建立追蹤以記錄管理事件

針對您的第一個線索，建議您建立線索，記錄所有管理事件，但不記錄任何資料事件或 Insights 事件。管理事件的範例包括安全事件 (例如 IAM CreateUser 和 AttachRolePolicy 事件)、資源事件 (例如 RunInstances 和 CreateBucket) 等等。您將建立用於儲存追蹤日誌檔案的 Amazon S3 儲存貯體，以做為在 CloudTrail 主控台中建立追蹤的一部分。

注意

AWS Control Tower 當您設定登陸區域時， 會設定新的 CloudTrail 追蹤記錄管理事件。這是組織層級追蹤，這表示它會記錄管理帳戶和組織中的所有成員帳戶的所有管理事件。如需詳細資訊，請參閱AWS CloudTrail 《 使用者指南》中的關於登入 AWS Control Tower。

此教學課程將假設您正在建立第一個追蹤。根據您 AWS 帳戶中的線索數量，以及這些線索的設定方式，下列程序可能會產生或可能不會產生費用。CloudTrail 會將日誌檔案儲存在 Amazon S3 儲存貯體中，因此會產生成本。如需定價的詳細資訊，請參閱 AWS CloudTrail 定價和 Amazon S3 定價。

若要建立追蹤記錄

1. 登入 AWS Management Console ，並在 https：//https://console.aws.amazon.com/cloudtrail/ 開啟 CloudTrail 主控台。

2. 在區域選擇器中，選擇您要建立追蹤 AWS 的區域。這是該追蹤的主要區域。

   注意

   主區域是唯一您可以在建立追蹤之後更新追蹤 AWS 區域 的地方。

3. 在 CloudTrail 服務首頁上，Trails (追蹤) 頁面，或 Dashboard (儀表板) 頁面的 Trails (追蹤) 區段上，選擇Create trail (建立追蹤)。

4. 在線索名稱中，為您的線索命名，例如 management-events。根據最佳實務，請使用可快速識別追蹤目的的名稱。在此案例中，您正在建立記錄管理事件的追蹤。

5. 保留針對組織中的所有帳戶啟用的預設設定。除非您已在 [Organizations] 中設定帳戶，否則此選項將無法變更。

6. 針對 Storage location (儲存位置)，選擇 Create a new S3 bucket (建立新 S3 儲存貯體)，以建立儲存貯體。當您建立儲存貯體時，CloudTrail 會建立和套用所需的儲存貯體政策。如果您選擇建立新的 S3 儲存貯體，您的 IAM 政策需要包含s3:PutEncryptionConfiguration動作的許可，因為預設會為儲存貯體啟用伺服器端加密。為您的儲存貯體命名，以方便識別。

   若要更容易地找到您的記錄，請在現有的儲存貯體中建立新的資料夾 (也稱為prefix）來存儲您的 CloudTrail 日誌。

   注意

   您 Amazon S3 儲存貯體的名稱在全域中都必須是唯一的。如需詳細資訊，請參閱《Amazon Simple Storage Service 使用者指南》中的儲存貯體命名規則。

7. 清除核取方塊以停用記錄檔 SSE-KMS 加密。根據預設，您的日誌檔案使用 SSE-S3 加密進行加密。如需此設定的詳細資訊，請參閱使用伺服器端加密搭配 Amazon S3 受管金鑰 (SSE-S3)。

8. 保留其他設定的預設設定。

9. 保留 CloudWatch Logs 的預設設定。目前，請勿將日誌傳送到 Amazon CloudWatch Logs。

10. （選用） 在標籤中，您最多可以新增 50 個標籤金鑰對，以協助您識別、排序和控制對追蹤的存取。標籤可協助您辨識 CloudTrail 追蹤和其他資源，像是包含 CloudTrail 日誌檔案的 Amazon S3 儲存貯體。例如，您可以附加名稱為 Compliance，值為 Auditing 的標籤。

    注意

    雖然當透過 CloudTrail 主控台建立追蹤時，您可以將標籤加入其中，而且您可以建立 Amazon S3 儲存貯體來儲存 CloudTrail 主控台的日誌檔案，不過，您無法透過 CloudTrail 主控台將標籤加入 Amazon S3 儲存貯體。如需檢視和變更 Amazon S3 儲存貯體屬性 (包括將標籤新增至儲存貯體) 的詳細資訊，請參閱《Amazon S3 使用者指南》。

    完成時，選擇 Next (下一步)。

11. 在 Choose log events (選擇記錄事件) 頁面上，選取要記錄的事件類型。對於此追蹤，請保留預設值管理事件。在 Management events 管理事件區域中，選擇同時記錄閱讀和寫入事件 (如果尚未選取)。將排除 AWS KMS 事件和排除 Amazon RDS Data API 事件的核取方塊保留空白，以記錄所有管理事件。

    

12. 保留資料事件、 Insights 事件和網路活動事件的預設設定。此線索不會記錄任何資料事件、 Insights 事件或網路活動事件。選擇 Next (下一步)。

13. 在 Review and create (檢閱和建立) 頁面上，檢閱您為追蹤選擇的設定。針對某個區段選擇 Edit (編輯)，以返回並進行變更。當您準備好建立追蹤時，請選擇 Create trail (建立追蹤)。

14. 此 Trails (追蹤) 頁面會在資料表中顯示您的新追蹤。請注意，追蹤預設設定為多區域追蹤，並且預設會開啟追蹤的記錄功能。

    

如需追蹤的詳細資訊，請參閱 使用 CloudTrail 追蹤。