Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich. # Protokollieren von Verwaltungsereignissen Standardmäßig protokollieren Trails und Ereignisdatenspeicher Verwaltungsereignisse und enthalten keine Datenereignisse oder Insights-Ereignisse. Für Daten- bzw. Insights-Ereignisse fallen zusätzliche Gebühren an. Weitere Informationen finden Sie unter [AWS CloudTrail  – Preise](https://aws.amazon.com/cloudtrail/pricing/). **Contents** + [Verwaltungsereignisse](#logging-management-events) + [Lesen und Schreiben von Ereignissen](#read-write-events-mgmt) + [Protokollierung von Verwaltungsereignissen mit dem AWS-Managementkonsole](#logging-management-events-with-the-cloudtrail-console) + [Aktualisierung der Einstellungen für Verwaltungsereignisse für einen vorhandenen Trail](#logging-management-events-with-the-cloudtrail-console-trail) + [Aktualisierung der Einstellungen für Verwaltungsereignisse für einen vorhandenen Ereignisdatenspeicher](#logging-management-events-with-the-cloudtrail-console-eds) + [Protokollierung von Verwaltungsereignissen mit dem AWS CLI](#creating-mgmt-event-selectors-with-the-AWS-CLI) + [Beispiel: Protokollieren von Verwaltungsereignissen für Trails](#log-mgmt-events-trails-examples) + [Beispiele: Protokollierung von Verwaltungsereignissen für Trails mithilfe erweiterter Event-Selektoren](#log-mgmt-events-trails-examples-adv) + [Beispiele: Protokollierung von Verwaltungsereignissen für Trails mithilfe einfacher Event-Selektoren](#log-mgmt-events-trails-examples-basic) + [Beispiele: Protokollieren von Verwaltungsereignissen für Ereignisdatenspeicher](#log-mgmt-events-eds-examples) + [Beispiel: AWS KMS Managementereignisse ausschließen](#log-mgmt-events-eds-examples-kms) + [Beispiel: Amazon RDS-Verwaltungsereignisse ausschließen](#log-mgmt-events-eds-examples-rds) + [Beispiel: Schließen Sie AWS-Service Ereignisse und Ereignisse aus Sitzungen aus AWS-Managementkonsole](#log-mgmt-events-eds-examples-service) + [Beispiel: Schließt Verwaltungsereignisse für eine bestimmte IAM-Identität aus](#log-mgmt-events-eds-examples-useridentity) + [Protokollierung von Verwaltungsereignissen mit dem AWS SDKs](#logging-management-events-with-the-AWS-SDKs) ## Verwaltungsereignisse Verwaltungsereignisse bieten Einblick in Verwaltungsvorgänge, die mit Ressourcen in Ihrem AWS Konto ausgeführt werden. Sie werden auch als Vorgänge auf Steuerebene bezeichnet. Beispiele für Verwaltungsereignisse: + Konfigurieren von Sicherheit (z. B. `AttachRolePolicy`-API-Operationen von IAM) + Registrieren von Geräten (z. B. `CreateDefaultVpc`-API-Operationen von Amazon EC2) + Konfigurieren von Regeln für die Datenweiterleitung (z. B. `CreateSubnet`-API-Operationen von Amazon EC2) + Einrichtung der Protokollierung (z. B. AWS CloudTrail `CreateTrail` API-Operationen) Verwaltungsereignisse können auch andere als API-Ereignisse einschließen, die in Ihrem Konto auftreten. Wenn sich beispielsweise ein Benutzer bei Ihrem Konto anmeldet, wird das `ConsoleLogin` Ereignis CloudTrail protokolliert. Weitere Informationen finden Sie unter [Nicht-API-Ereignisse, erfasst von CloudTrail](cloudtrail-non-api-events.md). Standardmäßig sind Trails und Ereignisdatenspeicher so konfiguriert, dass sie Verwaltungsereignisse protokollieren. **Anmerkung** Die Funktion „ CloudTrail **Ereignisverlauf**“ unterstützt nur Verwaltungsereignisse. Sie können keine Amazon RDS Data API-Ereignisse aus dem **Event-Verlauf** ausschließen AWS KMS . Einstellungen, die Sie auf einen Trail- oder Event-Datenspeicher anwenden, gelten nicht für den **Event-Verlauf**. Weitere Informationen finden Sie unter [Mit der CloudTrail Ereignishistorie arbeiten](view-cloudtrail-events.md). ## Lesen und Schreiben von Ereignissen Wenn Sie Ihren Trail oder Ereignisdatenspeicher für das Protokollieren von Verwaltungsereignissen konfigurieren, können Sie festlegen, ob Nur-Lesen-Ereignisse, Nur-Schreiben-Ereignisse oder beides protokolliert werden sollen. + **Read** (Lesen) Schreibgeschützte Ereignisse umfassen API-Operationen, die Ihre Ressourcen lesen, aber keine Änderungen vornehmen. Schreibgeschützte Ereignisse enthalten beispielsweise die API-Operationen Amazon EC2 `DescribeSecurityGroups` und `DescribeSubnets`. Diese Operationen geben nur Informationen über die Amazon-EC2-Ressourcen zurück und ändern nicht die Konfigurationen. + **Write** (Scheriben) Nur-Schreiben-Ereignisse enthalten API-Operationen, die (möglicherweise) Ihre Ressourcen ändern. Die API-Operationen Amazon EC2 `RunInstances` und `TerminateInstances` ändern beispielsweise Ihre Instances. **Beispiel: protokollieren von Lese- und Schreibereignissen für separate Trails** Das folgende Beispiel zeigt, wie Sie Trails konfigurieren können, um die Protokollaktivität für ein Konto in separate S3-Buckets aufzuteilen: ein Bucket empfängt schreibgeschützte Ereignisse und ein zweiter Bucket empfängt schreibgeschützte Ereignisse. 1. Sie erstellen einen Pfad und wählen einen S3-Bucket namens `amzn-s3-demo-bucket1` für den Empfang von Protokolldateien aus. Anschließend aktualisieren Sie den Trail, um anzugeben, dass Sie **Lese**-Verwaltungsereignisse haben möchten. 1. Sie erstellen einen zweiten Trail und wählen einen S3-Bucket namens `amzn-s3-demo-bucket2` aus, der die Protokolldateien aufnehmen soll. Anschließend aktualisieren Sie den Trail, um anzugeben, dass Sie Verwaltungsereignisse vom Typ **Schreiben** protokollieren möchten. 1. Die API-Operationen Amazon EC2 `DescribeInstances` und `TerminateInstances` werden in Ihrem Konto ausgeführt. 1. Der `DescribeInstances`-API-Vorgang ist ein schreibgeschütztes Ereignis und entspricht den Einstellungen für den ersten Trail. Der Trail protokolliert das Ereignis und übermittelt es an`amzn-s3-demo-bucket1`. 1. Die `TerminateInstances`-API-Operation ist ein Nur-Schreiben-Ereignis und stimmt mit den Einstellungen für den zweiten Trail überein. Der Trail protokolliert das Ereignis und übermittelt es an`amzn-s3-demo-bucket2`. ## Protokollierung von Verwaltungsereignissen mit dem AWS-Managementkonsole In diesem Abschnitt wird beschrieben, wie Sie die Einstellungen für Verwaltungsereignisse für einen vorhandenen Trail- oder Event-Datenspeicher aktualisieren. **Topics** + [Aktualisierung der Einstellungen für Verwaltungsereignisse für einen vorhandenen Trail](#logging-management-events-with-the-cloudtrail-console-trail) + [Aktualisierung der Einstellungen für Verwaltungsereignisse für einen vorhandenen Ereignisdatenspeicher](#logging-management-events-with-the-cloudtrail-console-eds) ### Aktualisierung der Einstellungen für Verwaltungsereignisse für einen vorhandenen Trail Gehen Sie wie folgt vor, um die Einstellungen für Verwaltungsereignisse für einen vorhandenen Trail zu aktualisieren. 1. Melden Sie sich bei der an AWS-Managementkonsole und öffnen Sie die CloudTrail Konsole unter [https://console.aws.amazon.com/cloudtrail/](https://console.aws.amazon.com/cloudtrail/). 1. Öffnen Sie die **Trails-Seite** der CloudTrail Konsole und wählen Sie den Namen des Trails aus. 1. Wählen Sie für **Management-Ereignisse** **Bearbeiten** aus. + Wählen Sie aus, ob Sie **Leseereignisse**, **Schreibereignisse** oder beides protokollieren möchten. + Wählen Sie ** AWS KMS Ereignisse ausschließen**, um Ereignisse aus Ihrem TRAIL herauszufiltern AWS Key Management Service (AWS KMS). In der Standardeinstellung werden alle AWS KMS Ereignisse eingeschlossen. Die Option, AWS KMS Ereignisse zu protokollieren oder auszuschließen, ist nur verfügbar, wenn Sie Verwaltungsereignisse protokollieren. Wenn Sie sich dafür entscheiden, Verwaltungsereignisse nicht zu protokollieren, werden AWS KMS Ereignisse nicht protokolliert, und Sie können die Einstellungen für die AWS KMS Ereignisprotokollierung nicht ändern. AWS KMS Aktionen wie `Encrypt``Decrypt`, und erzeugen `GenerateDataKey` in der Regel ein großes Volumen (mehr als 99%) von Ereignissen. Diese Aktionen werden nun als **Leseereignisse** protokolliert. Relevante AWS KMS Aktionen mit geringem Volumen wie `Disable``Delete`, und `ScheduleKey` (die in der Regel weniger als 0,5% des AWS KMS Ereignisvolumens ausmachen) werden als **Write-Ereignisse** protokolliert. **Wenn Sie Ereignisse mit hohem Volumen wie`Encrypt`, und ausschließen möchten `Decrypt``GenerateDataKey`, aber dennoch relevante Ereignisse wie, `Delete` und protokollieren möchten `Disable``ScheduleKey`, wählen Sie die Option **Schreibverwaltungsereignisse** protokollieren und deaktivieren Sie das Kontrollkästchen für Ereignisse ausschließen. AWS KMS ** + Klicken Sie auf **Amazon-RDS-Daten-API ausschließen** zum Filtern von Ereignissen der Amazon-Relational-Database-Service-Daten-API aus Ihrem Trail. Die Standardeinstellung besteht darin, alle Amazon-RDS-Daten-API-Ereignisse einzubeziehen. Weitere Informationen über die Amazon-RDS-Daten-API finden Sie unter [Protokollieren von Daten-API-Aufrufen mit AWS CloudTrail](https://docs.aws.amazon.com/AmazonRDS/latest/AuroraUserGuide/logging-using-cloudtrail-data-api.html) im*Amazon-RDS-Benutzerhandbuch für Aurora*. 1. Klicken Sie auf **Änderungen speichern**, wenn Sie fertig sind. ### Aktualisierung der Einstellungen für Verwaltungsereignisse für einen vorhandenen Ereignisdatenspeicher 1. Melden Sie sich bei der an AWS-Managementkonsole und öffnen Sie die CloudTrail Konsole unter [https://console.aws.amazon.com/cloudtrail/](https://console.aws.amazon.com/cloudtrail/). 1. Öffnen Sie die Seite mit den **Ereignisdatenspeichern** der CloudTrail Konsole und wählen Sie den Namen des Ereignisdatenspeichers aus. 1. Wählen Sie für **Management-Ereignisse** die Option **Bearbeiten** und konfigurieren Sie dann die folgenden Einstellungen: 1. Wählen Sie zwischen **einfacher Ereigniserfassung** und **erweiterter Ereigniserfassung**: + Wählen Sie **Einfache Ereigniserfassung**, wenn Sie alle Ereignisse, nur Leseereignisse oder nur Schreibereignisse protokollieren möchten. Sie können auch festlegen, dass Amazon RDS Data API-Verwaltungsereignisse ausgeschlossen AWS Key Management Service werden. + Wählen Sie **Erweiterte Ereigniserfassung**, wenn Sie Verwaltungsereignisse auf der Grundlage der Werte der erweiterten Ereignisauswahlfelder, einschließlich der Felder,, und`userIdentity.arn`,,,,,,,,,,,,,,,,,,,,,,,`eventName`,,,,`eventType`,,`eventSource`,,,,,, 1. Wenn Sie **Einfache Ereigniserfassung** ausgewählt haben, wählen Sie aus, ob Sie alle Ereignisse, nur Leseereignisse oder nur Schreibereignisse protokollieren möchten. Sie können sich auch dafür entscheiden, Amazon RDS-Verwaltungsereignisse auszuschließen AWS KMS und zu verwalten. 1. Wenn Sie **Advanced Event Collection** ausgewählt haben, treffen Sie die folgenden Auswahlen: 1. Wählen Sie unter **Vorlage für die Protokollauswahl** eine vordefinierte Vorlage oder **Benutzerdefiniert aus, um eine benutzerdefinierte** Konfiguration auf der Grundlage von Feldwerten für die erweiterte Ereignisauswahl zu erstellen. Sie können aus den folgenden vordefinierten Vorlagen wählen: + **Alle Ereignisse protokollieren**: Wählen Sie diese Vorlage, um alle Ereignisse zu protokollieren. + **Nur Leseereignisse protokollieren** — Wählen Sie diese Vorlage, um nur Leseereignisse zu protokollieren. Schreibgeschützte Ereignisse sind Ereignisse, die den Status einer Ressource nicht ändern, wie z. B. Ereignisse `Get*` oder`Describe*`. + **Nur Schreibereignisse protokollieren** — Wählen Sie diese Vorlage, um nur Schreibereignisse zu protokollieren. Schreibereignisse fügen Ressourcen, Attribute oder Artefakte hinzu, ändern oder löschen sie, wie z. B. `Put*`-, `Delete*`- oder `Write*`-Ereignisse. + **Nur AWS-Managementkonsole Ereignisse protokollieren** — Wählen Sie diese Vorlage, um nur Ereignisse zu protokollieren, die ihren Ursprung in haben AWS-Managementkonsole. + ** AWS-Service Ausgelöste Ereignisse ausschließen** — Wählen Sie diese Vorlage, um AWS-Service Ereignisse mit dem Wert „Von“ und Ereignisse`AwsServiceEvent`, die mit AWS-Service-verknüpften Rollen (SLRs) initiiert wurden, auszuschließen. `eventType` 1. (Optional) Geben Sie unter **Selektorname** einen Namen ein, um Ihre Auswahl zu identifizieren. Der Selektorname ist ein beschreibender Name für eine erweiterte Ereignisauswahl, z. B. „Verwaltungsereignisse von Sitzungen protokollieren“. AWS-Managementkonsole Der Name des Selektors wird als `Name` in der erweiterten Ereignisauswahl aufgeführt und ist sichtbar, wenn Sie die **JSON-Ansicht** erweitern. 1. Wenn Sie **Benutzerdefiniert wählen, erstellen** **Event-Selektoren unter Erweitert** einen Ausdruck, der auf Feldwerten der erweiterten Ereignisauswahl basiert. **Anmerkung** Selektoren unterstützen nicht die Verwendung von Platzhaltern wie. `*` Um mehrere Werte mit einer einzigen Bedingung abzugleichen, können Sie`StartsWith`,, oder verwenden `EndsWith``NotStartsWith`, `NotEndsWith` um explizit den Anfang oder das Ende des Ereignisfeldes abzugleichen. 1. Wählen Sie aus den folgenden Feldern. + **`readOnly`**— `readOnly` kann so gesetzt werden, dass sie einem Wert von `true` oder **`false`entspricht**. Wenn dieser Wert auf gesetzt ist`false`, protokolliert der Ereignisdatenspeicher Verwaltungsereignisse, die nur auf Schreibzugriff beschränkt sind. Schreibgeschützte Verwaltungsereignisse sind Ereignisse, die den Status einer Ressource nicht ändern, wie z. B. OR-Ereignisse. `Get*` `Describe*` Schreibereignisse fügen Ressourcen, Attribute oder Artefakte hinzu, ändern oder löschen sie, wie z. B. `Put*`-, `Delete*`- oder `Write*`-Ereignisse. Um sowohl **Lese** - als auch **Schreibereignisse** zu protokollieren, fügen Sie keinen Selektor hinzu. `readOnly` + **`eventName`**— `eventName` kann einen beliebigen Operator verwenden. Sie können ihn verwenden, um jedes Verwaltungsereignis wie `CreateAccessPoint` oder ein- oder auszuschließen`GetAccessPoint`. + **`userIdentity.arn`**— Ereignisse für Aktionen, die von bestimmten IAM-Identitäten ausgeführt werden, einschließen oder ausschließen. Weitere Informationen finden Sie unter [CloudTrail -Element userIdentity](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/cloudtrail-event-reference-user-identity.html). + **`sessionCredentialFromConsole`**— Ereignisse, die aus einer AWS-Managementkonsole Sitzung stammen, einschließen oder ausschließen. Dieses Feld kann auf **gleich** oder ungleich mit dem Wert von **gesetzt** werden. `true` + **`eventSource`**— Sie können es verwenden, um bestimmte Ereignisquellen ein- oder auszuschließen. Das `eventSource` ist in der Regel eine Kurzform des Dienstnamens ohne Leerzeichen (Plus)`.amazonaws.com`. Sie könnten beispielsweise `eventSource` **equals** so festlegen, dass nur Amazon EC2-Managementereignisse protokolliert werden. `ec2.amazonaws.com` + **`eventType`**— Der [EventType](cloudtrail-event-reference-record-contents.md#ct-event-type), der ein- oder ausgeschlossen werden soll. [Sie können dieses Feld beispielsweise auf ungleich setzen**, `AwsServiceEvent` um Ereignisse** auszuschließen AWS-Service .](non-api-aws-service-events.md) 1. Wählen Sie für jedes Feld **\$1 Bedingung** aus, um beliebig viele Bedingungen hinzuzufügen, bis zu maximal 500 angegebene Werte für alle Bedingungen. Informationen darüber, wie mehrere Bedingungen CloudTrail ausgewertet werden, finden Sie unter. [Wie CloudTrail werden mehrere Bedingungen für ein Feld ausgewertet](filtering-data-events.md#filtering-data-events-conditions) **Anmerkung** Sie können maximal 500 Werte für alle Selektoren in einem Ereignisdatenspeicher haben. Dies schließt Arrays mit mehreren Werten für einen Selektor wie `eventName` ein. Wenn Sie einzelne Werte für alle Selektoren haben, können Sie einem Selektor maximal 500 Bedingungen hinzufügen. 1. Wählen Sie **\$1 Feld**, um bei Bedarf zusätzliche Felder hinzuzufügen. Um Fehler zu vermeiden, legen Sie keine widersprüchlichen oder doppelten Werte für Felder fest. 1. Erweitern Sie optional die **JSON-Ansicht**, um Ihre erweiterten Ereignisselektoren als JSON-Block anzuzeigen. 1. Wählen Sie „**Erfassung von Insights-Ereignissen aktivieren**“, um Insights zu aktivieren. Um Insights zu aktivieren, müssen Sie einen [Zielereignisdatenspeicher](query-event-data-store-insights.md#query-event-data-store-insights-procedure) einrichten, der Insights-Ereignisse auf der Grundlage der Verwaltungsereignisaktivität in diesem Ereignisdatenspeicher erfasst. Wenn Sie Insights aktivieren möchten, gehen Sie wie folgt vor. 1. Wählen Sie den Zielereignisspeicher aus, in dem Insights-Ereignisse protokolliert werden sollen. Der Zielereignisdatenspeicher erfasst Insights-Ereignisse auf der Grundlage der Verwaltungsereignisaktivität in diesem Ereignisdatenspeicher. Weitere Informationen zum Erstellen des Zielereignisdatenspeichers finden Sie unter [Erstellen eines Zielereignisdatenspeichers, der Insights-Ereignisse protokolliert](query-event-data-store-insights.md#query-event-data-store-insights-procedure). 1. Wählen Sie die Insights-Typen aus. Sie können die **API-Aufrufrate**, die **API-Fehlerrate** oder beides auswählen. Sie müssen **Schreib**-Verwaltungsereignisse protokollieren, um Insights-Ereignisse für die **API-Aufrufrate** zu protokollieren. Sie müssen **Lese**- und **Schreib**-Verwaltungsereignisse protokollieren, um Insights-Ereignisse für die **API-Fehlerrate** zu protokollieren. 1. Klicken Sie auf **Änderungen speichern**, wenn Sie fertig sind. ## Protokollierung von Verwaltungsereignissen mit dem AWS CLI Sie können Ihre Trails oder Ereignisdatenspeicher so konfigurieren, dass Verwaltungsereignisse mit AWS CLI protokolliert werden. **Topics** + [Beispiel: Protokollieren von Verwaltungsereignissen für Trails](#log-mgmt-events-trails-examples) + [Beispiele: Protokollieren von Verwaltungsereignissen für Ereignisdatenspeicher](#log-mgmt-events-eds-examples) ### Beispiel: Protokollieren von Verwaltungsereignissen für Trails Führen Sie den Befehl `get-event-selectors` aus, um anzuzeigen, ob Ihr Trail Verwaltungsereignisse protokolliert. ``` aws cloudtrail get-event-selectors --trail-name TrailName ``` Das folgende Beispiel gibt die Standardeinstellungen für einen Trail zurück. Standardmäßig protokollieren Trails alle Verwaltungsereignisse, Ereignisse aller Ereignisquellen und keine Datenereignisse. ``` { "TrailARN": "arn:aws:cloudtrail:us-east-1:111122223333:trail/TrailName", "AdvancedEventSelectors": [ { "Name": "Management events selector", "FieldSelectors": [ { "Field": "eventCategory", "Equals": [ "Management" ] } ] } ] } ``` Sie können entweder einfache oder erweiterte Event-Selektoren verwenden, um Verwaltungsereignisse zu protokollieren. Sie können nicht sowohl Ereignisauswahlen als auch erweiterte Ereignisauswahlen auf einen Trail anwenden. Wenn Sie erweiterte Ereignisselektoren auf einen Trail anwenden, werden alle vorhandenen grundlegenden Ereignisselektoren überschrieben. Die folgenden Abschnitte enthalten Beispiele für die Protokollierung von Verwaltungsereignissen mithilfe erweiterter Ereignisselektoren und einfacher Ereignisselektoren. **Topics** + [Beispiele: Protokollierung von Verwaltungsereignissen für Trails mithilfe erweiterter Event-Selektoren](#log-mgmt-events-trails-examples-adv) + [Beispiele: Protokollierung von Verwaltungsereignissen für Trails mithilfe einfacher Event-Selektoren](#log-mgmt-events-trails-examples-basic) #### Beispiele: Protokollierung von Verwaltungsereignissen für Trails mithilfe erweiterter Event-Selektoren Im folgenden Beispiel wird eine erweiterte Ereignisauswahl für einen Trail erstellt, der so benannt ist, *TrailName* dass er Verwaltungsereignisse mit Schreibschutz und Schreibzugriff (durch Weglassen des `readOnly` Selektors), aber Ereignisse ausschließt (). AWS Key Management Service AWS KMS Da AWS KMS Ereignisse als Verwaltungsereignisse behandelt werden und es eine große Anzahl von Ereignissen geben kann, können sie erhebliche Auswirkungen auf Ihre CloudTrail Rechnung haben, wenn Sie mehr als einen Trail haben, der Verwaltungsereignisse erfasst. Wenn Sie sich dafür entscheiden, Verwaltungsereignisse nicht zu protokollieren, werden AWS KMS Ereignisse nicht protokolliert, und Sie können die Einstellungen für die AWS KMS Ereignisprotokollierung nicht ändern. Um wieder mit der Protokollierung von AWS KMS Ereignissen in einem Trail zu beginnen, entfernen Sie den `eventSource` Selektor und führen Sie den Befehl erneut aus. ``` aws cloudtrail put-event-selectors --trail-name TrailName \ --advanced-event-selectors ' [ { "Name": "Log all management events except KMS events", "FieldSelectors": [ { "Field": "eventCategory", "Equals": ["Management"] }, { "Field": "eventSource", "NotEquals": ["kms.amazonaws.com"] } ] } ]' ``` Das Beispiel gibt die für den Trail konfigurierten fortschrittlichen Ereignisauswahlen zurück. ``` { "AdvancedEventSelectors": [ { "Name": "Log all management events except KMS events", "FieldSelectors": [ { "Field": "eventCategory", "Equals": [ "Management" ] }, { "Field": "eventSource", "NotEquals": [ "kms.amazonaws.com" ] } ] } ], "TrailARN": "arn:aws:cloudtrail:us-east-2:123456789012:trail/TrailName" } ``` Um die Protokollierung ausgeschlossener Ereignisse erneut in einen Trail zu starten, entfernen Sie den `eventSource`-Selektor, wie im folgenden Befehl gezeigt. ``` aws cloudtrail put-event-selectors --trail-name TrailName \ --advanced-event-selectors ' [ { "Name": "Log all management events", "FieldSelectors": [ { "Field": "eventCategory", "Equals": ["Management"] } ] } ]' ``` Im nächsten Beispiel wird ein erweiterter Event-Selektor für einen Trail erstellt, der so benannt ist*TrailName*, dass er Verwaltungsereignisse mit Schreibschutz und Schreibschutz (durch Weglassen des `readOnly` Selektors) einschließt, Amazon RDS Data API-Verwaltungsereignisse jedoch ausschließt. Um Amazon RDS Data API-Verwaltungsereignisse auszuschließen, geben Sie die Amazon RDS-Daten-API-Ereignisquelle im Zeichenfolgenwert für das `eventSource` Feld an:`rdsdata.amazonaws.com`. Wenn Sie sich dafür entscheiden, Verwaltungsereignisse nicht zu protokollieren, werden Amazon RDS Data API-Verwaltungsereignisse nicht protokolliert, und Sie können die Einstellungen für die Amazon RDS Data API-Ereignisprotokollierung nicht ändern. Um wieder mit der Protokollierung von Amazon RDS Data API-Verwaltungsereignissen in einem Trail zu beginnen, entfernen Sie den `eventSource` Selektor und führen Sie den Befehl erneut aus. ``` aws cloudtrail put-event-selectors --trail-name TrailName \ --advanced-event-selectors ' [ { "Name": "Log all management events except Amazon RDS Data API management events", "FieldSelectors": [ { "Field": "eventCategory", "Equals": ["Management"] }, { "Field": "eventSource", "NotEquals": ["rdsdata.amazonaws.com"] } ] } ]' ``` Das Beispiel gibt die für den Trail konfigurierten fortschrittlichen Ereignisauswahlen zurück. ``` { "AdvancedEventSelectors": [ { "Name": "Log all management events except Amazon RDS Data API management events", "FieldSelectors": [ { "Field": "eventCategory", "Equals": [ "Management" ] }, { "Field": "eventSource", "NotEquals": [ "rdsdata.amazonaws.com" ] } ] } ], "TrailARN": "arn:aws:cloudtrail:us-east-2:123456789012:trail/TrailName" } ``` Um die Protokollierung ausgeschlossener Ereignisse erneut in einen Trail zu starten, entfernen Sie den `eventSource`-Selektor, wie im folgenden Befehl gezeigt. ``` aws cloudtrail put-event-selectors --trail-name TrailName \ --advanced-event-selectors ' [ { "Name": "Log all management events", "FieldSelectors": [ { "Field": "eventCategory", "Equals": ["Management"] } ] } ]' ``` #### Beispiele: Protokollierung von Verwaltungsereignissen für Trails mithilfe einfacher Event-Selektoren Führen Sie den Befehl `put-event-selectors` aus, um Ihren Trail für die Protokollierung von Verwaltungsereignissen zu konfigurieren. Im folgenden Beispiel wird gezeigt, wie Sie den Trail so konfigurieren, dass alle Verwaltungsereignisse für zwei S3-Objekte eingeschlossen werden. Sie können zwischen 1 und 5 Ereignisselektoren für einen Trail angeben. Sie können zwischen 1 und 250 Datenressourcen für einen Trail festlegen. **Anmerkung** Die maximale Anzahl der S3-Datenressourcen beträgt 250, unabhängig von der Anzahl der Ereignisauswahlen. ``` aws cloudtrail put-event-selectors --trail-name TrailName --event-selectors '[{ "ReadWriteType": "All", "IncludeManagementEvents":true, "DataResources": [{ "Type": "AWS::S3::Object", "Values": ["arn:aws:s3:::amzn-s3-demo-bucket/prefix", "arn:aws:s3:::amzn-s3-demo-bucket2/prefix2"] }] }]' ``` Das folgende Beispiel gibt die für den Trail konfigurierte Ereignisauswahl zurück. ``` { "TrailARN": "arn:aws:cloudtrail:us-east-1:111122223333:trail/TrailName", "EventSelectors": [ { "ReadWriteType": "All", "IncludeManagementEvents": true, "DataResources": [ { "Type": "AWS::S3::Object", "Values": [ "arn:aws:s3:::amzn-s3-demo-bucket/prefix", "arn:aws:s3:::amzn-s3-demo-bucket2/prefix2", ] } ], "ExcludeManagementEventSources": [] } ] } ``` Um Ereignisse AWS Key Management Service (AWS KMS) aus den Protokollen eines Trails auszuschließen, führen Sie den `put-event-selectors` Befehl aus und fügen Sie das Attribut `ExcludeManagementEventSources` mit dem Wert hinzu. `kms.amazonaws.com` Im folgenden Beispiel wird eine Ereignisauswahl für einen Trail erstellt, der so benannt ist, *TrailName* dass er Verwaltungsereignisse mit Schreibschutz und Schreibschutz enthält, Ereignisse jedoch ausschließt. AWS KMS Da eine große Anzahl von Ereignissen generiert werden AWS KMS kann, möchte der Benutzer in diesem Beispiel möglicherweise Ereignisse einschränken, um die Kosten eines Trails zu senken. ``` aws cloudtrail put-event-selectors --trail-name TrailName --event-selectors '[{"ReadWriteType": "All","ExcludeManagementEventSources": ["kms.amazonaws.com"],"IncludeManagementEvents": true}]' ``` Das Beispiel gibt die für den Trail konfigurierte Ereignisauswahl zurück. ``` { "TrailARN": "arn:aws:cloudtrail:us-east-1:111122223333:trail/TrailName", "EventSelectors": [ { "ReadWriteType": "All", "IncludeManagementEvents": true, "DataResources": [], "ExcludeManagementEventSources": [ "kms.amazonaws.com" ] } ] } ``` Um Verwaltungsereignisse der Amazon RDS Data API aus den Protokollen eines Trails auszuschließen, führen Sie den `put-event-selectors` Befehl aus und fügen Sie das Attribut `ExcludeManagementEventSources` mit dem Wert hinzu`rdsdata.amazonaws.com`. Das folgende Beispiel erstellt einen Event-Selector für einen Trail, der so benannt ist, *TrailName* dass er Verwaltungsereignisse mit Schreibschutz und Schreibschutz enthält, aber Amazon RDS Data API-Verwaltungsereignisse ausschließt. Da die Amazon RDS Data API eine große Anzahl von Verwaltungsereignissen generieren kann, möchte der Benutzer in diesem Beispiel möglicherweise Ereignisse einschränken, um die Kosten eines Trails zu verwalten. ``` { "TrailARN": "arn:aws:cloudtrail:us-east-1:111122223333:trail/TrailName", "EventSelectors": [ { "ReadWriteType": "All", "IncludeManagementEvents": true, "DataResources": [], "ExcludeManagementEventSources": [ "rdsdata.amazonaws.com" ] } ] } ``` Um wieder mit der Protokollierung AWS KMS oder von Amazon RDS Data API-Verwaltungsereignissen in einem Trail zu beginnen, übergeben Sie eine leere Zeichenfolge als Wert von`ExcludeManagementEventSources`, wie im folgenden Befehl gezeigt. ``` aws cloudtrail put-event-selectors --trail-name TrailName --event-selectors '[{"ReadWriteType": "All","ExcludeManagementEventSources": [],"IncludeManagementEvents": true}]' ``` Um relevante AWS KMS Ereignisse in einem Trail wie `Delete` und zu protokollieren `Disable``ScheduleKey`, aber umfangreiche AWS KMS Ereignisse wie, und auszuschließen `Encrypt` `Decrypt``GenerateDataKey`, protokollieren Sie Verwaltungsereignisse nur mit Schreibzugriff und behalten Sie die Standardeinstellung zum Protokollieren von AWS KMS Ereignissen bei, wie im folgenden Beispiel gezeigt. ``` aws cloudtrail put-event-selectors --trail-name TrailName --event-selectors '[{"ReadWriteType": "WriteOnly","ExcludeManagementEventSources": [],"IncludeManagementEvents": true}]' ``` ### Beispiele: Protokollieren von Verwaltungsereignissen für Ereignisdatenspeicher Sie protokollieren Verwaltungsereignisse für Ereignisdatenspeicher, indem Sie erweiterte Ereignisauswahlen konfigurieren. Die folgenden erweiterten Ereignisauswahlfelder werden für die Protokollierung von Verwaltungsereignissen in Ereignisdatenspeichern unterstützt: + **`eventCategory`**— Sie müssen den `eventCategory` Wert auf „Gleich“ festlegen, `Management` um Verwaltungsereignisse zu protokollieren. Dies ist ein Pflichtfeld. + **`readOnly`**— `readOnly` kann auf den `Equals` Wert `true` oder gesetzt werden`false`. Wenn dieser Wert auf gesetzt ist`false`, protokolliert der Ereignisdatenspeicher Verwaltungsereignisse, die nur auf Schreibzugriff beschränkt sind. Schreibgeschützte Verwaltungsereignisse sind Ereignisse, die den Status einer Ressource nicht ändern, wie z. B. OR-Ereignisse. `Get*` `Describe*` Schreibereignisse fügen Ressourcen, Attribute oder Artefakte hinzu, ändern oder löschen sie, wie z. B. `Put*`-, `Delete*`- oder `Write*`-Ereignisse. Um sowohl **Lese** - als auch **Schreibereignisse** zu protokollieren, fügen Sie keinen Selektor hinzu. `readOnly` + **`eventName`**— `eventName` kann einen beliebigen Operator verwenden. Sie können ihn verwenden, um jedes Verwaltungsereignis wie `CreateAccessPoint` oder ein- oder auszuschließen`GetAccessPoint`. Sie können einen beliebigen Operator für dieses Feld verwenden. + **`userIdentity.arn`**— Ereignisse für Aktionen, die von bestimmten IAM-Identitäten ausgeführt werden, einschließen oder ausschließen. Weitere Informationen finden Sie unter [CloudTrail -Element userIdentity](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/cloudtrail-event-reference-user-identity.html). + **`sessionCredentialFromConsole`**— Ereignisse, die aus einer AWS-Managementkonsole Sitzung stammen, einschließen oder ausschließen. Dieses Feld kann auf **Gleich** oder `NotEquals` mit einem Wert von `true` gesetzt werden. + **`eventSource`**— Sie können es verwenden, um bestimmte Ereignisquellen ein- oder auszuschließen. Das `eventSource` ist in der Regel eine Kurzform des Dienstnamens ohne Leerzeichen (Plus)`.amazonaws.com`. Sie könnten beispielsweise festlegen `eventSource``Equals`, dass nur Amazon EC2-Managementereignisse protokolliert werden. `ec2.amazonaws.com` + **`eventType`**— Der [EventType](cloudtrail-event-reference-record-contents.md#ct-event-type), der ein- oder ausgeschlossen werden soll. Sie können dieses Feld beispielsweise so einstellen, dass `NotEquals` `AwsServiceEvent` [AWS-Service Ereignisse](non-api-aws-service-events.md) ausgeschlossen werden. Sie können einen beliebigen Operator für dieses Feld verwenden. Führen Sie den Befehl „**get-event-data-store**“ aus, um zu überprüfen, ob Ihr Ereignisdatenspeicher Verwaltungsereignisse enthält. ``` aws cloudtrail get-event-data-store --event-data-store arn:aws:cloudtrail:us-east-1:12345678910:eventdatastore/EXAMPLE-f852-4e8f-8bd1-bcf6cEXAMPLE ``` Nachfolgend finden Sie eine Beispielantwort. Die Erstellung und die letzten aktualisierten Zeiten sind im `timestamp`-Format. ``` { "EventDataStoreArn": "arn:aws:cloudtrail:us-east-1:12345678910:eventdatastore/EXAMPLE-f852-4e8f-8bd1-bcf6cEXAMPLE", "Name": "myManagementEvents", "Status": "ENABLED", "AdvancedEventSelectors": [ { "Name": "Management events selector", "FieldSelectors": [ { "Field": "eventCategory", "Equals": [ "Management" ] } ] } ], "MultiRegionEnabled": true, "OrganizationEnabled": false, "BillingMode": "FIXED_RETENTION_PRICING", "RetentionPeriod": 2557, "TerminationProtectionEnabled": true, "CreatedTimestamp": "2023-02-04T15:56:27.418000+00:00", "UpdatedTimestamp": "2023-02-04T15:56:27.544000+00:00" } ``` Um einen Ereignisdatenspeicher zu erstellen, der alle Verwaltungsereignisse enthält, führen Sie den Befehl „**create-event-data-store**“ aus. Sie müssen keine erweiterten Ereignisselektoren angeben, um alle Verwaltungsereignisse einzubeziehen. ``` aws cloudtrail create-event-data-store --name my-event-data-store --retention-period 90\ ``` Nachfolgend finden Sie eine Beispielantwort. ``` { "EventDataStoreArn": "arn:aws:cloudtrail:us-east-1:12345678910:eventdatastore/EXAMPLE-f852-4e8f-8bd1-bcf6cEXAMPLE", "Name": "my-event-data-store", "Status": "CREATED", "AdvancedEventSelectors": [ { "Name": "Default management events", "FieldSelectors": [ { "Field": "eventCategory", "Equals": [ "Management" ] } ] } ], "MultiRegionEnabled": true, "OrganizationEnabled": false, "BillingMode": "EXTENDABLE_RETENTION_PRICING", "RetentionPeriod": 90, "TerminationProtectionEnabled": true, "CreatedTimestamp": "2023-11-13T16:41:57.224000+00:00", "UpdatedTimestamp": "2023-11-13T16:41:57.357000+00:00" } ``` **Topics** + [Beispiel: AWS KMS Managementereignisse ausschließen](#log-mgmt-events-eds-examples-kms) + [Beispiel: Amazon RDS-Verwaltungsereignisse ausschließen](#log-mgmt-events-eds-examples-rds) + [Beispiel: Schließen Sie AWS-Service Ereignisse und Ereignisse aus Sitzungen aus AWS-Managementkonsole](#log-mgmt-events-eds-examples-service) + [Beispiel: Schließt Verwaltungsereignisse für eine bestimmte IAM-Identität aus](#log-mgmt-events-eds-examples-useridentity) #### Beispiel: AWS KMS Managementereignisse ausschließen Um einen Ereignisdatenspeicher zu erstellen, der Ereignisse AWS Key Management Service (AWS KMS) ausschließt, führen Sie den `create-event-data-store` Befehl aus und geben Sie an, dass `eventSource` der Wert ungleich `kms.amazonaws.com` ist. Im folgenden Beispiel wird ein Ereignisdatenspeicher erstellt, der Verwaltungsereignisse mit Schreibschutz und Schreibschutz enthält, Ereignisse jedoch ausschließt. AWS KMS ``` aws cloudtrail create-event-data-store --name event-data-store-name --retention-period 90 --advanced-event-selectors '[ { "Name": "Management events selector", "FieldSelectors": [ {"Field": "eventCategory","Equals": ["Management"]}, {"Field": "eventSource","NotEquals": ["kms.amazonaws.com"]} ] } ]' ``` Nachfolgend finden Sie eine Beispielantwort. ``` { "EventDataStoreArn": "arn:aws:cloudtrail:us-east-1:12345678910:eventdatastore/EXAMPLE-f852-4e8f-8bd1-bcf6cEXAMPLE", "Name": "event-data-store-name", "Status": "CREATED", "AdvancedEventSelectors": [ { "Name": "Management events selector", "FieldSelectors": [ { "Field": "eventCategory", "Equals": [ "Management" ] }, { "Field": "eventSource", "NotEquals": [ "kms.amazonaws.com" ] } ] } ], "MultiRegionEnabled": true, "OrganizationEnabled": false, "BillingMode": "EXTENDABLE_RETENTION_PRICING", "RetentionPeriod": 90, "TerminationProtectionEnabled": true, "CreatedTimestamp": "2023-11-13T17:02:02.067000+00:00", "UpdatedTimestamp": "2023-11-13T17:02:02.241000+00:00" } ``` #### Beispiel: Amazon RDS-Verwaltungsereignisse ausschließen Um einen Ereignisdatenspeicher zu erstellen, der Verwaltungsereignisse der Amazon RDS Data API ausschließt, führen Sie den `create-event-data-store` Befehl aus und geben Sie an, dass `eventSource` dies ungleich `rdsdata.amazonaws.com` ist. Im folgenden Beispiel wird ein Ereignisdatenspeicher erstellt, bei dem Verwaltungsereignisse vom Typ „Nur Lesen“ und „Nur Schreiben“ ein- aber Daten-API-Ereignisse von Amazon RDS ausgeschlossen werden. ``` aws cloudtrail create-event-data-store --name event-data-store-name --retention-period 90 --advanced-event-selectors '[ { "Name": "Management events selector", "FieldSelectors": [ {"Field": "eventCategory","Equals": ["Management"]}, {"Field": "eventSource","NotEquals": ["rdsdata.amazonaws.com"]} ] } ]' ``` Nachfolgend finden Sie eine Beispielantwort. ``` { "EventDataStoreArn": "arn:aws:cloudtrail:us-east-1:12345678910:eventdatastore/EXAMPLE-f852-4e8f-8bd1-bcf6cEXAMPLE", "Name": "my-event-data-store", "Status": "CREATED", "AdvancedEventSelectors": [ { "Name": "Management events selector", "FieldSelectors": [ { "Field": "eventCategory", "Equals": [ "Management" ] }, { "Field": "eventSource", "NotEquals": [ "rdsdata.amazonaws.com" ] } ] } ], "MultiRegionEnabled": true, "OrganizationEnabled": false, "BillingMode": "EXTENDABLE_RETENTION_PRICING", "RetentionPeriod": 90, "TerminationProtectionEnabled": true, "CreatedTimestamp": "2023-11-13T17:02:02.067000+00:00", "UpdatedTimestamp": "2023-11-13T17:02:02.241000+00:00" } ``` #### Beispiel: Schließen Sie AWS-Service Ereignisse und Ereignisse aus Sitzungen aus AWS-Managementkonsole Im folgenden Beispiel wird ein Ereignisdatenspeicher erstellt, der Verwaltungsereignisse protokolliert, Ereignisse und AWS-Service Ereignisse, die aus AWS-Managementkonsole Sitzungen stammen, jedoch ausschließt. ``` aws cloudtrail create-event-data-store --name event-data-store-name --advanced-event-selectors '[ { "Name": "Exclude AWS-Service and console events", "FieldSelectors": [ {"Field": "eventCategory","Equals": ["Management"]}, {"Field": "eventType","NotEquals": ["AwsServiceEvent"]}, {"Field": "sessionCredentialFromConsole","NotEquals": ["true"]} ] } ]' ``` Nachfolgend finden Sie eine Beispielantwort. ``` { "EventDataStoreArn": "arn:aws:cloudtrail:us-east-1:12345678910:eventdatastore/EXAMPLE-f852-4e8f-8bd1-bcf6cEXAMPLE", "Name": "event-data-store-name", "Status": "CREATED", "AdvancedEventSelectors": [ { "Name": "Exclude AWS-Service and console events", "FieldSelectors": [ { "Field": "eventCategory", "Equals": [ "Management" ] }, { "Field": "eventType", "NotEquals": [ "AwsServiceEvent" ] }, { "Field": "sessionCredentialFromConsole", "NotEquals": [ "true" ] } ] } ], "MultiRegionEnabled": true, "OrganizationEnabled": false, "BillingMode": "EXTENDABLE_RETENTION_PRICING", "RetentionPeriod": 366, "TerminationProtectionEnabled": true, "CreatedTimestamp": "2024-11-13T17:02:02.067000+00:00", "UpdatedTimestamp": "2024-11-13T17:02:02.241000+00:00" } ``` #### Beispiel: Schließt Verwaltungsereignisse für eine bestimmte IAM-Identität aus Im folgenden Beispiel wird ein Ereignisdatenspeicher erstellt, der Verwaltungsereignisse protokolliert, aber Ereignisse ausschließt, die von. `bucket-scanner-role` `userIdentity` ``` aws cloudtrail create-event-data-store --name event-data-store-name --advanced-event-selectors '[ { "Name": "Exclude events generated by bucket-scanner-role userIdentity", "FieldSelectors": [ {"Field": "eventCategory","Equals": ["Management"]}, {"Field": "userIdentity.arn","NotStartsWith": ["arn:aws:sts::123456789012:assumed-role/bucket-scanner-role"]} ] } ]' ``` Nachfolgend finden Sie eine Beispielantwort. ``` { "EventDataStoreArn": "arn:aws:cloudtrail:us-east-1:123456789012:eventdatastore/EXAMPLE-f852-4e8f-8bd1-bcf6cEXAMPLE", "Name": "event-data-store-name", "Status": "CREATED", "AdvancedEventSelectors": [ { "Name": "Exclude events generated by bucket-scanner-role userIdentity", "FieldSelectors": [ { "Field": "eventCategory", "Equals": [ "Management" ] }, { "Field": "userIdentity.arn", "NotStartsWith": [ "arn:aws:sts::123456789012:assumed-role/bucket-scanner-role" ] } ] } ], "MultiRegionEnabled": true, "OrganizationEnabled": false, "BillingMode": "EXTENDABLE_RETENTION_PRICING", "RetentionPeriod": 366, "TerminationProtectionEnabled": true, "CreatedTimestamp": "2024-11-13T17:02:02.067000+00:00", "UpdatedTimestamp": "2024-11-13T17:02:02.241000+00:00" } ``` ## Protokollierung von Verwaltungsereignissen mit dem AWS SDKs Verwenden Sie den [GetEventSelectors](https://docs.aws.amazon.com/awscloudtrail/latest/APIReference/API_GetEventSelectors.html)Vorgang, um festzustellen, ob Ihr Trail Verwaltungsereignisse für einen Trail protokolliert. Sie können Ihre Trails so konfigurieren, dass sie Verwaltungsereignisse während des [PutEventSelectors](https://docs.aws.amazon.com/awscloudtrail/latest/APIReference/API_PutEventSelectors.html)Vorgangs protokollieren. Weitere Informationen finden Sie in der [AWS CloudTrail -API-Referenz](https://docs.aws.amazon.com/awscloudtrail/latest/APIReference/). Führen Sie den [GetEventDataStore](https://docs.aws.amazon.com/awscloudtrail/latest/APIReference/API_GetEventDataStore.html)Vorgang aus, um festzustellen, ob Ihr Ereignisdatenspeicher Verwaltungsereignisse enthält. Sie können Ihre Ereignisdatenspeicher so konfigurieren, dass sie Verwaltungsereignisse enthalten, indem Sie die [UpdateEventDataStore](https://docs.aws.amazon.com/awscloudtrail/latest/APIReference/API_UpdateEventDataStore.html)Operationen [CreateEventDataStore](https://docs.aws.amazon.com/awscloudtrail/latest/APIReference/API_CreateEventDataStore.html)oder ausführen. Weitere Informationen finden Sie unter [Erstellen, aktualisieren und verwalten Sie Ereignisdatenspeicher mit dem AWS CLI](lake-eds-cli.md) und der [AWS CloudTrail -API-Referenz](https://docs.aws.amazon.com/awscloudtrail/latest/APIReference/).