Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

CloudTrail Ereignisse verstehen

Ein Ereignis in CloudTrail ist der Datensatz zu einer Aktivität in einem AWS -Konto. Diese Aktivität kann eine Aktion sein, die von einer IAM-Identität oder einem Service durchgeführt wurde, der bzw. die mit der IAM-Identität durchgeführt wurde. CloudTrail CloudTrail Ereignisse stellen einen Verlauf von API-Kontoaktivitäten und nicht API-Kontoaktivitäten bereit AWS Management Console, die über die, AWS SDKs, -Befehlszeilen-Tools und andere AWS-Services durchgeführt wurden.

CloudTrail Protokolldateien sind kein geordnetes Stack-Trace der öffentlichen API-Aufrufe, sodass Ereignisse in keiner bestimmten Reihenfolge erscheinen.

Es gibt vier Arten von CloudTrail Ereignissen:

Standardmäßig protokollieren Trails und Ereignisdatenspeicher Verwaltungsereignisse, aber keine Datenereignisse, Netzwerkaktivitätsereignisse oder Insights-Ereignisse.

Alle Ereignistypen verwenden ein CloudTrail JSON-Protokollformat. Das Protokoll enthält Informationen zu Anforderungen von Ressourcen in Ihrem Konto, z. B. wer die Anforderung gestellt hat, welche Services verwendet, welche Aktionen ausgeführt und welche Parameter für die Aktion eingesetzt wurden. Die Ereignisdaten sind in einem Records-Array enthalten.

Hinweise zu CloudTrail Ereignisdatensatzfeldern für Verwaltungs-, Daten- und Netzwerkaktivitätsereignisse finden Sie unterCloudTrail Inhalte für Verwaltungs-, Daten- und Netzwerkaktivitätsereignisse aufzeichnen.

Informationen zu CloudTrail Ereignisdatensatzfeldern für Insights-Ereignisse für Trails finden Sie unterCloudTrail protokollieren Sie den Inhalt von Insights-Ereignissen für Trails.

Informationen zu CloudTrail Ereignisdatensatzfeldern für Insights-Ereignisse für Ereignisdatenspeicher finden Sie unterCloudTrail Aufzeichnen von Inhalten für Insights-Ereignisse für Ereignisdatenspeicher.

Verwaltungsereignisse

Verwaltungsereignisse liefern Informationen zu Verwaltungsvorgängen, die für Ressourcen im AWS -Konto ausgeführt wurden. Sie werden auch als Vorgänge auf Steuerebene bezeichnet.

Beispiele für Verwaltungsereignisse:

Verwaltungsereignisse können auch andere als API-Ereignisse einschließen, die in Ihrem Konto auftreten. Meldet sich beispielsweise ein Benutzer beim Konto an, CloudTrail protokolliert er das ConsoleLogin Ereignis. Weitere Informationen finden Sie unter Nicht-API-Ereignisse, erfasst von CloudTrail.

Standardmäßig protokollieren CloudTrail Trails und CloudTrail Lake-Ereignisdatenspeicher Verwaltungsereignisse. Weitere Informationen zum Protokollieren von Verwaltungsereignissen finden Sie unterProtokollieren von Verwaltungsereignissen.

Das folgende Beispiel zeigt einen einzelnen Protokolldatensatz eines Verwaltungsereignisses. In diesem Fall Mary_Major führte ein IAM-Benutzer mit dem Namen den aws cloudtrail start-logging Befehl aus, um die CloudTrail StartLoggingAktion zum Starten des Protokollierungsprozesses in einem Pfad mit dem Namen myTrail aufzurufen.

{
    "eventVersion": "1.09",
    "userIdentity": {
        "type": "IAMUser",
        "principalId": "EXAMPLE6E4XEGITWATV6R",
        "arn": "arn:aws:iam::123456789012:user/Mary_Major",
        "accountId": "123456789012",
        "accessKeyId": "AKIAIOSFODNN7EXAMPLE",
        "userName": "Mary_Major",
        "sessionContext": {
            "attributes": {
                "creationDate": "2023-07-19T21:11:57Z",
                "mfaAuthenticated": "false"
            }
        }
    },
    "eventTime": "2023-07-19T21:33:41Z",
    "eventSource": "cloudtrail.amazonaws.com",
    "eventName": "StartLogging",
    "awsRegion": "us-east-1",
    "sourceIPAddress": "192.0.2.0",
    "userAgent": "aws-cli/2.13.5 Python/3.11.4 Linux/4.14.255-314-253.539.amzn2.x86_64 exec-env/CloudShell exe/x86_64.amzn.2 prompt/off command/cloudtrail.start-logging",
    "requestParameters": {
        "name": "myTrail"
    },
    "responseElements": null,
    "requestID": "9d478fc1-4f10-490f-a26b-EXAMPLE0e932",
    "eventID": "eae87c48-d421-4626-94f5-EXAMPLEac994",
    "readOnly": false,
    "eventType": "AwsApiCall",
    "managementEvent": true,
    "recipientAccountId": "123456789012",
    "eventCategory": "Management",
    "tlsDetails": {
        "tlsVersion": "TLSv1.2",
        "cipherSuite": "ECDHE-RSA-AES128-GCM-SHA256",
        "clientProvidedHostHeader": "cloudtrail.us-east-1.amazonaws.com"
    },
    "sessionCredentialFromConsole": "true"
}

Im nächsten Beispiel hat ein IAM-Benutzer mit dem Namen Paulo_Santos den Befehl aws cloudtrail start-event-data-store-ingestion ausgeführt, um die Aktion StartEventDataStoreIngestion aufzurufen und die Aufnahme in einen Ereignisdatenspeicher zu starten.

{
    "eventVersion": "1.09",
    "userIdentity": {
        "type": "IAMUser",
        "principalId": "EXAMPLEPHCNW5EQV7NA54",
        "arn": "arn:aws:iam::123456789012:user/Paulo_Santos",
        "accountId": "123456789012",
        "accessKeyId": "(AKIAIOSFODNN7EXAMPLE",
        "userName": "Paulo_Santos",
        "sessionContext": {
            "attributes": {
                "creationDate": "2023-07-21T21:55:30Z",
                "mfaAuthenticated": "false"
            }
        }
    },
    "eventTime": "2023-07-21T21:57:28Z",
    "eventSource": "cloudtrail.amazonaws.com",
    "eventName": "StartEventDataStoreIngestion",
    "awsRegion": "us-east-1",
    "sourceIPAddress": "192.0.2.0",
    "userAgent": "aws-cli/2.13.1 Python/3.11.4 Linux/4.14.255-314-253.539.amzn2.x86_64 exec-env/CloudShell exe/x86_64.amzn.2 prompt/off command/cloudtrail.start-event-data-store-ingestion",
    "requestParameters": {
        "eventDataStore": "arn:aws:cloudtrail:us-east-1:123456789012:eventdatastore/2a8f2138-0caa-46c8-a194-EXAMPLE87d41"
    },
    "responseElements": null,
    "requestID": "f62a3494-ba4e-49ee-8e27-EXAMPLE4253f",
    "eventID": "d97ca7e2-04fe-45b4-882d-EXAMPLEa9b2c",
    "readOnly": false,
    "eventType": "AwsApiCall",
    "managementEvent": true,
    "recipientAccountId": "123456789012",
    "eventCategory": "Management",
    "tlsDetails": {
        "tlsVersion": "TLSv1.2",
        "cipherSuite": "ECDHE-RSA-AES128-GCM-SHA256",
        "clientProvidedHostHeader": "cloudtrail.us-east-1.amazonaws.com"
    },
    "sessionCredentialFromConsole": "true"
}

Datenereignisse

Datenereignisse liefern Informationen zu Ressourcenoperationen, die für oder innerhalb einer Ressource ausgeführt wurden. Sie werden auch als Vorgänge auf Datenebene bezeichnet. Datenereignisse sind oft Aktivitäten mit hohem Volume.

Beispiele für Datenereignisse:

In der folgenden Tabelle sind die Ressourcentypen aufgeführt, die für Trails und Ereignisdatenspeicher verfügbar sind. In der Spalte Ressourcentyp (Konsole) wird die entsprechende Auswahl in der Konsole angezeigt. Die Spalte resources.type-Wert zeigt den resources.type Wert an, den Sie angeben würden, um Datenereignisse dieses Typs mit oder in Ihren Trail- oder Ereignisdatenspeicher aufzunehmen. AWS CLI CloudTrail APIs

Für Trails können Sie einfache oder erweiterte Ereignisselektoren verwenden, um Datenereignisse für Amazon-S3-Objekte in Allzweck-Buckets, Lambda-Funktionen und DynamoDB-Tabellen (in den ersten drei Zeilen der Tabelle dargestellt) zu protokollieren. Sie können nur erweiterte Ereignisselektoren verwenden, um die in den verbleibenden Zeilen angezeigten Ressourcentypen zu protokollieren.

Für Ereignisdatenspeicher können Sie nur erweiterte Ereignisselektoren verwenden, um Datenereignisse einzubeziehen.

Datenereignisse werden standardmäßig nicht protokolliert, wenn Sie einen Trail oder einen Ereignisdatenspeicher erstellen. Um CloudTrail Datenereignisse aufzuzeichnen, müssen Sie die unterstützten Ressourcen oder Ressourcentypen, für die Sie Aktivitäten sammeln möchten, explizit hinzufügen. Weitere Informationen erhalten Sie unter Erstellen eines Trails mit der CloudTrail Konsole und Erstellen eines Ereignisdatenspeichers für CloudTrail Ereignisse mit der Konsole.

Für die Protokollierung von Datenereignissen fallen zusätzliche Gebühren an. CloudTrail Preise finden Sie unter AWS CloudTrail Preisgestaltung.

Das folgende Beispiel zeigt einen einzelnen Protokolldatensatz eines Datenereignisses für die Amazon SNS Publish -Aktion.

{
   "eventVersion": "1.09",
   "userIdentity": {
        "type": "AssumedRole",
        "principalId": "EX_PRINCIPAL_ID",
        "arn": "arn:aws:iam::123456789012:user/Bob",
        "accountId": "123456789012",
        "accessKeyId": "AKIAIOSFODNN7EXAMPLE",
        "sessionContext": {
        "sessionIssuer": {
            "type": "Role",
            "principalId": "AKIAIOSFODNN7EXAMPLE",
            "arn": "arn:aws:iam::123456789012:role/Admin",
            "accountId": "123456789012",
            "userName": "ExampleUser"
            },
            "attributes": {
                "creationDate": "2023-08-21T16:44:05Z",
                "mfaAuthenticated": "false"
            }
        }
    },
    "eventTime": "2023-08-21T16:48:37Z",
    "eventSource": "sns.amazonaws.com",
    "eventName": "Publish",
    "awsRegion": "us-east-1",
    "sourceIPAddress": "192.0.2.0",
    "userAgent": "aws-cli/1.29.16 md/Botocore#1.31.16 ua/2.0 os/linux#5.4.250-173.369.amzn2int.x86_64 md/arch#x86_64 lang/python#3.8.17 md/pyimpl#CPython cfg/retry-mode#legacy botocore/1.31.16",
    "requestParameters": {
        "topicArn": "arn:aws:sns:us-east-1:123456789012:ExampleSNSTopic",
        "message": "HIDDEN_DUE_TO_SECURITY_REASONS",
        "subject": "HIDDEN_DUE_TO_SECURITY_REASONS",
        "messageStructure": "json",
        "messageAttributes": "HIDDEN_DUE_TO_SECURITY_REASONS"
    },
    "responseElements": {
        "messageId": "0787cd1e-d92b-521c-a8b4-90434e8ef840"
    },
    "requestID": "0a8ab208-11bf-5e01-bd2d-ef55861b545d",
    "eventID": "bb3496d4-5252-4660-9c28-3c6aebdb21c0",
    "readOnly": false,
    "resources": [{
        "accountId": "123456789012",
        "type": "AWS::SNS::Topic",
                "ARN": "arn:aws:sns:us-east-1:123456789012:ExampleSNSTopic"
    }],
    "eventType": "AwsApiCall",
    "managementEvent": false,
    "recipientAccountId": "123456789012",
    "eventCategory": "Data",
    "tlsDetails": {
        "tlsVersion": "TLSv1.2",
        "cipherSuite": "ECDHE-RSA-AES128-GCM-SHA256",
        "clientProvidedHostHeader": "sns.us-east-1.amazonaws.com"
    }
}

Das nächste Beispiel zeigt einen einzelnen Protokolldatensatz eines Datenereignisses für die GetCredentialsForIdentity Amazon-Cognito-Aktion.

{
    "eventVersion": "1.08",
    "userIdentity": {
        "type": "Unknown"
    },
    "eventTime": "2023-01-19T16:55:08Z",
    "eventSource": "cognito-identity.amazonaws.com",
    "eventName": "GetCredentialsForIdentity",
    "awsRegion": "us-east-1",
    "sourceIPAddress": "192.0.2.4",
    "userAgent": "aws-cli/2.7.25 Python/3.9.11 Darwin/21.6.0 exe/x86_64 prompt/off command/cognito-identity.get-credentials-for-identity",
    "requestParameters": {
        "logins": {
            "cognito-idp.us-east-1.amazonaws.com/us-east-1_aaaaaaaaa": "HIDDEN_DUE_TO_SECURITY_REASONS"
        },
        "identityId": "us-east-1:1cf667a2-49a6-454b-9e45-23199EXAMPLE"
    },
    "responseElements": {
        "credentials": {
            "accessKeyId": "ASIAIOSFODNN7EXAMPLE",
            "sessionToken": "aAaAaAaAaAaAab1111111111EXAMPLE",
            "expiration": "Jan 19, 2023 5:55:08 PM"
        },
        "identityId": "us-east-1:1cf667a2-49a6-454b-9e45-23199EXAMPLE"
    },
    "requestID": "659dfc23-7c4e-4e7c-858a-1abce884d645",
    "eventID": "6ad1c766-5a41-4b28-b5ca-e223ccb00f0d",
    "readOnly": false,
    "resources": [{
        "accountId": "111122223333",
        "type": "AWS::Cognito::IdentityPool",
        "ARN": "arn:aws:cognito-identity:us-east-1:111122223333:identitypool/us-east-1:2dg778b3-50b7-565c-0f56-34200EXAMPLE"
    }],
    "eventType": "AwsApiCall",
    "managementEvent": false,
    "recipientAccountId": "111122223333",
    "eventCategory": "Data"
}

Netzwerkaktivitätsereignisse

CloudTrail Netzwerkaktivitätsereignisse ermöglichen es VPC-Endpunktbesitzern, AWS API-Aufrufe aufzuzeichnen, die mit ihren VPC-Endpunkten von einer privaten VPC an die getätigt wurden. AWS-Service Netzwerkaktivitätsereignisse bieten Einblicke in die Ressourcenvorgänge, die innerhalb einer VPC ausgeführt wurden.

Sie können Netzwerkaktivitätsereignisse für die folgenden Dienste protokollieren:

Netzwerkaktivitätsereignisse werden standardmäßig nicht protokolliert, wenn Sie einen Trail oder einen Ereignisdatenspeicher erstellen. Um CloudTrail Netzwerkaktivitätsereignisse aufzuzeichnen, müssen Sie die Ereignisquelle, für die Sie Aktivitäten sammeln möchten, explizit angeben. Weitere Informationen finden Sie unter Protokollierung von Netzwerkaktivitätsereignissen.

Für die Protokollierung von Netzwerkaktivitätsereignissen fallen zusätzliche Gebühren an. CloudTrail Die Preise finden Sie unter AWS CloudTrail Preise.

Das folgende Beispiel zeigt ein erfolgreiches AWS KMS ListKeys Ereignis, das einen VPC-Endpunkt durchlaufen hat. Das vpcEndpointId Feld zeigt die ID des VPC-Endpunktservice. Das vpcEndpointAccountId Feld zeigt die Konto-ID des VPC-Endpunktbesitzers. In diesem Beispiel wurde die Anfrage vom Besitzer des VPC-Endpoints gestellt.

{
    "eventVersion": "1.09",
    "userIdentity": {
        "type": "AssumedRole",
        "principalId": "ASIAIOSFODNN7EXAMPLE:role-name",
        "arn": "arn:aws:sts::123456789012:assumed-role/Admin/role-name",
        "accountId": "123456789012",
        "accessKeyId": "ASIAIOSFODNN7EXAMPLE",
        "sessionContext": {
            "sessionIssuer": {
                "type": "Role",
                "principalId": "ASIAIOSFODNN7EXAMPLE",
                "arn": "arn:aws:iam::123456789012:role/Admin",
                "accountId": "123456789012",
                "userName": "Admin"
            },
            "attributes": {
                "creationDate": "2024-06-04T23:10:46Z",
                "mfaAuthenticated": "false"
            }
        }
    },
    "eventTime": "2024-06-04T23:12:50Z",
    "eventSource": "kms.amazonaws.com",
    "eventName": "ListKeys",
    "awsRegion": "us-east-1",
    "sourceIPAddress": "192.0.2.0",
    "requestID": "16bcc089-ac49-43f1-9177-EXAMPLE23731",
    "eventID": "228ca3c8-5f95-4a8a-9732-EXAMPLE60ed9",
    "eventType": "AwsVpceEvent",
    "recipientAccountId": "123456789012",
    "sharedEventID": "a1f3720c-ef19-47e9-a5d5-EXAMPLE8099f",
    "vpcEndpointId": "vpce-EXAMPLE08c1b6b9b7",
    "vpcEndpointAccountId": "123456789012",
    "eventCategory": "NetworkActivity"
}

Das nächste Beispiel zeigt ein erfolgloses AWS KMS ListKeys Ereignis mit einem Verstoß gegen die VPC-Endpunktrichtlinie. Da ein Verstoß gegen die VPC-Richtlinie aufgetreten ist, sind errorCode sowohl die errorMessage Felder als auch vorhanden. Die Konto-ID in den vpcEndpointAccountId Feldern recipientAccountId und ist dieselbe, was darauf hinweist, dass das Ereignis an den Besitzer des VPC-Endpunkts gesendet wurde. Das userIdentity Element accountId in the ist nicht dasvpcEndpointAccountId, was darauf hinweist, dass der Benutzer, der die Anfrage stellt, nicht der Besitzer des VPC-Endpunkts ist.

{
    "eventVersion": "1.09",
    "userIdentity": {
        "type": "AWSAccount",
        "principalId": "AKIAIOSFODNN7EXAMPLE",
        "accountId": "777788889999"
    },
    "eventTime": "2024-07-15T23:57:12Z",
    "eventSource": "kms.amazonaws.com",
    "eventName": "ListKeys",
    "awsRegion": "us-east-1",
    "sourceIPAddress": "192.0.2.0",
    "errorCode": "VpceAccessDenied",
    "errorMessage": "The request was denied due to a VPC endpoint policy",
    "requestID": "899003b8-abc4-42bb-ad95-EXAMPLE0c374",
    "eventID": "7c6e3d04-0c3b-42f2-8589-EXAMPLE826c0",
    "eventType": "AwsVpceEvent",
    "recipientAccountId": "123456789012",
    "sharedEventID": "702f74c4-f692-4bfd-8491-EXAMPLEb1ac4",
    "vpcEndpointId": "vpce-EXAMPLE08c1b6b9b7",
    "vpcEndpointAccountId": "123456789012",
    "eventCategory": "NetworkActivity"
}

Insights-Ereignisse

CloudTrail Insights-Ereignisse erfassen Aktivitäten mit ungewöhnlicher API-Aufruf- oder -Fehlerrate in Ihrem AWS -Konto durch Analyse der CloudTrail Verwaltungsaktivitäten. Insights-Ereignisse stellen relevante Informationen bereit, z. B. die zugehörige API, den Fehlercode, die Vorfallzeit und Statistiken, die Ihnen helfen, ungewöhnliche Aktivitäten zu verstehen und darauf zu reagieren. Im Gegensatz zu anderen Ereignistypen, die per CloudTrail Trail der Ereignisdatenspeicher erfasst werden, werden Insights-Ereignisse nur protokolliert, wenn Änderungen bei der API-Nutzungs- oder Fehlerratenprotokollierung in Ihrem Konto CloudTrail erkannt werden, die sich deutlich von den üblichen Nutzungsmustern des Kontos unterscheiden. Weitere Informationen finden Sie unter Mit CloudTrail Insights arbeiten.

Beispiele für Aktivitäten, bei denen ggf. Inights-Ereignisse generiert werden, sind:

Diese Beispiele dienen nur zur Veranschaulichung. Ihre Ergebnisse können je nach Anwendungsfall abweichen.

Um CloudTrail Insights-Ereignisse zu protokollieren, müssen Sie Insights-Ereignisse in einem neuen oder bestehenden Trail oder Ereignisdatenspeicher explizit aktivieren. Weitere Informationen zum Erstellen eines Trails finden Sie unter Erstellen eines Trails mit der CloudTrail Konsole. Weitere Informationen zum Erstellen eines Ereignisdatenspeichers finden Sie unter Erstellen eines Ereignisdatenspeichers für Insights-Ereignisse mit der Konsole.

Für Insights-Ereignisse fallen zusätzliche Gebühren an. Wenn Sie Insights sowohl für Trails als auch für Ereignisdatenspeicher aktivieren, wird Ihnen eine separate Gebühr in Rechnung gestellt. Weitere Informationen finden Sie unter AWS CloudTrail  – Preise.

Es werden zwei Ereignisse protokolliert, um ungewöhnliche Aktivitäten in CloudTrail Insights anzuzeigen: ein Startereignis und ein Endereignis. Im folgenden Beispiel wird ein einzelner Protokolldatensatz mit einem Insights-Ereignis veranschaulicht, das aufgetreten ist, als CompleteLifecycleAction für die Application-Auto-Scaling-API ungewöhnlich häufig aufgerufen wurde. Bei Insights-Ereignissen hat eventCategory den Wert Insight. Mit einem insightDetails-Block werden Ereignisstatus, Quelle, Name, Insights-Typ und Kontext, einschließlich Statistiken und Attributionen, identifiziert. Weitere Informationen zum insightDetails-Block finden Sie unter CloudTrail protokollieren Sie den Inhalt von Insights-Ereignissen für Trails.

{
        "eventVersion": "1.08",
        "eventTime": "2023-07-10T01:42:00Z",
        "awsRegion": "us-east-1",
        "eventID": "55ed45c5-0b0c-4228-9fe5-EXAMPLEc3f4d",
        "eventType": "AwsCloudTrailInsight",
        "recipientAccountId": "123456789012",
        "sharedEventID": "979c82fe-14d4-4e4c-aa01-EXAMPLE3acee",
        "insightDetails": {
            "state": "Start",
            "eventSource": "autoscaling.amazonaws.com",
            "eventName": "CompleteLifecycleAction",
            "insightType": "ApiCallRateInsight",
            "insightContext": {
                "statistics": {
                    "baseline": {
                        "average": 9.82222E-5
                    },
                    "insight": {
                        "average": 5.0
                    },
                    "insightDuration": 1,
                    "baselineDuration": 10181
                },
                "attributions": [{
                    "attribute": "userIdentityArn",
                    "insight": [{
                        "value": "arn:aws:sts::123456789012:assumed-role/CodeDeployRole1",
                        "average": 5.0
                    }, {
                        "value": "arn:aws:sts::123456789012:assumed-role/CodeDeployRole2",
                        "average": 5.0
                    }, {
                        "value": "arn:aws:sts::123456789012:assumed-role/CodeDeployRole3",
                        "average": 5.0
                    }],
                    "baseline": [{
                        "value": "arn:aws:sts::123456789012:assumed-role/CodeDeployRole1",
                        "average": 9.82222E-5
                    }]
                }, {
                    "attribute": "userAgent",
                    "insight": [{
                        "value": "codedeploy.amazonaws.com",
                        "average": 5.0
                    }],
                    "baseline": [{
                        "value": "codedeploy.amazonaws.com",
                        "average": 9.82222E-5
                    }]
                }, {
                    "attribute": "errorCode",
                    "insight": [{
                        "value": "null",
                        "average": 5.0
                    }],
                    "baseline": [{
                        "value": "null",
                        "average": 9.82222E-5
                    }]
                }]
            }
        },
        "eventCategory": "Insight"
    }