使用主控台建立組織追蹤 - AWS CloudTrail
後續步驟

本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

使用主控台建立組織追蹤

若要從 CloudTrail 主控台建立組織追蹤，您必須以具有足夠權限之管理或委派管理員帳戶中的使用者或角色身分登入主控台。如果您未使用管理或委派的系統管理員帳戶登入，當您從 CloudTrail主控台建立或編輯追蹤時，將不會看到將追蹤套用至組織的選項。

若要建立組織軌跡 AWS Management Console

  1. 登入 AWS Management Console 並開啟 CloudTrail 主控台，位於https://console.aws.amazon.com/cloudtrail/。

    您必須使用具有足夠權限的管理員帳戶或委派管理員帳戶中的IAM身分識別登入，才能建立組織追蹤。

  2. 選擇 Trails (追蹤)，然後選擇 Create trail (建立追蹤)。

  3. 在 Create Trail (建立追蹤) 頁面的 Trail name (追蹤名稱) 中，輸入追蹤的名稱。如需詳細資訊，請參閱 CloudTrail 資源、S3 儲存貯體和KMS金鑰的命名需求。

  4. 選擇針對組織中的所有帳戶啟用。如果您使用管理或委派的管理員帳戶中的使用者或角色登入到主控台，這時您將只能看到這個選項。若要成功建立組織追蹤，請確保該使用者或角色具備足夠許可。

  5. 針對 Storage location (儲存位置)，選擇 Create a new S3 bucket (建立新 S3 儲存貯體)，以建立儲存貯體。建立值區時， CloudTrail 會建立並套用所需的值區政策。

    注意

    如果您選擇使用現有的 S3 儲存貯體，請在追蹤記錄儲存貯體名稱中指定一個儲存貯體，或選擇 Browse (瀏覽) 以選擇儲存貯體。您可以選擇屬於任何帳戶的值區，但值區政策必須授予寫入 CloudTrail權限。如需手動編輯儲存貯體政策的資訊，請參閱「Amazon S3 存儲桶政策 CloudTrail」。

    為了更輕鬆地找到您的日誌，請在現有存儲桶中創建一個新文件夾（也稱為前綴）以存儲 CloudTrail 日誌。在字首中輸入字首。

  6. 對於 [記錄檔 SSE-KMS 加密]，如果您想要使用 SSE-加密而非 SSE-S3 加密來KMS加密記錄檔，請選擇 [啟用]。預設為啟用。如果您未啟用 SSE-KMS 加密，您的日誌會使用 SSE-S3 加密進行加密。如需有關 SSE-KMS 加密的詳細資訊，請參閱搭配 AWS Key Management Service (SSE-KMS) 使用伺服器端加密。如需有關 SSE-S3 加密的詳細資訊，請參閱使用伺服器端加密搭配 Amazon S3 受管加密金鑰 (SSE-S3)。

    如果您啟用 SSE-KMS 加密，請選擇 [新增] 或 [現有] AWS KMS key。在AWS KMS 別名中，以格式指定別名 alias/MyAliasName如需詳細資訊，請參閱 更新資源以搭配主控台使用您的KMS金鑰。

    注意

    您也可以從其他帳戶輸入金鑰。ARN如需詳細資訊，請參閱 更新資源以搭配主控台使用您的KMS金鑰。金鑰原則必須允許 CloudTrail 使用金鑰來加密記錄檔，並允許您指定的使用者以未加密的形式讀取記錄檔。如需手動編輯金鑰政策的資訊，請參閱「設定 AWS KMS 金鑰原則 CloudTrail」。

  7. 在其他設定下，設定下列項目。

    1. 針對 Log file validation (日誌檔案驗證)，選擇 Enabled (啟用) 將日誌摘要交付到您的 S3 儲存貯體。您可以使用摘要檔來驗證記錄檔在 CloudTrail 傳送記錄檔之後是否未變更。如需詳細資訊，請參閱 驗證 CloudTrail 記錄檔完整性。

    2. 對於SNS通知傳遞，請選擇 [啟用]，以便在每次將記錄傳送至您的值區時收到通知。 CloudTrail 將多個事件儲存在記錄檔中。SNS系統會針對每個記錄檔傳送通知，而不是每個事件傳送通知。如需詳細資訊，請參閱 設定 Amazon SNS 通知 CloudTrail。

      如果您啟用SNS通知，請在 [建立新SNS主題] 中選擇 [新增] 建立主題，或選擇 [現有] 以使用現有主題。如果您要建立套用至所有區域的追蹤，則會將來自所有區域的記錄檔傳送SNS通知傳送至您建立的單一SNS主題。

      如果您選擇「新增」，請為您 CloudTrail 指定新主題的名稱，或者您也可以輸入名稱。如果您選擇「現有」，請從下拉式清單中選擇SNS主題。您也可以從其他區域或具有適當權限的帳戶輸入主題。ARN如需詳細資訊，請參閱 Amazon SNS 主題政策 CloudTrail。

      如果您建立主題，則必須訂閱該主題，以便在日誌檔案交付時收到通知。您可以從 Amazon SNS 控制台訂閱。由於通知頻率不高，我們建議您將訂閱設定為使用 Amazon SQS 佇列以程式設計方式處理通知。如需詳細資訊，請參閱 Amazon 簡單通知服務開發人員指南SNS中的 Amazon 入門。

  8. 選擇性地選擇「記錄檔中已啟用」，設定 CloudTrail 將 CloudWatch 記錄檔傳送至CloudWatch 記錄檔。如需詳細資訊，請參閱 將事件傳送至 CloudWatch 記錄檔。

    注意

    只有管理帳戶可以使用主控台為組織追蹤設定 CloudWatch 記錄檔群組。委派的系統管理員可以使用 AWS CLI CloudTrail CreateTrail或UpdateTrailAPI作業來設定 CloudWatch 記錄檔記錄群組。

    1. 如果您啟用與 CloudWatch 記錄整合，請選擇 [新增] 以建立新的記錄群組，或選擇 [現有] 使用現有的記錄群組。如果選擇 [新增]，請為您 CloudTrail 指定新記錄群組的名稱，或者輸入名稱。

    2. 如果選擇 Existing (現有)，請從下拉式清單中選擇日誌群組。

    3. 選擇 [新增] 以建立新IAM角色，將記錄檔傳送至 CloudWatch 記錄檔的權限。選擇「現有」，從下拉式清單中選擇現有IAM角色。新角色或現有角色的政策陳述式會在您展開政策文件時顯示。如需有關此角色的詳細資訊，請參閱 使用 CloudWatch 記錄進行監視 CloudTrail 的角色原則文件。

      注意

      設定追蹤時，您可以選擇屬於另一個帳戶的 S3 儲存貯體和 Amazon SNS 主題。不過，如果您想 CloudTrail 要將事件傳遞至 CloudWatch 記錄檔記錄群組，則必須選擇目前帳戶中存在的記錄群組。

  9. 對於「標籤」，您最多可以新增 50 個標籤金鑰配對，以協助您識別、排序和控制追蹤的存取。標籤可協助您識別 CloudTrail 追蹤和包含 CloudTrail 日誌檔的 Amazon S3 儲存貯體。然後，您可以將資源群組用於資 CloudTrail 源。如需詳細資訊，請參閱 AWS Resource Groups及 標籤。

  10. 在選擇日誌事件頁面上，選擇您要記錄的事件類型。對於 Management events (管理事件)，請執行下列動作。

    1. 對於API活動，請選擇是否要記錄「讀取」事件、「寫入事件」或「兩者」。如需詳細資訊，請參閱 管理事件。

    2. 選擇「排除 AWS KMS 事件」，將 AWS Key Management Service (AWS KMS) 事件從追蹤中篩選出來。預設設定是包含所有 AWS KMS 事件。

      只有在追蹤記錄中記錄管理 AWS KMS 事件時，才能使用記錄或排除事件的選項。如果您選擇不記錄管理事件，則不會記錄 AWS KMS 事件，而且您無法變更 AWS KMS 事件記錄設定。

      AWS KMS 動作，例如EncryptDecrypt、，GenerateDataKey通常會產生大量 (超過 99%) 的事件。這些動作現在會記錄為 Read (讀取) 事件。低容量的相關 AWS KMS 動作，例如DisableDelete、和 ScheduleKey (通常佔 AWS KMS 事件磁碟區的 0.5% 以下) 會記錄為「寫入」事件。

      若要排除大量事件，例如 Encrypt、Decrypt 和 GenerateDataKey，但仍記錄相關事件，例如 Disable、Delete 和 ScheduleKey，選擇記錄 Write (寫入) 管理事件，然後清除 Exclude AWS KMS 事件的核取方塊。

    3. 選擇排除 Amazon RDS 資料API事件，將 Amazon Relational Database Service 資料API事件從追蹤中篩選出來。預設設定是包含所有 Amazon RDS 資料API事件。如需有關 Amazon 資RDS料API事件的詳細資訊，請參閱 Amazon Aurora RDS 使用者指南 AWS CloudTrail中的使用記錄資料API呼叫。

  11. 若要記錄資料事件，請選擇資料事件。記錄資料事件需支付額外的費用。如需詳細資訊，請參閱 AWS CloudTrail 定價。

  12. 重要

    依預設，透過使用進階事件選取器執行步驟 12-16，可設定資料事件。進階事件選取器可讓您設定更多資料事件類型，並對追蹤擷取的資料事件提供精細控制。如果您選擇使用基本事件選取器，請完成 使用基本事件選取器執行資料事件設定 中的步驟，然後返回至此程序的步驟 17。

    針對資料事件類型，選擇您想要記錄資料事件的資源類型。如需有關可用資料事件類型的詳細資訊，請參閱 資料事件。

    注意

    若要為 Lake Formation 成建立的 AWS Glue 表格記錄資料事件，請選擇 Lake Formation。

  13. 選擇記錄選取器範本。 CloudTrail 包括記錄資源類型的所有資料事件的預先定義範本。若要建立自訂記錄選取器範本，請選擇 Custom (自訂)。

    注意

    為 S3 儲存貯體選擇預先定義的範本，可為 AWS 帳戶中目前的所有儲存貯體以及您在完成追蹤建立後建立的任何儲存貯體啟用資料事件記錄。它也可以記錄您 AWS 帳戶中任何IAM身分所執行的資料事件活動，即使該活動是在屬於另一個 AWS 帳戶的值區上執行。

    如果追蹤僅套用至一個區域，選取預先定義的記錄所有 S3 儲存貯體的範本可針對下列儲存貯體啟用記錄資料事件：與您追蹤相同之區域中的所有儲存貯體，以及您稍後在該區域中建立的任何儲存貯體。並不會記錄 AWS 帳戶中其他區域內 Amazon S3 儲存貯體的資料事件。

    如果您要為所有區域建立追蹤，請為 Lambda 函數選擇預先定義的範本，為 AWS 帳戶中目前的所有函數啟用資料事件記錄，以及在完成追蹤建立後可能在任何區域建立的任何 Lambda 函數。如果您要為單一區域建立追蹤 (透過使用完成 AWS CLI)，此選項會啟用 AWS 帳戶中目前該區域中所有函數的資料事件記錄，以及在您完成建立追蹤後可能在該區域中建立的任何 Lambda 函數。並不會為其他區域中所建立之 Lambda 函數啟用記錄資料事件。

    記錄所有函數的資料事件也可讓您記錄 AWS 帳戶中任何IAM身分所執行的資料事件活動，即使該活動是在屬於另一個 AWS 帳戶的函數上執行。

  14. (選用) 在選取器名稱中，輸入用於識別選取器的名稱。選取器名稱是進階事件選擇器的描述性名稱，例如「僅為兩個 S3 儲存貯體記錄資料事件」。選取器名稱會列在進階事件選取器Name中，如果您展開檢視，則可檢JSON視此選取器名稱。

  15. 在進階事件選取器，請為您想要記錄資料事件的特定資源建立表達式。如果您使用預先定義的日誌範本，則可略過此步驟。

    1. 從下列欄位選取。

      • readOnly-readOnly 可以設定為等於true或的值false。唯讀資料事件是不會變更資源狀態的事件，例如 Get* 或 Describe* 事件. 寫入事件新增、變更或刪除資源、屬性或成品，例如 Put*、Delete* 或 Write* 事件。若要同時記錄 read 和 write 事件，請勿新增 readOnly 選擇器。

      • eventName-eventName可以使用任何運算子。您可以使用它來包含或排除記錄到的任何資料事件 CloudTrailPutBucket，例如PutItem、或GetSnapshotBlock。

      • resources.ARN-您可以將任何運算子搭配使用resources.ARN，但如果您使用 equals 或不等於，則值必須完全符合您在範本中指定為值之類型的有效資源resources.type。ARN

        下表顯示每種格式的有效ARN格式resources.type。

        注意

        您無法使用resources.ARN欄位來篩選沒有的資源類型ARNs。

        resources.type 資源。 ARN
        AWS::DynamoDB::Table1 
        arn:partition:dynamodb:region:account_ID:table/table_name
        AWS::Lambda::Function 
        arn:partition:lambda:region:account_ID:function:function_name

        AWS::S3::Object2

        		 
        arn:partition:s3:::DOC-EXAMPLE-BUCKET/
arn:partition:s3:::DOC-EXAMPLE-BUCKET/object_or_file_name/
        AWS::AppConfig::Configuration 
        arn:partition:appconfig:region:account_ID:application/application_ID/environment/environment_ID/configuration/configuration_profile_ID
        AWS::B2BI::Transformer 
        arn:partition:b2bi:region:account_ID:transformer/transformer_ID
        AWS::Bedrock::AgentAlias 
        arn:partition:bedrock:region:account_ID:agent-alias/agent_ID/alias_ID
        AWS::Bedrock::FlowAlias 
        arn:partition:bedrock:region:account_ID:flow/flow_ID/alias/alias_ID
        AWS::Bedrock::Guardrail 
        arn:partition:bedrock:region:account_ID:guardrail/guardrail_ID
        AWS::Bedrock::KnowledgeBase 
        arn:partition:bedrock:region:account_ID:knowledge-base/knowledge_base_ID
        AWS::Cassandra::Table 
        arn:partition:cassandra:region:account_ID:keyspace/keyspace_name/table/table_name
        AWS::CloudFront::KeyValueStore 
        arn:partition:cloudfront:region:account_ID:key-value-store/KVS_name
        AWS::CloudTrail::Channel 
        arn:partition:cloudtrail:region:account_ID:channel/channel_UUID
        AWS::CodeWhisperer::Customization 
        arn:partition:codewhisperer:region:account_ID:customization/customization_ID
        AWS::CodeWhisperer::Profile 
        arn:partition:codewhisperer:region:account_ID:profile/profile_ID
        AWS::Cognito::IdentityPool 
        arn:partition:cognito-identity:region:account_ID:identitypool/identity_pool_ID
        AWS::DynamoDB::Stream 
        arn:partition:dynamodb:region:account_ID:table/table_name/stream/date_time
        AWS::EC2::Snapshot 
        arn:partition:ec2:region::snapshot/snapshot_ID
        AWS::EMRWAL::Workspace 
        arn:partition:emrwal:region:account_ID:workspace/workspace_name
        AWS::FinSpace::Environment 
        arn:partition:finspace:region:account_ID:environment/environment_ID
        AWS::Glue::Table 
        arn:partition:glue:region:account_ID:table/database_name/table_name
        AWS::GreengrassV2::ComponentVersion 
        arn:partition:greengrass:region:account_ID:components/component_name
        AWS::GreengrassV2::Deployment 
        arn:partition:greengrass:region:account_ID:deployments/deployment_ID
        AWS::GuardDuty::Detector 
        arn:partition:guardduty:region:account_ID:detector/detector_ID
        AWS::IoT::Certificate 
        arn:partition:iot:region:account_ID:cert/certificate_ID
        AWS::IoT::Thing 
        arn:partition:iot:region:account_ID:thing/thing_ID
        AWS::IoTSiteWise::Asset 
        arn:partition:iotsitewise:region:account_ID:asset/asset_ID
        AWS::IoTSiteWise::TimeSeries 
        arn:partition:iotsitewise:region:account_ID:timeseries/timeseries_ID
        AWS::IoTTwinMaker::Entity 
        arn:partition:iottwinmaker:region:account_ID:workspace/workspace_ID/entity/entity_ID
        AWS::IoTTwinMaker::Workspace 
        arn:partition:iottwinmaker:region:account_ID:workspace/workspace_ID
        AWS::KendraRanking::ExecutionPlan 
        arn:partition:kendra-ranking:region:account_ID:rescore-execution-plan/rescore_execution_plan_ID
        AWS::Kinesis::Stream 
        arn:partition:kinesis:region:account_ID:stream/stream_name
        AWS::Kinesis::StreamConsumer 
        arn:partition:kinesis:region:account_ID:stream_type/stream_name/consumer/consumer_name:consumer_creation_timestamp
        AWS::KinesisVideo::Stream 
        arn:partition:kinesisvideo:region:account_ID:stream/stream_name/creation_time
        AWS::MachineLearning::MlModel 
        arn:partition:machinelearning:region:account_ID:mlmodel/model_ID
        AWS::ManagedBlockchain::Network 
        arn:partition:managedblockchain:::networks/network_name
        AWS::ManagedBlockchain::Node 
        arn:partition:managedblockchain:region:account_ID:nodes/node_ID
        AWS::MedicalImaging::Datastore 
        arn:partition:medical-imaging:region:account_ID:datastore/data_store_ID
        AWS::NeptuneGraph::Graph 
        arn:partition:neptune-graph:region:account_ID:graph/graph_ID
        AWS::One::UKey 
        arn:partition:one:region:account_ID:user/user_ID/u-key/u-key_ID
        AWS::One::User 
        arn:partition:one:region:account_ID:user/user_ID
        AWS::PaymentCryptography::Alias 
        arn:partition:payment-cryptography:region:account_ID:alias/alias
        AWS::PaymentCryptography::Key 
        arn:partition:payment-cryptography:region:account_ID:key/key_ID
        AWS::PCAConnectorAD::Connector 
        arn:partition:pca-connector-ad:region:account_ID:connector/connector_ID
        AWS::PCAConnectorSCEP::Connector 
        arn:partition:pca-connector-scep:region:account_ID:connector/connector_ID
        AWS::QApps:QApp 
        arn:partition:qapps:region:account_ID:application/application_UUID/qapp/qapp_UUID
        AWS::QBusiness::Application 
        arn:partition:qbusiness:region:account_ID:application/application_ID
        AWS::QBusiness::DataSource 
        arn:partition:qbusiness:region:account_ID:application/application_ID/index/index_ID/data-source/datasource_ID
        AWS::QBusiness::Index 
        arn:partition:qbusiness:region:account_ID:application/application_ID/index/index_ID
        AWS::QBusiness::WebExperience 
        arn:partition:qbusiness:region:account_ID:application/application_ID/web-experience/web_experienc_ID
        AWS::RDS::DBCluster 
        arn:partition:rds:region:account_ID:cluster/cluster_name
        AWS::RUM::AppMonitor 
        arn:partition:rum:region:account_ID:appmonitor/app_monitor_name

        AWS::S3::AccessPoint3

        		 
        arn:partition:s3:region:account_ID:accesspoint/access_point_name

        AWS::S3Express::Object

        		 
        arn:partition:s3express:region:account_ID:bucket/bucket_name
        AWS::S3ObjectLambda::AccessPoint 
        arn:partition:s3-object-lambda:region:account_ID:accesspoint/access_point_name
        AWS::S3Outposts::Object 
        arn:partition:s3-outposts:region:account_ID:object_path
        AWS::SageMaker::Endpoint 
        arn:partition:sagemaker:region:account_ID:endpoint/endpoint_name
        AWS::SageMaker::ExperimentTrialComponent 
        arn:partition:sagemaker:region:account_ID:experiment-trial-component/experiment_trial_component_name
        AWS::SageMaker::FeatureGroup 
        arn:partition:sagemaker:region:account_ID:feature-group/feature_group_name
        AWS::SCN::Instance 
        arn:partition:scn:region:account_ID:instance/instance_ID
        AWS::ServiceDiscovery::Namespace 
        arn:partition:servicediscovery:region:account_ID:namespace/namespace_ID
        AWS::ServiceDiscovery::Service 
        arn:partition:servicediscovery:region:account_ID:service/service_ID
        AWS::SNS::PlatformEndpoint 
        arn:partition:sns:region:account_ID:endpoint/endpoint_type/endpoint_name/endpoint_ID
        AWS::SNS::Topic 
        arn:partition:sns:region:account_ID:topic_name
        AWS::SQS::Queue 
        arn:partition:sqs:region:account_ID:queue_name
        AWS::SSM::ManagedNode

        ARN必須採用下列其中一種格式：

        • arn:partition:ssm:region:account_ID:managed-instance/instance_ID

        • arn:partition:ec2:region:account_ID:instance/instance_ID
        AWS::SSMMessages::ControlChannel 
        arn:partition:ssmmessages:region:account_ID:control-channel/control_channel_ID
        AWS::StepFunctions::StateMachine

        ARN必須採用下列其中一種格式：

        • arn:partition:states:region:account_ID:stateMachine:stateMachine_name

        • arn:partition:states:region:account_ID:stateMachine:stateMachine_name/label_name
        AWS::SWF::Domain 
        arn:partition:swf:region:account_ID:/domain/domain_name
        AWS::ThinClient::Device 
        arn:partition:thinclient:region:account_ID:device/device_ID
        AWS::ThinClient::Environment 
        arn:partition:thinclient:region:account_ID:environment/environment_ID
        AWS::Timestream::Database 
        arn:partition:timestream:region:account_ID:database/database_name
        AWS::Timestream::Table 
        arn:partition:timestream:region:account_ID:database/database_name/table/table_name
        AWS::VerifiedPermissions::PolicyStore 
        arn:partition:verifiedpermissions:region:account_ID:policy-store/policy_store_ID

        1 對於已啟用串流的資料表，資料事件中的 resources 欄位會同時包含 AWS::DynamoDB::Stream 和 AWS::DynamoDB::Table。如果您指定 AWS::DynamoDB::Table 作為 resources.type，則會根據預設同時記錄 DynamoDB 資料表和 DynamoDB 串流事件。若要排除串流事件，請在eventName欄位上新增篩選器。

        2 若要記錄特定 S3 儲存貯體中所有物件的所有資料事件，請使用StartsWith運算子，並僅包含儲存貯體ARN作為相符值。末尾斜線是有意保留，請勿排除。

        3 若要記錄 S3 存取點中所有物件的事件，建議您僅使用存取點ARN，不要包含物件路徑，並使用StartsWith或NotStartsWith運算子。

      如需有關資料事件資源ARN格式的詳細資訊，請參閱《使用指南》中的動作、資源和條AWS Identity and Access Management 件索引鍵。

    2. 針對每個欄位，選擇 + 條件，視需要新增任意數目的條件，所有條件最多可指定 500 個值。例如，若要從追蹤記錄的資料事件中排除兩個 S3 儲存貯體的資料事件，您可以將欄位設定為資源。 ARN，將運算子設定為不開頭為，然後貼上 S3 儲存貯體ARN，或瀏覽您不想記錄事件的 S3 儲存貯體。

      若要新增第二個 S3 儲存貯體，請選擇 [+ 條件]，然後重複上述指示，貼上來ARN進行或瀏覽不同的儲存貯體。

      注意

      追蹤上的所有選取器，您最多可以有 500 個值。這包括一個選擇器的多個值的陣列，如 eventName。如果所有選擇器都有單個值，則最多可以有 500 個條件新增至選擇器。

      如果您的帳戶中有超過 15,000 個 Lambda 函數，則無法在建立追蹤時在 CloudTrail 主控台中檢視或選取所有函數。您仍然可以使用預先定義的選取器範本記錄所有函數，即使其未全部顯示。如果你想記錄特定功能的數據事件，你可以手動添加一個函數，如果你知道它ARN。您也可以在主控台中完成追蹤的建立，然後使用 AWS CLI 和put-event-selectors命令為特定 Lambda 函數設定資料事件記錄。如需詳細資訊，請參閱 管理軌跡 AWS CLI。

    3. 選擇 + 欄位以根據需要新增其他欄位。為避免發生錯誤，請勿為欄位設定衝突或重複的值。例如，請勿將 ARN in one 選擇器指定為等於某個值，然後在另一個選擇器中指定ARN不等於相同的值。

  16. 若要新增其他要記錄資料事件的資料類型，請選擇 Add data event type (新增資料事件類型)。重複步驟 12 到此步驟，以設定資料事件類型的進階事件選取器。

  17. 如果您希望追蹤記錄見解事件，請選擇「 CloudTrail深入解析」事件。

    在 Event type (事件類型) 中，選取 Insights 事件。在「見解」事件中，選擇API通話率、API錯誤率或兩者。您必須記錄寫入管理事件，以記錄API通話速率的見解事件。您必須記錄讀取或寫入管理事件，才能記錄 Insights 事件的API錯誤率。

    CloudTrail Insights 會分析異常活動的管理事件，並在偵測到異常時記錄事件。依預設，追蹤不會記錄 Insights 事件。如需 Insights 事件的詳細資訊，請參閱記錄 Insights 事件。記錄 Insights 事件需支付額外費用。如需 CloudTrail 定價，請參閱AWS CloudTrail 定價。

    見解事件會傳遞到名為相同 S3 儲存貯體/CloudTrail-Insight的不同資料夾，該資料夾名稱為在追蹤詳細資料頁面的儲存位置區域中指定。 CloudTrail會為您建立新字首。例如，如果您目前的目的地 S3 儲存貯體名為 DOC-EXAMPLE-DESTINATION-BUCKET/AWSLogs/CloudTrail/，則具有新前綴的 S3 儲存貯體名稱會被命名為 DOC-EXAMPLE-DESTINATION-BUCKET/AWSLogs/CloudTrail-Insight/。

  18. 當您完成選擇要記錄的事件類型時，請選擇 Next (下一頁)。

  19. 在 Review and create (檢閱和建立) 頁面上，檢閱您的選擇。選擇區段中的 Edit (編輯)，以變更該區段中顯示的追蹤設定。當您準備好建立追蹤時，請選擇 Create trail (建立追蹤)。

  20. 新的追蹤會出現在 Trails (追蹤) 頁面上。組織追蹤可能需要多達 24 小時的時間，才能完成在所有成員帳戶中於所有區域中的建立作業。Trails (追蹤) 頁面會顯示您帳戶中所有區域內的追蹤。大約 5 分鐘後， CloudTrail 會發佈記錄檔，其中顯示組織中 AWS API撥打的呼叫。您可以在所指定之 Amazon S3 儲存貯體中看到日誌檔案。

注意

您無法重新命名已建立的追蹤。但是您可以改為刪除之，並建立新的追蹤。

後續步驟

在您建立追蹤之後，即可返回追蹤以進行變更：

注意

設定追蹤時，您可以選擇屬於另一個帳戶的 Amazon S3 儲存貯體和SNS主題。不過，如果您想 CloudTrail 要將事件傳遞至 CloudWatch 記錄檔記錄群組，則必須選擇目前帳戶中存在的記錄群組。