Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Filtern von Datenereignissen mithilfe erweiterter Event-Selektoren

In diesem Abschnitt wird beschrieben, wie Sie mithilfe erweiterter Event-Selektoren detaillierte Selektoren für die Protokollierung von Datenereignissen erstellen können. So können Sie die Kosten kontrollieren, indem Sie nur die spezifischen Datenereignisse protokollieren, die für Sie von Interesse sind.

Beispiel:

In der folgenden Tabelle werden die unterstützten Felder zum Filtern von Datenereignissen beschrieben. Eine Liste der unterstützten Felder für jeden CloudTrail Ereignistyp finden Sie AdvancedEventSelector in der AWS CloudTrail API-Referenz.

Um Datenereignisse mithilfe der CloudTrail Konsole zu protokollieren, wählen Sie die Option Datenereignisse und dann den gewünschten Ressourcentyp aus, wenn Sie einen Trail- oder Event-Datenspeicher erstellen oder aktualisieren. Die Tabelle mit Datenereignissen zeigt die möglichen Ressourcentypen, die Sie auf der CloudTrail Konsole auswählen können.

Um Datenereignisse mit dem zu protokollieren AWS CLI, konfigurieren Sie den --advanced-event-selector Parameter so, dass er dem eventCategory resources.type Ressourcentypwert, für den Sie Datenereignisse protokollieren möchten, entspricht Data und der Wert diesem entspricht. In der Tabelle mit Datenereignissen sind die verfügbaren Ressourcentypen aufgeführt.

Wenn Sie beispielsweise Datenereignisse für alle Cognito-Identitätspools protokollieren möchten, würden Sie den --advanced-event-selectors Parameter so konfigurieren, dass er wie folgt aussieht:

--advanced-event-selectors '[
    {
       "Name": "Log Cognito data events on Identity pools",
       "FieldSelectors": [
         { "Field": "eventCategory", "Equals": ["Data"] },
         { "Field": "resources.type", "Equals": ["AWS::Cognito::IdentityPool"] }
       ]
     }
]'

Im vorherigen Beispiel werden alle Cognito-Datenereignisse in Identitätspools protokolliert. Sie können die erweiterten Event-Selektoren weiter verfeinern, um nach den resources.ARN Feldern eventNamereadOnly, und zu filtern, um bestimmte interessante Ereignisse zu protokollieren oder Ereignisse auszuschließen, die nicht von Interesse sind.

Sie können erweiterte Event-Selektoren so konfigurieren, dass Datenereignisse anhand mehrerer Felder gefiltert werden. Sie können beispielsweise erweiterte Event-Selektoren so konfigurieren, dass alle Amazon S3 PutObject - und DeleteObject API-Aufrufe protokolliert werden, aber die Ereignisprotokollierung für einen bestimmten S3-Bucket ausgeschlossen wird, wie im folgenden Beispiel gezeigt. Ersetzen Sie amzn-s3-demo-bucket durch den Namen von Ihrem Bucket.

--advanced-event-selectors
'[
  {
    "Name": "Log PutObject and DeleteObject events for all but one bucket",
    "FieldSelectors": [
      { "Field": "eventCategory", "Equals": ["Data"] },
      { "Field": "resources.type", "Equals": ["AWS::S3::Object"] },
      { "Field": "eventName", "Equals": ["PutObject","DeleteObject"] },
      { "Field": "resources.ARN", "NotStartsWith": ["arn:aws:s3:::amzn-s3-demo-bucket/"] }
    ]
  }
]'

Sie können auch mehrere Bedingungen für ein Feld angeben. Informationen zur Auswertung mehrerer Bedingungen finden Sie unterWie CloudTrail wertet mehrere Bedingungen für ein Feld aus.

Sie können erweiterte Event-Selektoren verwenden, um sowohl Verwaltungs- als auch Datenereignisse zu protokollieren. Um Datenereignisse für mehrere Ressourcentypen zu protokollieren, fügen Sie für jeden Ressourcentyp, für den Sie Datenereignisse protokollieren möchten, eine Feldauswahl-Anweisung hinzu.

Wie CloudTrail wertet mehrere Bedingungen für ein Feld aus

CloudTrail Wertet bei fortgeschrittenen Event-Selektoren mehrere Bedingungen für ein Feld wie folgt aus:

Beispiel, das mehrere Bedingungen für das Feld Resources.arn zeigt

Das folgende Beispiel für eine Event-Selector-Anweisung sammelt Datenereignisse für den AWS::S3::Object Ressourcentyp und wendet mehrere Bedingungen auf das Feld an. resources.ARN

{
    "Name": "S3Select",
    "FieldSelectors": [
      {
        "Field": "eventCategory",
        "Equals": [
          "Data"
        ]
      },
      {
        "Field": "resources.type",
        "Equals": [
          "AWS::S3::Object"
        ]
      },
      {
        "Field": "resources.ARN",
        "Equals": [
          "arn:aws:s3:::amzn-s3-demo-bucket/object1"
        ],
        "StartsWith": [
          "arn:aws:s3:::amzn-s3-demo-bucket/"
        ],
        "EndsWith": [
          "object3"
        ],
        "NotStartsWith": [
          "arn:aws:s3:::amzn-s3-demo-bucket/deselect"
        ],
        "NotEndsWith": [
          "object5"
        ],
        "NotEquals": [
          "arn:aws:s3:::amzn-s3-demo-bucket/object6"
        ]
      }
    ]
  }

Im vorherigen Beispiel werden Amazon S3-Datenereignisse für die AWS::S3::Object Ressource übermittelt, wenn:

Basierend auf der Bewertungslogik:

AWS CLI Beispiele für das Filtern von Datenereignissen

Dieser Abschnitt enthält AWS CLI Beispiele, die zeigen, wie Datenereignisse nach verschiedenen Feldern gefiltert werden. Weitere AWS CLI Beispiele finden Sie unter Protokollieren Sie Datenereignisse für Trails mithilfe erweiterter Event-Selektoren undProtokollieren von Datenereignissen für Event-Datenspeicher mit dem AWS CLI.

Hinweise zum Protokollieren von Datenereignissen mithilfe der Konsole finden Sie unterProtokollieren von Datenereignissen mit dem AWS-Managementkonsole.

Beispiel 1: Filtern nach dem EventName-Feld

Im ersten Beispiel sind die --advanced-event-selectors für einen Trail so konfiguriert, dass nur die GetObjectPutObject, und DeleteObject API-Aufrufe für Amazon S3-Objekte in allgemeinen Buckets protokolliert werden.

aws cloudtrail put-event-selectors \
--trail-name trailName \
--advanced-event-selectors '[
  {
    "Name": "Log GetObject, PutObject and DeleteObject S3 data events",
    "FieldSelectors": [
      { "Field": "eventCategory", "Equals": ["Data"] },
      { "Field": "resources.type", "Equals": ["AWS::S3::Object"] },
      { "Field": "eventName", "Equals": ["GetObject","PutObject","DeleteObject"] }
    ]
  }
]'   

Im nächsten Beispiel wird ein neuer Event-Datenspeicher erstellt, der Datenereignisse für EBS Direct-APIs protokolliert, API-Aufrufe jedoch ausschließtListChangedBlocks. Sie können den update-event-data-store Befehl verwenden, um einen vorhandenen Event-Datenspeicher zu aktualisieren.

aws cloudtrail create-event-data-store \
--name "eventDataStoreName"
--advanced-event-selectors '[
    {
        "Name": "Log all EBS Direct API data events except ListChangedBlocks",
        "FieldSelectors": [
            { "Field": "eventCategory", "Equals": ["Data"] },
            { "Field": "resources.type", "Equals": ["AWS::EC2::Snapshot"] },
            { "Field": "eventName", "NotEquals": ["ListChangedBlocks"] }
         ]
    }
]'        

Beispiel 2: Filtern nach den Feldern Resources.arn und user Identity.arn

Das folgende Beispiel zeigt, wie Sie alle Datenereignisse für alle Amazon S3-Objekte in einen bestimmten S3-Bucket für allgemeine Zwecke aufnehmen, aber Ereignisse ausschließen, die von der generiert wurden. bucket-scanner-role userIdentity Der Wert für S3-Ereignisse für das resources.type-Feld ist AWS::S3::Object. Da sich die ARN-Werte für S3-Objekte und S3-Buckets geringfügig unterscheiden, müssen Sie den StartsWith Operator für resources.ARN hinzufügen.

aws cloudtrail put-event-selectors \
--trail-name trailName \
--advanced-event-selectors \
'[
    {
        "Name": "S3EventSelector",
        "FieldSelectors": [
            { "Field": "eventCategory", "Equals": ["Data"] },
            { "Field": "resources.type", "Equals": ["AWS::S3::Object"] },
            { "Field": "resources.ARN", "StartsWith": ["arn:partition:s3:::amzn-s3-demo-bucket/"] },
            { "Field": "userIdentity.arn", "NotStartsWith": ["arn:aws:sts::123456789012:assumed-role/bucket-scanner-role"]}
        ]
    }
]'

Beispiel 3: Filtern der Felder resources.type und eventName, um einzelne Objekte auszuschließen, die durch ein Amazon S3-Ereignis gelöscht wurden DeleteObjects

Das folgende Beispiel zeigt, wie alle Datenereignisse für alle Amazon S3-Objekte in einen bestimmten Amazon S3-Bucket für allgemeine Zwecke aufgenommen werden, aber die einzelnen Objekte, die durch den Vorgang gelöscht wurden, ausgeschlossen werden. DeleteObject Der Wert für S3-Ereignisse für das resources.type-Feld ist AWS::S3::Object. Der Wert für den Namen des Ereignisses istDeleteObject.

aws cloudtrail put-event-selectors \
--trail-name trailName \
--advanced-event-selectors \

{
    "Name": "Exclude Events for DeleteObject operation",
    "FieldSelectors": [
      {
        "Field": "eventCategory",
        "Equals": [
          "Data"
        ]
      },
      {
        "Field": "resources.type",
        "Equals": [
          "AWS::S3::Object"
        ]
      },
      {
        "Field": "eventName",
        "NotEquals": [
          "DeleteObject"
        ]
      }
    ]
  },
  {
    "Name": "Exclude DeleteObject Events for individual objects deleted by DeleteObjects Operation",
    "FieldSelectors": [
      {
        "Field": "eventCategory",
        "Equals": [
          "Data"
        ]
      },
      {
        "Field": "resources.type",
        "Equals": [
          "AWS::S3::Object"
        ]
      },
      {
        "Field": "eventName",
        "Equals": [
          "DeleteObject"
        ]
      },
      {
        "Field": "eventType",
        "NotEquals": [
          "AwsServiceEvent"
        ]
      }
    ]
  }
] (edited)