Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés. # Creación de un registro de seguimiento para una organización Si ha creado una organización en AWS Organizations, puede crear un registro que registre todos los eventos de todos los miembros Cuentas de AWS de esa organización. En ocasiones, esto se denomina *traza de organización*. La cuenta de administración de la organización puede asignar un [administrador delegado](cloudtrail-delegated-administrator.md) para que cree nuevos registros de seguimiento de la organización o administre los registros de seguimiento de la organización existentes. Para obtener más información acerca de cómo agregar un administrador delegado, consulte [Agregue un CloudTrail administrador delegado](cloudtrail-add-delegated-administrator.md). La cuenta de administración de la organización puede editar un registro de seguimiento existente en su cuenta y aplicarlo a una organización, lo que lo convertirá en un registro de seguimiento de la organización. La organización realiza un seguimiento de los eventos de registro de la cuenta de administración y de todas las cuentas miembro de la organización. Para obtener más información AWS Organizations, consulte [Terminología y conceptos de Organizations](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_getting-started_concepts.html). **nota** Debe iniciar sesión con la cuenta de administración o la de un administrador delegado asociado a una organización para poder crear un registro de seguimiento de la organización. También debe tener [permisos suficientes](creating-an-organizational-trail-prepare.md#org_trail_permissions) para que el usuario o el rol de la cuenta de administración o la de administrador delegado pueda crear el registro de seguimiento. Si no tiene permisos suficientes, no podrá ver la opción para aplicar un registro de seguimiento a una organización. Todos los registros organizativos creados con la consola son registros organizativos multirregionales que registran los eventos de las cuentas [habilitadas](https://docs.aws.amazon.com/accounts/latest/reference/manage-acct-regions.html#manage-acct-regions-enable-organization) Regiones de AWS en cada miembro de la organización. Para registrar los eventos en todas las AWS particiones de su organización, cree un registro de organización multirregional en cada partición. Puede crear un registro de seguimiento de la organización de una sola región o de varias regiones mediante la AWS CLI. Si crea un registro de seguimiento de una sola región, solo registrará la actividad en la Región de AWS del registro de seguimiento (también denominada región de *origen*). Aunque la mayoría Regiones de AWS están habilitadas de forma predeterminada Cuenta de AWS, debe habilitar manualmente determinadas regiones (también denominadas *regiones de suscripción*). Para obtener información sobre qué regiones están habilitadas por defecto, consulte [Considerations before enabling and disabling Regions](https://docs.aws.amazon.com/accounts/latest/reference/manage-acct-regions.html#manage-acct-regions-considerations) en la *Guía de referencia de AWS Account Management *. Para ver la lista de regiones CloudTrail compatibles, consulte[CloudTrail regiones compatibles](cloudtrail-supported-regions.md). Al crear un registro de seguimiento de la organización, se creará una copia con el nombre que le asigne en las cuentas de miembros que pertenezcan a su organización. + Si el registro de seguimiento de la organización corresponde a **una sola región** y su región de origen **no es una región optativa**, se crea una copia en la región de origen del registro de seguimiento de la organización en cada cuenta de miembro. + Si el registro de seguimiento de la organización corresponde a **una sola región** y su región de origen **es una región optativa**, se crea una copia en la región de origen del registro de seguimiento de la organización en las cuentas de miembros que tengan activada esa región. + Si la ruta organizativa es **multirregional y la región** de origen de la ruta **no **es** una región opcional**, se crea una copia de la ruta en cada una de las cuentas habilitadas Región de AWS de cada miembro. Cuando una cuenta de miembro habilita una región optativa, tras la activación de dicha región se crea una copia del registro de seguimiento multirregión en la nueva región optativa habilitada. + Si el registro de la organización es **multirregional y la región** de origen **es** **una región opcional**, las cuentas de los miembros no enviarán la actividad al registro de la organización a menos que opten por hacerlo en el Región de AWS lugar en el que se creó el registro multirregional. Por ejemplo, si crea un registro de seguimiento multirregión y elige la región de Europa (España) como región de origen dicho registro, solo las cuentas de miembros que hayan habilitado la región de Europa (España) en su cuenta enviarán su actividad al registro de seguimiento de la organización. **nota** CloudTrail crea registros organizativos en las cuentas de los miembros incluso si se produce un error en la validación de un recurso. Ejemplos de errores de validación: Una política de buckets de Amazon S3 incorrecta Una política de temas de Amazon SNS incorrecta incapacidad para realizar envíos a un grupo de CloudWatch registros Permisos insuficientes para cifrar mediante una clave de KMS Una cuenta de miembro con CloudTrail permisos puede ver cualquier error de validación del registro de una organización consultando la página de detalles del registro en la CloudTrail consola o ejecutando el AWS CLI [https://docs.aws.amazon.com/cli/latest/reference/cloudtrail/get-trail-status.html](https://docs.aws.amazon.com/cli/latest/reference/cloudtrail/get-trail-status.html)comando. Los usuarios con CloudTrail permisos en las cuentas de los miembros pueden ver los registros de la organización cuando inician sesión en la CloudTrail consola desde sus Cuentas de AWS cuentas o cuando ejecutan AWS CLI comandos como`describe-trails`. Sin embargo, los usuarios de cuentas de miembros no tienen permisos suficientes para eliminar los registros de seguimiento de la organización, activar o desactivar el registro, cambiar los tipos de eventos registrados o alterar los registros de seguimiento de la organización de cualquier otro modo. Al crear un registro de la organización en la consola, CloudTrail crea un [rol vinculado a un servicio](using-service-linked-roles.md) para realizar tareas de registro en las cuentas de los miembros de la organización. Este rol tiene un nombre **AWSServiceRoleForCloudTrail**y es necesario CloudTrail para registrar los eventos de una organización. Si Cuenta de AWS se agrega un elemento a una organización, se le agregan el registro de la organización y el rol vinculado al servicio Cuenta de AWS, y el registro de esa cuenta se inicia automáticamente en el registro de la organización. Si Cuenta de AWS se elimina un elemento de una organización, el registro de la organización y el rol vinculado al servicio se eliminan de la organización Cuenta de AWS que ya no forma parte de la organización. Sin embargo, los archivos de registros de la cuenta eliminada creados antes de la eliminación de la cuenta permanecerán en el bucket de Amazon S3, donde se almacenan los archivos de registros del traza. Si la cuenta de administración de una AWS Organizations organización crea un registro de la organización, pero luego se elimina como cuenta de administración de la organización, cualquier registro de la organización creado con esa cuenta pasa a ser un registro no organizacional. En el siguiente ejemplo, la cuenta de administración de la organización, 1111, crea un registro con el nombre {{MyOrganizationTrail}} de la organización. {{o-exampleorgid}} El registro de seguimiento registra la actividad de todas las cuentas de la organización en el mismo bucket de Amazon S3. Todas las cuentas de la organización pueden ver {{MyOrganizationTrail}} en su lista de registros, pero las cuentas de los miembros no pueden eliminar ni modificar el registro de la organización. Solo la cuenta de administración o la de administrador delegado pueden modificar o eliminar los registros de seguimiento de la organización. Solo la cuenta de administración puede eliminar una cuenta miembro de una organización. Del mismo modo, de forma predeterminada, solo la cuenta de administración tiene acceso al bucket de Amazon S3 para el registro de seguimiento y los registros que contiene. La estructura de grupos de alto nivel para los archivos de registro contiene una carpeta con el nombre del identificador de la organización y subcarpetas con el nombre de la cuenta IDs de cada cuenta de la organización. Los eventos de cada cuenta miembro se registran en la carpeta correspondiente al ID de la cuenta miembro. Si la cuenta de miembro 444444444444 se elimina de la organización {{MyOrganizationTrail}} y el rol vinculado al servicio ya no aparece en la AWS cuenta 444444444444 y el registro de la organización no registra ningún otro evento de esa cuenta. Sin embargo, la carpeta 444444444444 permanece en el bucket de Amazon S3, con todos los registros creados antes de la eliminación de la cuenta de la organización. ![Resumen conceptual de una organización de ejemplo en Organizaciones.](http://docs.aws.amazon.com/es_es/awscloudtrail/latest/userguide/images/organization-trail.png) En este ejemplo, el ARN del registro de seguimiento creado en la cuenta de administración es `aws:cloudtrail:us-east-2:111111111111:trail/{{MyOrganizationTrail}}`. Este ARN también es el ARN del registro de seguimiento en todas las cuentas miembro. Los registros de seguimiento de organización son similares a los normales en muchos aspectos. Puede crear varios registros de seguimiento para su organización y elegir si desea crear uno de organización en varias regiones o en una sola región, y qué tipo de eventos desea que se guarden en el registro de seguimiento de organización, al igual que en cualquier otro registro de seguimiento. Sin embargo, hay algunas diferencias. Por ejemplo, cuando crea un registro en la consola y decide si desea registrar los eventos de datos para los buckets o AWS Lambda funciones de Amazon S3, los únicos recursos que aparecen en la CloudTrail consola son los de la cuenta de administración, pero puede añadir los recursos ARNs for en las cuentas de los miembros. Los eventos de datos para los recursos de cuenta miembro especificados se registran sin tener que configurar manualmente el acceso entre cuentas a dichos recursos. Para obtener más información sobre el registro de eventos de administración, eventos de Insights y eventos de datos, consulte [Registro de eventos de administración](logging-management-events-with-cloudtrail.md), [Registro de eventos de datos](logging-data-events-with-cloudtrail.md) y [Trabajar con CloudTrail Insights](logging-insights-events-with-cloudtrail.md). **nota** En la consola, cree un registro de seguimiento multirregión. Se recomienda registrar la actividad en todas las regiones habilitadas de su región Cuenta de AWS, ya que le ayuda a mantener su AWS entorno más seguro. Para crear un registro de seguimiento de una sola región, [utilice la AWS CLI](cloudtrail-create-and-update-a-trail-by-using-the-aws-cli-create-trail.md#cloudtrail-create-and-update-a-trail-by-using-the-aws-cli-examples-single). Cuando consultas los eventos de una organización en la que has iniciado sesión en el **historial** de eventos AWS Organizations, solo podrás ver los eventos Cuenta de AWS con los que hayas iniciado sesión. Por ejemplo, si ha iniciado sesión con la cuenta de administración de la organización, en **Event history** (Historial de eventos) se muestran los eventos de administración de los últimos 90 días para la cuenta de administración. Los eventos de la cuenta miembro de la organización no se muestran en **Event history** (Historial de eventos) para la cuenta de administración. Para ver los eventos de la cuenta miembro en **Event history** (Historial de eventos), inicie sesión con la cuenta miembro. Puede configurar otros AWS servicios para analizar más a fondo los datos de eventos recopilados en los CloudTrail registros de una organización y actuar en función de ellos, del mismo modo que lo haría con cualquier otro registro. Por ejemplo, puede analizar los datos en un registro de seguimiento de organización mediante Amazon Athena. Para obtener más información, consulte [AWS integraciones de servicios con registros CloudTrail](cloudtrail-aws-service-specific-topics.md#cloudtrail-aws-service-specific-topics-integrations). **Topics** + [Cambio de registros de seguimiento de cuentas de miembros a registros de seguimiento de la organización](creating-an-organizational-trail-best-practice.md) + [Prepararse a fin de crear un registro de seguimiento para la organización](creating-an-organizational-trail-prepare.md) + [Creación de un registro de seguimiento para la organización en la consola](creating-an-organizational-trail-in-the-console.md) + [Crear un registro para una organización con AWS CLI](cloudtrail-create-and-update-an-organizational-trail-by-using-the-aws-cli.md) + [Solución de problemas con un registro de seguimiento de la organización](cloudtrail-troubleshooting.md)