使用 管理事件資料存放區 AWS CLI

本節說明您可以執行的數個其他命令，以取得事件資料存放區的相關資訊、開始和停止在事件資料存放區上擷取，以及啟用和停用事件資料存放區上的聯合。

使用 取得事件資料存放區 AWS CLI

下列範例 AWS CLI get-event-data-store命令會傳回所需--event-data-store參數所指定之事件資料存放區的相關資訊，該參數接受 ARN或 的 ID 尾碼ARN。

aws cloudtrail get-event-data-store \
--event-data-store arn:aws:cloudtrail:us-east-1:123456789012:eventdatastore/EXAMPLE-f852-4e8f-8bd1-bcf6cEXAMPLE

以下是回應範例。建立時間和上次更新時間的格式為 timestamp。

{
    "EventDataStoreARN": "arn:aws:cloudtrail:us-east-1:123456789012:eventdatastore/EXAMPLE-f852-4e8f-8bd1-bcf6cEXAMPLE",
    "Name": "s3-data-events-eds",
    "Status": "ENABLED",
    "AdvancedEventSelectors": [
        {
            "Name": "Log DeleteObject API calls for a specific S3 bucket",
            "FieldSelectors": [
                {
                    "Field": "eventCategory",
                    "Equals": [
                        "Data"
                    ]
                },
                {
                    "Field": "eventName",
                    "Equals": [
                        "DeleteObject"
                    ]
                },
                {
                    "Field": "resources.ARN",
                    "StartsWith": [
                        "arn:aws:s3:::amzn-s3-demo-bucket"
                    ]
                },
                {
                    "Field": "readOnly",
                    "Equals": [
                        "false"
                    ]
                },
                {
                    "Field": "resources.type",
                    "Equals": [
                        "AWS::S3::Object"
                    ]
                }
            ]
        }
    ],
    "MultiRegionEnabled": true,
    "OrganizationEnabled": false,
    "BillingMode": "FIXED_RETENTION_PRICING",
    "RetentionPeriod": 2557,
    "TerminationProtectionEnabled": true,
    "CreatedTimestamp": "2023-11-09T22:20:36.344000+00:00",
    "UpdatedTimestamp": "2023-11-09T22:20:36.476000+00:00"
}

使用 列出帳戶中的所有事件資料存放區 AWS CLI

下列範例 AWS CLI list-event-data-stores命令會傳回目前區域中帳戶中所有事件資料存放區的相關資訊。選用參數包括--max-results，藉以指定想要命令在單一頁面上傳回的最大結果數。如果結果多於您指定的 --max-results 值，請再次執行命令，新增傳回的 NextToken 值以取得下一頁的結果。

aws cloudtrail list-event-data-stores

以下是回應範例。

{
    "EventDataStores": [
        {
            "EventDataStoreArn": "arn:aws:cloudtrail:us-east-1:123456789012:eventdatastore/EXAMPLE7-cad6-4357-a84b-318f9868e969",
            "Name": "management-events-eds"
        },
        {
            "EventDataStoreArn": "arn:aws:cloudtrail:us-east-1:123456789012:eventdatastore/EXAMPLE6-88e1-43b7-b066-9c046b4fd47a",
            "Name": "config-items-eds"
        },
        {
            "EventDataStoreArn": "arn:aws:cloudtrail:us-east-1:123456789012:eventdatastore/EXAMPLEf-b314-4c85-964e-3e43b1e8c3b4",
            "Name": "s3-data-events"
        }
    ]
}

使用 停止擷取事件資料存放區 AWS CLI

下列範例 AWS CLI stop-event-data-store-ingestion命令會停止事件資料存放區擷取事件。若要停止擷取，事件資料存放區 Status 必須為 ENABLED，且 eventCategory 必須是 Management、Data 或 ConfigurationItem。事件資料存放區是由 指定--event-data-store，其接受事件資料存放區 ARN或 的 ID 尾碼ARN。執行 stop-event-data-store-ingestion 後，事件資料存放區的狀態變更為 STOPPED_INGESTION。

事件資料存放區處於 STOPPED_INGESTION 狀態時，最多十個事件資料存放區會計入您的帳戶。

aws cloudtrail stop-event-data-store-ingestion \
--event-data-store arn:aws:cloudtrail:us-east-1:123456789012:eventdatastore/EXAMPLE-f852-4e8f-8bd1-bcf6cEXAMPLE

如果操作成功，則不會有回應。

使用 開始擷取事件資料存放區 AWS CLI

下列範例 AWS CLI start-event-data-store-ingestion命令會在事件資料存放區上開始事件擷取。若要開始擷取，事件資料存放區 Status 必須為 STOPPED_INGESTION，且 eventCategory 必須是 Management、Data 或 ConfigurationItem。事件資料存放區是由 指定--event-data-store，其接受事件資料存放區 ARN或 的 ID 尾碼ARN。執行 start-event-data-store-ingestion 後，事件資料存放區的狀態變更為 ENABLED。

aws cloudtrail start-event-data-store-ingestion --event-data-store arn:aws:cloudtrail:us-east-1:123456789012:eventdatastore/EXAMPLE-f852-4e8f-8bd1-bcf6cEXAMPLE

如果操作成功，則不會有回應。

在事件資料存放區上啟用聯合

若要啟用聯合，請執行 aws cloudtrail enable-federation 命令，並提供必要的 --event-data-store 和 --role 參數。對於 --event-data-store，請提供事件資料存放區 ARN（或 的 ID 尾碼ARN）。對於 --role，請ARN為您的聯合角色提供 。該角色必須存在於您的帳戶中，並提供所需的最低許可。

aws cloudtrail enable-federation \
--event-data-store arn:aws:cloudtrail:region:account-id:eventdatastore/eds-id
--role arn:aws:iam::account-id:role/federation-role-name

此範例顯示委派管理員如何透過在管理帳戶中指定事件資料存放ARN區的 ，以及在委派管理員帳戶中指定聯合角色ARN的 來啟用組織事件資料存放區的聯合。

aws cloudtrail enable-federation \
--event-data-store arn:aws:cloudtrail:region:management-account-id:eventdatastore/eds-id
--role arn:aws:iam::delegated-administrator-account-id:role/federation-role-name

在事件資料存放區上停用聯合

若要在事件資料存放區上停用聯合，請執行 aws cloudtrail disable-federation 命令。事件資料存放區由 指定--event-data-store，其接受事件資料存放區ARN或 的 ID 尾碼ARN。

aws cloudtrail disable-federation \
--event-data-store arn:aws:cloudtrail:region:account-id:eventdatastore/eds-id

注意

如果這是組織事件資料存放區，請使用管理帳戶的帳戶 ID。

使用 還原事件資料存放區 AWS CLI

下列範例 AWS CLI restore-event-data-store 命令會還原待刪除的事件資料存放區。事件資料存放區由 指定--event-data-store，其接受事件資料存放區ARN或 的 ID 尾碼ARN。您只能在刪除後的七天等待期間內還原已刪除的事件資料存放區。

aws cloudtrail restore-event-data-store \
--event-data-store EXAMPLE-f852-4e8f-8bd1-bcf6cEXAMPLE

回應包含事件資料存放區的相關資訊，包括其 ARN、進階事件選取器和還原狀態。