Enriquecer los eventos de CloudTrail mediante la agregación de etiquetas de recurso y claves de condición global de IAM

Puede enriquecer los eventos de administración y de datos de CloudTrail si agrega claves de etiquetas de recursos, claves de etiqueta de entidad principal y claves de condición global de IAM al crear o actualizar un almacén de datos de eventos. Esto le permite clasificar, buscar y analizar los eventos de CloudTrail en función del contexto empresarial, como la asignación de costos y la gestión financiera, las operaciones y los requisitos de seguridad de los datos. Puede analizar los eventos mediante la ejecución de consultas en CloudTrail Lake. También puede elegir federar su almacén de datos de eventos y ejecutar consultas en Amazon Athena. Puede agregar claves de etiquetas de recursos y claves de condición global de IAM a un almacén de datos de eventos mediante la consola de CloudTrail, AWS CLI y SDK.

Cuando agregue claves de etiqueta de recurso para enriquecer los eventos, CloudTrail incluirá las claves de las etiquetas seleccionadas asociadas a los recursos que han participado en la llamada a la API.

Cuando agregue claves de condición global de IAM a un almacén de datos de eventos, CloudTrail incluirá información sobre las claves de condición seleccionadas que se evaluaron durante el proceso de autorización, como los detalles adicionales sobre la entidad principal, la sesión y la propia solicitud.

Después de agregar las claves de etiquetas de recursos o las claves de condición de IAM, CloudTrail incluye un campo eventContext en los eventos de CloudTrail que ofrece la información contextual seleccionada para la acción de la API.

Existen algunas excepciones en las que el evento no incluirá el campo eventContext, como las siguientes:

Etiquetas de recursos compatibles de Servicios de AWS

Todas las etiquetas de recursos compatibles de Servicios de AWS. Para obtener más información, consulte Servicios que admiten AWS Resource Groups Tagging API.

Actualizaciones de etiquetas de recursos en CloudTrail para los eventos enriquecidos

Cuando se configura para ello, CloudTrail captura información sobre las etiquetas de recursos y las utiliza para ofrecer información en los eventos enriquecidos. Al trabajar con etiquetas de recursos, existen ciertas condiciones en las que es posible que una etiqueta de recurso no se refleje con precisión en el momento en que el sistema solicita los eventos. Durante el funcionamiento estándar, las etiquetas aplicadas en el momento de la creación del recurso están siempre presentes y tendrán un retraso mínimo o nulo. Sin embargo, se espera que los servicios que se encuentran a continuación retrasen los cambios en las etiquetas de recursos que aparecen en los eventos de CloudTrail:

Las interrupciones del servicio también pueden ocasionar demoras en las actualizaciones de la información de las etiquetas de recursos. En caso de que se produzca un retraso en la interrupción del servicio, los eventos posteriores de CloudTrail incluirán un campo addendum con información sobre el cambio en la etiqueta de recurso. Esta información adicional se utilizará según lo especificado para ofrecer eventos enriquecidos de CloudTrail.

Servicios de AWS compatibles con las claves de condición global de IAM

Los siguientes Servicios de AWS admiten claves de condición global de IAM para los eventos enriquecidos:

Claves de condición global de IAM compatibles para los eventos enriquecidos

En la siguiente tabla se enumeran las claves de condición global de IAM compatibles para los eventos enriquecidos de CloudTrail, con valores de muestra:

Ejemplos de evento

En el siguiente ejemplo, el campo eventContext incluye la clave de condición global de IAM aws:ViaAWSService con un valor de false, lo que indica que la llamada a la API no la realizó un Servicio de AWS.

{
    "eventVersion": "1.11",
    "userIdentity": {
        "type": "AssumedRole",
        "principalId": "ASIAIOSFODNN7EXAMPLE",
        "arn": "arn:aws:sts::123456789012:assumed-role/admin",
        "accountId": "123456789012",
        "accessKeyId": "ASIAIOSFODNN7EXAMPLE",
        "sessionContext": {
            "sessionIssuer": {
                "type": "Role",
                "principalId": "ASIAIOSFODNN7EXAMPLE",
                "arn": "arn:aws:iam::123456789012:role/admin",
                "accountId": "123456789012",
                "userName": "admin"
            },
            "attributes": {
                "creationDate": "2025-01-22T22:05:56Z",
                "mfaAuthenticated": "false"
            }
        }
    },
    "eventTime": "2025-01-22T22:06:16Z",
    "eventSource": "cloudtrail.amazonaws.com",
    "eventName": "GetTrailStatus",
    "awsRegion": "us-east-1",
    "sourceIPAddress": "192.168.0.0",
    "userAgent": "Mozilla/5.0 (Macintosh; Intel Mac OS X 10.15; rv:133.0) Gecko/20100101 Firefox/133.0",
    "requestParameters": {
        "name": "arn:aws:cloudtrail:us-east-1:123456789012:trail/myTrail"
    },
    "responseElements": null,
    "requestID": "d09c4dd2-5698-412b-be7a-example1a23",
    "eventID": "9cb5f426-7806-46e5-9729-exampled135d",
    "readOnly": true,
    "eventType": "AwsApiCall",
    "managementEvent": true,
    "recipientAccountId": "123456789012",
    "eventCategory": "Management",
    "tlsDetails": {
        "tlsVersion": "TLSv1.3",
        "cipherSuite": "TLS_AES_128_GCM_SHA256",
        "clientProvidedHostHeader": "cloudtrail.us-east-1.amazonaws.com"
    },
    "sessionCredentialFromConsole": "true",
    "eventContext": {
        "requestContext": {
            "aws:ViaAWSService": "false"
        },
        "tagContext": {}
    }
}