擇追蹤名稱。

3. 在 General details (一般詳細資訊) 中，選擇 Edit (編輯) 變更下列設定。您無法變更追蹤的名稱。

   • 將線索套用至我的組織 - 變更此線索是否為 AWS Organizations 組織線索。

     注意

     只有組織的管理帳戶可以將組織追蹤轉換為非組織追蹤，或將非組織追蹤轉換為組織追蹤。

   • 追蹤日誌位置 - 變更您要存放此追蹤的日誌之 S3 儲存貯體名稱或前綴。

   • 日誌檔案 SSE-KMS 加密 - 選擇啟用或停用使用 SSE-KMS 而非 SSE-S3 加密日誌檔案。

   • 日誌檔案驗證 - 選擇啟用或停用日誌檔案完整性的驗證。

   • SNS 通知交付 - 選擇啟用或停用 Amazon Simple Notification Service (Amazon SNS) 通知，說明日誌檔案已交付至為追蹤指定的儲存貯體。

   1. 若要將線索變更為 AWS Organizations 組織線索，您可以選擇為組織中的所有帳戶啟用線索。如需詳細資訊，請參閱建立組織追蹤。

   2. 若要變更儲存位置中指定的儲存貯體，請選擇建立新 S3 儲存貯體來建立儲存貯體。當您建立儲存貯體時， 會 CloudTrail 建立並套用所需的儲存貯體政策。如果您選擇建立新的 S3 儲存貯體，您的IAM政策需要包含s3:PutEncryptionConfiguration動作的許可，因為預設會為儲存貯體啟用伺服器端加密。

      注意

      如果您選擇使用現有的 S3 儲存貯體，請在追蹤記錄儲存貯體名稱中指定一個儲存貯體，或選擇 Browse (瀏覽) 以選擇儲存貯體。儲存貯體政策必須授予寫入它的 CloudTrail 許可。如需手動編輯儲存貯體政策的資訊，請參閱「Amazon S3 存儲桶政策 CloudTrail」。

      若要更輕鬆地尋找日誌，請在現有的儲存貯體中建立新的資料夾 （也稱為字首)，以存放您的 CloudTrail 日誌。在字首中輸入字首。

   3. 對於日誌檔案 SSE-KMS 加密，如果您想要使用 SSE加密KMS而非 SSE-S3 加密來加密日誌檔案，請選擇已啟用。預設為啟用。如果您未啟用 SSE- KMS加密，您的日誌會使用 SSE-S3 加密進行加密。如需 SSE-KMS 加密的詳細資訊，請參閱搭配 AWS Key Management Service (SSE-KMS) 使用伺服器端加密。如需 SSE-S3 加密的詳細資訊，請參閱搭配使用伺服器端加密與 Amazon S3-Managed加密金鑰 (SSE-S3)。

      如果您啟用 SSE- KMS加密，請選擇新增或現有 AWS KMS key。在AWS KMS 別名中，以 格式指定別名alias/MyAliasName。如需詳細資訊，請參閱 更新資源以搭配 主控台使用您的KMS金鑰。 CloudTrail 也支援 AWS KMS 多區域金鑰。如需多區域金鑰的詳細資訊，請參閱《AWS Key Management Service 開發人員指南》中的使用多區域金鑰。

      注意

      您也可以輸入來自另一個帳戶的金鑰ARN的 。如需詳細資訊，請參閱更新資源以搭配 主控台使用您的KMS金鑰。金鑰政策必須允許 CloudTrail 使用金鑰來加密您的日誌檔案，並允許您指定的使用者以未加密的形式讀取日誌檔案。如需手動編輯金鑰政策的資訊，請參閱「設定 CloudTrail 的 AWS KMS 金鑰政策」。

   4. 針對 Log file validation (日誌檔案驗證)，選擇 Enabled (啟用) 將日誌摘要交付到您的 S3 儲存貯體。您可以使用摘要檔案來驗證您的日誌檔案在 CloudTrail 交付後並未變更。如需詳細資訊，請參閱驗證 CloudTrail 記錄檔完整性。

   5. 對於SNS通知交付，請選擇啟用，以在每次日誌交付到儲存貯體時收到通知。 會將多個事件 CloudTrail 儲存在日誌檔案中。 會為每個日誌檔案傳送SNS通知，而不是每個事件。如需詳細資訊，請參閱設定 的 Amazon SNS通知 CloudTrail。

      如果您啟用SNS通知，請針對建立新SNS主題，選擇新增以建立主題，或選擇現有以使用現有主題。如果您要建立適用於所有區域的追蹤，所有區域的日誌檔案交付SNS通知會傳送至您建立的單一SNS主題。

      如果您選擇新增，請為您 CloudTrail 指定新主題的名稱，也可以輸入名稱。如果您選擇現有，請從下拉式清單中選擇SNS主題。您也可以從其他區域或具有適當許可的帳戶輸入主題ARN的 。如需詳細資訊，請參閱Amazon SNS 主題政策 CloudTrail。

      如果您建立主題，則必須訂閱該主題，以便在日誌檔案交付時收到通知。您可以從 Amazon SNS主控台訂閱。由於通知的頻率，我們建議您設定訂閱使用 Amazon SQS佇列以程式設計方式處理通知。如需詳細資訊，請參閱《Amazon Simple Notification Service 開發人員指南SNS》中的 Amazon 入門。

4. 在CloudWatch 日誌中，選擇編輯以變更將 CloudTrail 日誌檔案傳送到 CloudWatch 日誌的設定。選擇在CloudWatch 日誌中啟用，以啟用傳送日誌檔案。如需詳細資訊，請參閱將事件傳送至 CloudWatch 記錄檔。

   1. 如果您啟用與 CloudWatch 日誌的整合，請選擇新增以建立新的日誌群組，或選擇現有以使用現有的日誌群組。如果您選擇新增， 會為您 CloudTrail 指定新日誌群組的名稱，或者您可以輸入名稱。

   2. 如果選擇 Existing (現有)，請從下拉式清單中選擇日誌群組。

   3. 選擇新增以建立新的IAM角色，讓 許可將日誌傳送至 CloudWatch 日誌。選擇現有，從下拉式清單中選擇現有IAM角色。新角色或現有角色的政策陳述式會在您展開政策文件時顯示。如需有關此角色的詳細資訊，請參閱 讓 CloudTrail 能使用 CloudWatch Logs 進行監控的角色政策文件。

      注意

      • 當您設定線索時，您可以選擇屬於另一個帳戶的 S3 儲存貯體和SNS主題。不過，如果您 CloudTrail 想要將事件交付至 CloudWatch Logs 日誌群組，您必須選擇目前帳戶中存在的日誌群組。

      • 只有 管理帳戶可以使用 主控台為組織追蹤設定 CloudWatch Logs 日誌群組。委派管理員可以使用 AWS CLI 或 CloudTrail CreateTrail 或 UpdateTrailAPI操作來設定 CloudWatch Logs 日誌群組。

5. 在 Tags (標籤)中，選擇 Edit (編輯)，以變更、新增或刪除追蹤上的標籤。您最多可以新增 50 個標籤金鑰對，以協助您識別、排序和控制對追蹤的存取。標籤可協助您識別 CloudTrail 追蹤和包含 CloudTrail 日誌檔案的 Amazon S3 儲存貯體。然後，您可以使用資源群組來管理 CloudTrail 資源。如需詳細資訊，請參閱 AWS Resource Groups 和 標籤。

6. 在 Management events (管理事件) 中，選擇 Edit (編輯) 可變更管理事件記錄設定。

   1. 對於API活動，選擇您希望追蹤記錄讀取事件、寫入事件或兩者。如需詳細資訊，請參閱管理事件。

   2. 選擇排除 AWS KMS 事件以篩選 AWS Key Management Service (AWS KMS) 追蹤中的事件。預設設定是包含所有 AWS KMS 事件。

      只有在追蹤中記錄管理 AWS KMS 事件時，才提供記錄或排除事件的選項。如果您選擇不記錄管理事件，則不會記錄 AWS KMS 事件，而且您無法變更 AWS KMS 事件記錄設定。

      AWS KMS Encrypt、 Decrypt和 等動作GenerateDataKey通常會產生大量 （超過 99%) 的事件。這些動作現在會記錄為 Read (讀取) 事件。少量的相關 AWS KMS 動作，例如 Disable、 Delete和 ScheduleKey（通常佔 AWS KMS 事件磁碟區 0.5% 以下） 會記錄為寫入事件。

      若要排除大量事件，例如 Encrypt、Decrypt 和 GenerateDataKey，但仍記錄相關事件，例如 Disable、Delete 和 ScheduleKey，選擇記錄 Write (寫入) 管理事件，然後清除 Exclude AWS KMS 事件的核取方塊。

   3. 選擇排除 Amazon RDS Data API事件，將 Amazon Relational Database Service Data API事件篩選出您的追蹤。預設設定為包含所有 Amazon RDS Data API事件。如需 Amazon RDS Data API事件的詳細資訊，請參閱《Amazon Aurora RDS使用者指南》中的使用 記錄資料API呼叫 AWS CloudTrail。

7. 重要

   步驟 7-11 是使用進階事件選取器來設定資料事件，這是預設值。進階事件選取器可讓您設定更多資料事件資源類型，並對追蹤擷取的資料事件提供精細的控制。如果您計劃記錄網路活動事件 （預覽），則必須使用進階事件選取器。如果您使用的是基本事件選取器，請參閱 使用基本事件選取器更新資料事件設定，然後返回至此程序的步驟 12。

   在 Data events (資料事件) 中，選擇 Edit (編輯) 可變更資料事件記錄設定。根據預設，追蹤不會記錄資料事件。記錄資料事件需支付額外的費用。如需 CloudTrail 定價，請參閱 AWS CloudTrail 定價。

   針對資源類型，選擇您要記錄資料事件的資源類型。如需可用資源類型的詳細資訊，請參閱資料事件。

8. 選擇日誌選取器範本。 CloudTrail 包含預先定義的範本，可記錄資源類型的所有資料事件。若要建立自訂記錄選取器範本，請選擇 Custom (自訂)。

   注意

   選擇 S3 儲存貯體的預先定義範本，可讓您 AWS 帳戶中目前所有儲存貯體的資料事件記錄，以及您在完成建立追蹤後建立的任何儲存貯體。它還允許記錄您 AWS 帳戶中任何使用者或角色執行的資料事件活動，即使該活動是在屬於另一個 AWS 帳戶的儲存貯體上執行。

   如果追蹤僅套用至一個區域，選取預先定義的記錄所有 S3 儲存貯體的範本可針對下列儲存貯體啟用記錄資料事件：與您追蹤相同之區域中的所有儲存貯體，以及您稍後在該區域中建立的任何儲存貯體。並不會記錄 AWS 帳戶中其他區域內 Amazon S3 儲存貯體的資料事件。

   如果您要為所有區域建立線索，請選擇 Lambda 函數的預先定義範本，以啟用您 AWS 帳戶中目前所有函數的資料事件記錄，以及您在建立線索後，可能在任何區域中建立的任何 Lambda 函數。如果您要為單一區域建立線索 （使用 完成 AWS CLI)，此選擇會啟用帳戶中 AWS 目前該區域的所有函數的資料事件記錄，以及您在建立線索後，可能在該區域中建立的任何 Lambda 函數。並不會為其他區域中所建立之 Lambda 函數啟用記錄資料事件。

   記錄所有 函數的資料事件也可讓您記錄 AWS 帳戶中任何使用者或角色執行的資料事件活動，即使該活動是在屬於另一個 AWS 帳戶的 函數上執行。

9. (選用) 在選取器名稱中，輸入用於識別選取器的名稱。選取器名稱是進階事件選擇器的描述性名稱，例如「僅為兩個 S3 儲存貯體記錄資料事件」。選擇器名稱在進階事件選擇器Name中列為 ，如果您展開JSON檢視，則可檢視。

10. 如果您選取自訂，在進階事件選取器中會根據進階事件選取器欄位的值來建置表達式。

    注意

    選取器不支援使用萬用字元，例如 * 。若要將多個值與單一條件相符，您可以使用 StartsWith、NotStartsWith、 EndsWith或 來NotEndsWith明確比對事件欄位的開頭或結尾。

    1. 從下列欄位選取。

       • readOnly - readOnly可以設定為等於 true或 的值false。唯讀資料事件是不會變更資源狀態的事件，例如 Get* 或 Describe* 事件. 寫入事件新增、變更或刪除資源、屬性或成品，例如 Put*、Delete* 或 Write* 事件。若要同時記錄 read 和 write 事件，請勿新增 readOnly 選擇器。

       • eventName-eventName可以使用任何運算子。您可以使用它來包含或排除記錄到 的任何資料事件 CloudTrail，例如 PutBucket、 GetItem或 GetSnapshotBlock。

       • resources.ARN - 您可以搭配 使用任何運算子resources.ARN，但如果您使用等於或不等於，則值必須完全符合範本中指定之類型ARN的有效資源的 ，做為 的值resources.type。如需詳細資訊，請參閱依 篩選資料事件 resources.ARN。

         注意

         您無法使用 resources.ARN 欄位來篩選沒有 的資源類型ARNs。

       如需資料事件資源ARN格式的詳細資訊，請參閱AWS Identity and Access Management 《 使用者指南》中的動作、資源和條件索引鍵。

    2. 針對每個欄位，選擇 + 條件，視需要新增任意數目的條件，所有條件最多可指定 500 個值。例如，若要將兩個 S3 儲存貯體的資料事件從記錄於事件資料存放區的資料事件中排除，您可以將 欄位設定為 資源。ARN，將 的運算子設定為 ，不以 開頭，然後貼到您不想記錄事件ARN的 S3 儲存貯體中。

       若要新增第二個 S3 儲存貯體，請選擇 + 條件，然後重複上述指示，在 中貼上ARN，或瀏覽不同的儲存貯體。

       如需如何 CloudTrail 評估多個條件的資訊，請參閱CloudTrail 如何評估欄位的多個條件。

       注意

       對於事件資料存放區上的所有選取器，您最多可以有 500 個值。這包括一個選擇器的多個值的陣列，如 eventName。如果所有選擇器都有單個值，則最多可以有 500 個條件新增至選擇器。

    3. 選擇 + 欄位以根據需要新增其他欄位。為避免發生錯誤，請勿為欄位設定衝突或重複的值。例如，不要將一個選擇器ARN中的 指定為等於一個值，然後指定 ARN不等於另一個選擇器中的相同值。

11. 若要新增要記錄資料事件的其他資源類型，請選擇新增資料事件類型。重複步驟 3 到此步驟來設定資源類型的進階事件選取器。

12. 在網路活動事件中，選擇編輯以變更網路活動事件記錄設定。根據預設，線索不會記錄網路活動事件。記錄網路活動事件需支付額外費用。如需詳細資訊，請參閱 AWS CloudTrail 定價。

    注意

    網路活動事件為 的預覽版本， CloudTrail 可能會有所變更。

    若要記錄網路活動事件，請執行下列動作：

    1. 從網路活動事件來源中，選擇網路活動事件的來源。

    2. 在日誌選取器範本中，選擇範本。您可以選擇記錄所有網路活動事件、記錄所有網路活動存取遭拒的事件，或選擇自訂來建置自訂日誌選擇器，以篩選多個欄位，例如 eventName和 vpcEndpointId。

    3. （選用） 輸入名稱以識別選擇器。在進階事件選取器中，選取器名稱會列為名稱，如果您展開JSON檢視，則可檢視。

    4. 在進階事件選擇器中，選擇欄位、運算子和值的值來建置表達式。如果您使用預先定義的日誌範本，則可略過此步驟。

       1. 若要排除或包含網路活動事件，您可以在 主控台中選擇下列欄位。

          • eventName – 您可以將任何運算子與 搭配使用eventName。您可以使用它來包含或排除任何事件，例如 CreateKey。

          • errorCode – 您可以使用它來篩選錯誤碼。目前，唯一支援的errorCode是 VpceAccessDenied。

          • vpcEndpointId – 識別操作通過的VPC端點。您可以搭配 使用任何運算子vpcEndpointId。

       2. 針對每個欄位，選擇 + 條件，視需要新增任意數目的條件，所有條件最多可指定 500 個值。

       3. 選擇 + 欄位以根據需要新增其他欄位。為避免發生錯誤，請勿為欄位設定衝突或重複的值。

    5. 若要新增要記錄網路活動事件的其他事件來源，請選擇新增網路活動事件選擇器。

    6. 或者，展開JSON檢視，將進階事件選擇器視為JSON區塊。

13. 在 Insights 事件中，如果您希望追蹤記錄 CloudTrail Insights 事件，請選擇編輯。

    在 Event type (事件類型) 中，選取 Insights 事件。

    在 Insights 事件中，選擇API呼叫率、API錯誤率或兩者。您必須記錄寫入管理事件，以記錄API呼叫率的 Insights 事件。您必須記錄讀取或寫入管理事件，以記錄 Insights 事件的API錯誤率。

    CloudTrail Insights 會分析異常活動的管理事件，並在偵測到異常時記錄事件。依預設，追蹤不會記錄 Insights 事件。如需 Insights 事件的詳細資訊，請參閱使用 CloudTrail Insights。記錄 Insights 事件需支付額外費用。如需 CloudTrail 定價，請參閱AWS CloudTrail 定價。

    Insights 事件會交付到名為/CloudTrail-Insight相同 S3 儲存貯體的不同資料夾，該資料夾是在追蹤詳細資訊頁面的儲存位置區域中指定的。 CloudTrail 會為您建立新的字首。例如，如果您目前的目的地 S3 儲存貯體名為 amzn-s3-demo-bucket/AWSLogs/CloudTrail/，則具有新前綴的 S3 儲存貯體名稱會被命名為 amzn-s3-demo-bucket/AWSLogs/CloudTrail-Insight/。

14. 完成變更追蹤的設定時，請選擇 Update trail (更新追蹤)。

使用基本事件選取器更新資料事件設定

您可以使用進階事件選取器來設定所有資料事件資源類型，以及網路活動事件 （預覽）。進階事件選取器可讓您建立精細選取器，以僅記錄感興趣的事件。

如果您使用基本事件選取器來記錄資料事件，則僅限於記錄 Amazon S3 儲存貯體、 AWS Lambda 函數和 Amazon DynamoDB 資料表的資料事件。您無法使用基本事件選取器篩選 eventName 欄位。您也無法記錄網路活動事件。

使用以下程序，透過基本事件選取器執行資料事件設定。

1. 在 Data events (資料事件) 中，選擇 Edit (編輯) 可變更資料事件記錄設定。使用基本事件選取器，您可以指定 Amazon S3 儲存貯體、 AWS Lambda 函數ynamoDBtables、D 或這些資源組合的記錄資料事件。進階事件選取器支援其他資料事件資源類型。根據預設，追蹤不會記錄資料事件。記錄資料事件需支付額外的費用。如需詳細資訊，請參閱資料事件。如需 CloudTrail 定價，請參閱 AWS CloudTrail 定價。

   對於 Amazon S3 儲存貯體：

   1. 對於 Data source (資料來源)，請選擇 S3。

   2. 您可以選取記錄所有目前和未來的 S3 儲存貯體，也可以指定個別儲存貯體或函數。依預設，會記錄所有目前和未來 S3 儲存貯體的資料事件。

      注意

      保留預設 所有目前和未來的 S3 儲存貯體選項，可啟用您 AWS 帳戶中目前所有儲存貯體的資料事件記錄，以及您在完成建立追蹤後建立的任何儲存貯體的資料事件記錄。它也可讓您記錄 AWS 帳戶中任何使用者或角色執行的資料事件活動，即使該活動是在屬於另一個 AWS 帳戶的儲存貯體上執行。

      如果追蹤僅套用至一個區域，則選取 All current and future S3 buckets (所有目前和未來 S3 儲存貯體) 可針對下列儲存貯體啟用記錄資料事件：與您追蹤相同之區域中的所有儲存貯體，以及您稍後在該區域中建立的任何儲存貯體。它不會記錄您 AWS 帳戶中其他區域中 Amazon S3 儲存貯體的資料事件。

   3. 如果您保留預設值，所有目前和未來的 S3 儲存貯體，選擇記錄讀事件、寫事件，或兩者。

   4. 若要選擇個別儲存貯體，請清空所有目前和未來的 S3 儲存貯體的讀和寫核取方塊。在個別儲存貯體選擇中，瀏覽要記錄資料事件的儲存貯體。若要尋找特定儲存貯體，請輸入所需儲存貯體的儲存貯體字首。您可以在此視窗中選取多個儲存貯體。選擇新增儲存貯體以記錄更多儲存貯體的資料事件。選擇記錄 Read (讀取) 事件 (例如 GetObject)、Write (寫) 事件 (例如 PutObject) 還是兩者。

      此設定的優先順序高於您針對個別儲存貯體所設定的個別設定。例如，如果您指定記錄所有 S3 儲存貯體之 Read (讀取) 事件，然後選擇新增要記錄資料事件的特定儲存貯體，則您新增的儲存貯體會直接選取 Read (讀取)。您無法清除選取項目。您只能設定 Write (寫入) 的選項。

      若要從記錄中移除儲存貯體，請選擇 X。

2. 若要新增要記錄資料事件的其他資源類型，請選擇新增資料事件類型。

3. 針對 Lambda 函數：

   1. 針對資料事件來源中，選擇 Lambda。

   2. 在 Lambda 函數中，選擇所有區域以記錄所有 Lambda 函數，或選擇輸入函數以ARN記錄特定函數上的資料事件。

      若要記錄您 AWS 帳戶中所有 Lambda 函數的資料事件，請選取記錄所有目前和未來的函數。此設定的優先順序高於您針對個別函數所設定的個別設定。皆會記錄所有函數，縱使未顯示全部的函數。

      注意

      如果您要為所有區域建立線索，此選擇會啟用您 AWS 帳戶中目前所有函數的資料事件記錄，以及您在建立線索之後，可能在任何區域中建立的任何 Lambda 函數。如果您要為單一區域建立線索 （使用 完成 AWS CLI)，此選擇會啟用 AWS 帳戶中目前該區域的所有函數的資料事件記錄，以及您在建立線索之後，可能在該區域中建立的任何 Lambda 函數。並不會為其他區域中所建立之 Lambda 函數啟用記錄資料事件。

      記錄所有函數的資料事件也可讓您記錄 AWS 帳戶中任何使用者或角色執行的資料事件活動，即使該活動是在屬於另一個 AWS 帳戶的函數上執行。

   3. 如果您選擇輸入函數作為 ARN，請輸入 Lambda 函數ARN的 。

      注意

      如果您的帳戶中有超過 15，000 個 Lambda 函數，則在建立追蹤時，您無法在 CloudTrail 主控台中檢視或選取所有函數。您仍然可以選取記錄所有函數的選項，縱使其未全部顯示。如果您想要記錄特定函數的資料事件，如果您知道函數的 ，則可以手動新增函數ARN。您也可以在主控台中完成建立追蹤，然後使用 AWS CLI 和 put-event-selectors 命令為特定 Lambda 函數設定記錄資料事件。如需詳細資訊，請參閱使用 管理追蹤 AWS CLI。

4. 若要新增要記錄資料事件的其他資源類型，請選擇新增資料事件類型。

5. 針對 DynamoDB 資料表：

   1. 針對資料事件來源中，選擇 DynamoDB。

   2. 在 DynamoDB 資料表選擇中，選擇瀏覽以選取資料表，或貼到您可以存取ARN的 DynamoDB 資料表的 中。DynamoDB 資料表ARN的格式如下：

      arn:partition:dynamodb:region:account_ID:table/table_name

      若要新增另一個資料表，請選擇新增列，然後瀏覽資料表或貼上您有權存取ARN的資料表。

6. 若要為您的追蹤設定 Insights 事件和其他設定，請返回本主題中的上述程序 使用 CloudTrail 主控台更新追蹤。