Protokollieren von DynamoDB-Operationen unter Verwendung von AWS CloudTrail

DynamoDB ist in AWS CloudTrail integriert, einem Service, der eine Aufzeichnung der von einem Benutzer, einer Rolle oder einem AWS-Service durchgeführten Aktionen in DynamoDB bereitstellt. CloudTrail erfasst alle API-Aufrufe für DynamoDB als Ereignisse. Zu den erfassten Aufrufen gehören Aufrufe von der DynamoDB-Konsole und Code-Aufrufe an die DynamoDB-API-Operationen, die sowohl PartiQL als auch die klassische -API verwenden. Wenn Sie einen Trail erstellen, können Sie die kontinuierliche Bereitstellung von CloudTrail-Ereignissen an einen Amazon S3-Bucket, einschließlich Ereignissen für DynamoDB, aktivieren. Wenn Sie keinen Trail konfigurieren, können Sie die neuesten Ereignisse in der CloudTrail-Konsole trotzdem in Ereignisverlauf anzeigen. Mit den von CloudTrail erfassten Informationen können Sie die an DynamoDB gestellte Anfrage, die IP-Adresse, von der die Anfrage gestellt wurde, den Initiator der Anfrage, den Zeitpunkt der Anfrage und zusätzliche Details bestimmen.

Für eine robuste Überwachung und Warnung können Sie CloudTrail-Ereignisse auch mit Amazon CloudWatch Logs integrieren. Um Ihre Analyse der DynamoDB-Serviceaktivitäten zu verbessern und Änderungen an Aktivitäten für ein AWS-Konto verwenden, können Sie AWS CloudTrail-Protokolle mit Amazon Athena anfordern. Beispielsweise können Sie mithilfe von Abfragen Trends ermitteln und Vorgänge nach Attributen (z. B. Quell-IP-Adresse oder Benutzer) trennen.

Weitere Informationen über CloudTrail, einschließlich Konfiguration und Aktivierung, finden Sie im AWS CloudTrail-Benutzerhandbuch.

DynamoDB-Informationen in CloudTrail

CloudTrail wird beim Erstellen Ihres AWS-Kontos für Sie aktiviert. Wenn die unterstützte Ereignisaktivität in DynamoDB eintritt, wird diese Aktivität in einem CloudTrail-Ereignis zusammen mit anderen AWS-Serviceereignissen im Ereignisverlauf aufgezeichnet. Sie können die neusten Ereignisse in Ihr AWS-Konto herunterladen und dort suchen und anzeigen. Weitere Informationen finden Sie unter Arbeiten mit dem CloudTrail-Ereignisverlauf.

Für eine fortlaufende Aufzeichnung der Ereignisse in Ihrem AWS-Konto, darunter Ereignisse für DynamoDB, können Sie einen Pfad (Trail) erstellen. Ein Trail ermöglicht es CloudTrail, Protokolldateien in einem Amazon S3-Bucket bereitzustellen. Wenn Sie einen Trail in der Konsole anlegen, gilt dieser für alle AWS-Regionen. Der Trail protokolliert Ereignisse aus allen Regionen in der AWS-Partition und stellt die Protokolldateien in dem von Ihnen angegebenen Amazon-S3-Bucket bereit. Darüber hinaus können Sie andere AWS-Services konfigurieren, um die in den CloudTrail-Protokollen erfassten Ereignisdaten weiter zu analysieren und entsprechend zu agieren. Weitere Informationen finden Sie unter:

Ereignisse der Steuerebene in CloudTrail

Die folgenden API-Aktionen unterstützen die Protokollierung als Ereignisse in CloudTrail-Dateien:

Amazon-DynamoDB

DynamoDB-Streams

DynamoDB Accelerator (DAX).

DynamoDB Datenebenenereignisse in CloudTrail

Um die Protokollierung der folgenden API-Aktionen in CloudTrail-Dateien zu aktivieren, müssen Sie die Protokollierung der API-Aktivität auf Datenebene in CloudTrail aktivieren. Weitere Informationen finden Sie unter Protokollieren von Datenereignissen für Trails.

Die Ereignisse auf Datenebene können nach Ressourcentyp gefiltert werden, um genau zu steuern, welche DynamoDB-API-Aufrufe Sie in CloudTrail selektiv protokollieren und bezahlen möchten. Wenn Sie beispielsweise AWS::DynamoDB::Stream als Ressourcentyp angeben, können Sie nur Aufrufe der DynamoDB-Streams-APIs protokollieren. Bei Tabellen mit aktivierten Streams enthält das Ressourcenfeld im Datenebenenereignis sowohl AWS::DynamoDB::Stream als auch AWS::DynamoDB::Table. Wenn Sie AWS::DynamoDB::Table als Ressourcentyp angeben, werden standardmäßig sowohl DynamoDB-Tabellen- als auch DynamoDB-Stream-Ereignisse protokolliert. Sie können einen zusätzlichen Filter hinzufügen, um die Stream-Ereignisse auszuschließen, wenn Sie nicht möchten, dass die Stream-Ereignisse protokolliert werden. Weitere Informationen finden Sie unter DataResource in der AWS-CloudTrail-API-Referenz.

Amazon-DynamoDB

DynamoDB-Streams