Cómo evalúa CloudTrail varias condiciones de un campo Ejemplos de la AWS CLI para filtrar de eventos de datos

Filtrado de los eventos de datos mediante selectores de eventos avanzados

En esta sección se describe cómo puede usar los selectores de eventos avanzados para crear selectores detallados para registrar los eventos de datos que pueden ayudar a controlar los costos al registrar solo los eventos de datos específicos que le interesen.

Por ejemplo:

Puede incluir o excluir llamadas a la API específicas si agrega un filtro en el campo eventName.
Puede incluir o excluir el registro de recursos específicos si agrega un filtro en el campo resources.ARN. Por ejemplo, si estuviera registrando eventos de datos de S3, podría excluir el registro del bucket de S3 de su registro de seguimiento.
Puede optar por registrar únicamente los eventos de solo escritura o los eventos de solo lectura si agrega un filtro en el campo readOnly.

En la siguiente tabla se describen los campos admitidos para filtrar los eventos de datos. Para obtener una lista de los campos compatibles para cada tipo de evento de CloudTrail, consulte AdvancedEventSelector en la Referencia de la API de AWS CloudTrail.

Campo	Obligatorio	Operadores válidos	Descripción
`eventCategory`	Sí	`Equals`	Este campo está configurado en `Data` para registrar eventos de datos.
`resources.type`	Sí	`Equals`	Este campo se usa para seleccionar el tipo de recurso cuyos eventos de datos quiere registrar. La tabla Eventos de datos muestra los valores posibles.
`readOnly`	No	`Equals`	Se trata de un campo opcional que se utiliza para incluir o excluir eventos de datos en función del valor `readOnly`. Un valor de `true` registra eventos de solo lectura. Un valor de `false` registra eventos de solo escritura. Si no agrega este campo, CloudTrail registra los eventos de lectura y escritura.
`eventName`	No	`EndsWith` `Equals` `NotEndsWith` `NotEquals` `NotStartsWith` `StartsWith`	Se trata de un campo opcional que se usa para filtrar e incluir o excluir cualquier evento de datos registrado en CloudTrail, como `PutBucket` o `GetSnapshotBlock`. Si utiliza la AWS CLI, puede especificar varios valores separando cada uno con una coma. Si utiliza la consola, puede especificar varios valores creando una condición para cada `eventName` que quiera usar para filtrar.
`resources.ARN`	No	`EndsWith` `Equals` `NotEndsWith` `NotEquals` `NotStartsWith` `StartsWith`	Se trata de un campo opcional que se utiliza para excluir o incluir eventos de datos de un recurso específico proporcionando el `resources.ARN`. Puede utilizar cualquier operador con `resources.ARN`, pero si utiliza `Equals` o `NotEquals`, el valor debe coincidir exactamente con el ARN de un recurso válido del `resources.type` especificado. Para registrar todos los eventos de datos de todos los objetos en un bucket de S3 específico, utilice el operador `StartsWith` e incluya solo el ARN del bucket como valor coincidente. Si utiliza la AWS CLI, puede especificar varios valores separando cada uno con una coma. Si utiliza la consola, puede especificar varios valores creando una condición para cada `resources.ARN` que quiera usar para filtrar.
`eventSource`	No	`EndsWith` `Equals` `NotEndsWith` `NotEquals` `NotStartsWith` `StartsWith`	Puede usarlo para incluir o excluir orígenes de eventos específicos. El `eventSource` suele ser una forma abreviada del nombre del servicio sin espacios más `.amazonaws.com`. Por ejemplo, puede establecer el `eventSource` `Equals` en `ec2.amazonaws.com` para registrar solo los eventos de datos de Amazon EC2.
`eventType`	No	`EndsWith` `Equals` `NotEndsWith` `NotEquals` `NotStartsWith` `StartsWith`	El eventType que se va a incluir o excluir. Por ejemplo, puede establecer este campo en `NotEquals` `AwsServiceEvent` a fin de excluir eventos de Servicio de AWS.
`sessionCredentialFromConsole`	No	`Equals` `NotEquals`	Incluya o excluya los eventos que se originan en una sesión de Consola de administración de AWS. Este campo se puede establecer como `Equals` o `NotEquals` con un valor de `true`.
`userIdentity.arn`	No	`EndsWith` `Equals` `NotEndsWith` `NotEquals` `NotStartsWith` `StartsWith`	Incluya o excluya eventos para las acciones realizadas por identidades de IAM específicas. Para obtener más información, consulte Elemento userIdentity de CloudTrail.

Para registrar eventos de datos mediante la consola de CloudTrail, elija la opción Eventos de datos y, a continuación, seleccione el Tipo de recurso que le interese al crear o actualizar un almacén de datos de eventos o registro de seguimiento. La tabla Eventos de datos muestra los posibles tipos de recurso que puede elegir en la consola de CloudTrail.

Selección del tipo de recurso del tema de SNS en la consola.

Para registrar eventos de datos con la AWS CLI, configure el parámetro --advanced-event-selector para establecer la eventCategory igual a Data y el valor resources.type igual al valor del tipo de recurso cuyos eventos de datos quiere registrar. La tabla Eventos de datos muestra los tipos de recursos disponibles.

Por ejemplo, si quiere registrar los eventos de datos de todos los grupos de identidades de Cognito, debe configurar el parámetro --advanced-event-selectors como se muestra a continuación:


--advanced-event-selectors '[
    {
       "Name": "Log Cognito data events on Identity pools",
       "FieldSelectors": [
         { "Field": "eventCategory", "Equals": ["Data"] },
         { "Field": "resources.type", "Equals": ["AWS::Cognito::IdentityPool"] }
       ]
     }
]'

El ejemplo anterior registra todos los eventos de datos de Cognito en los grupos de identidades. Puede refinar aún más los selectores de eventos avanzados para filtrar por los campos eventName, readOnly y resources.ARN y registrar eventos específicos que le interesen o excluir los que no le interesen.

Puede configurar los selectores de eventos avanzados para filtrar eventos de datos en función de varios campos. Por ejemplo, puede configurar selectores de eventos avanzados para registrar todas las llamadas a las API PutObject y DeleteObject de Amazon S3, pero excluir el registro de eventos de un bucket de S3 específico, como se muestra en el siguiente ejemplo. Sustituya amzn-s3-demo-bucket por el nombre de su bucket.


--advanced-event-selectors
'[
  {
    "Name": "Log PutObject and DeleteObject events for all but one bucket",
    "FieldSelectors": [
      { "Field": "eventCategory", "Equals": ["Data"] },
      { "Field": "resources.type", "Equals": ["AWS::S3::Object"] },
      { "Field": "eventName", "Equals": ["PutObject","DeleteObject"] },
      { "Field": "resources.ARN", "NotStartsWith": ["arn:aws:s3:::amzn-s3-demo-bucket/"] }
    ]
  }
]'

También puede incluir varias condiciones para un campo. Para obtener información sobre cómo se evalúan varias condiciones, consulte Cómo evalúa CloudTrail varias condiciones de un campo.

Puede utilizar los selectores de eventos avanzados para registrar tanto eventos de administración como de datos. Para registrar los eventos de datos para varios tipos de recursos, agregue una instrucción del selector de campos para cada tipo de recurso cuyos eventos de datos quiera registrar.

nota

Los registros de seguimiento pueden usar selectores de eventos avanzados básicos, pero no ambos. Si aplica selectores de eventos avanzados a un registro de seguimiento, se sobrescriben todos los selectores de eventos básicos existentes.

Los selectores no admiten el uso de caracteres comodín como *. Para hacer coincidir varios valores con una sola condición, puede usar StartsWith, EndsWith, NotStartsWith o NotEndsWith a fin de hacer coincidir de manera explícita el principio o el final del campo de evento.

Temas

Cómo evalúa CloudTrail varias condiciones de un campo
Ejemplos de la AWS CLI para filtrar de eventos de datos

Cómo evalúa CloudTrail varias condiciones de un campo

En el caso de los selectores de eventos avanzados, CloudTrail evalúa varias condiciones de un campo de la siguiente manera:

Los operadores DESELECT se agrupan con AND. Si se cumple alguna de las condiciones del operador DESELECT, el evento no se entrega. Estos son los operadores DESELECT válidos para los selectores de eventos avanzados:
- NotEndsWith
- NotEquals
- NotStartsWith
Los operadores SELECT se agrupan con OR. Estos son los operadores SELECT válidos para los selectores de eventos avanzados:
- EndsWith
- Equals
- StartsWith
Las combinaciones de operadores SELECT y DESELECT siguen las reglas anteriores y ambos grupos combinan con AND.

Ejemplo que muestra varias condiciones para el campo `resources.ARN`

En el siguiente ejemplo, la instrucción del selector de eventos recopila eventos de datos para el tipo de recurso AWS::S3::Object y aplica varias condiciones en el campo resources.ARN.


{
    "Name": "S3Select",
    "FieldSelectors": [
      {
        "Field": "eventCategory",
        "Equals": [
          "Data"
        ]
      },
      {
        "Field": "resources.type",
        "Equals": [
          "AWS::S3::Object"
        ]
      },
      {
        "Field": "resources.ARN",
        "Equals": [
          "arn:aws:s3:::amzn-s3-demo-bucket/object1"
        ],
        "StartsWith": [
          "arn:aws:s3:::amzn-s3-demo-bucket/"
        ],
        "EndsWith": [
          "object3"
        ],
        "NotStartsWith": [
          "arn:aws:s3:::amzn-s3-demo-bucket/deselect"
        ],
        "NotEndsWith": [
          "object5"
        ],
        "NotEquals": [
          "arn:aws:s3:::amzn-s3-demo-bucket/object6"
        ]
      }
    ]
  }

En el ejemplo anterior, los eventos de datos de Amazon S3 para el recurso AWS::S3::Object se entregarán si:

No se cumple ninguna de estas condiciones del operador DESELECT:
- el campo resources.ARN NotStartsWith el valor arn:aws:s3:::amzn-s3-demo-bucket/deselect
- el campo resources.ARN NotEndsWith el valor object5
- el campo resources.ARN NotEquals el valor arn:aws:s3:::amzn-s3-demo-bucket/object6
Se cumple al menos una de estas condiciones del operador SELECT:
- el campo resources.ARN Equals el valor arn:aws:s3:::amzn-s3-demo-bucket/object1
- el campo resources.ARN StartsWith el valor arn:aws:s3:::amzn-s3-demo-bucket/
- el campo resources.ARN EndsWith el valor object3

Según la lógica de evaluación:

Los eventos de datos de amzn-s3-demo-bucket/object1 se entregarán porque coincide con el valor del operador Equals y no coincide con ninguno de los valores de los operadores NotStartsWith, NotEndsWith y NotEquals.
El evento de datos de amzn-s3-demo-bucket/object2 se entregará porque coincide con el valor del operador StartsWith y no coincide con ninguno de los valores de los operadores NotStartsWith, NotEndsWith y NotEquals.
Los eventos de datos de amzn-s3-demo-bucket1/object3 se entregarán porque coincide con el operador EndsWith y no coincide con ninguno de los valores de los operadores NotStartsWith, NotEndsWith y NotEquals.
Los eventos de datos de arn:aws:s3:::amzn-s3-demo-bucket/deselectObject4 no se entregarán porque coincide con la condición de NotStartsWith, aunque coincida con la condición del operador StartsWith.
Los eventos de datos de arn:aws:s3:::amzn-s3-demo-bucket/object5 no se entregarán porque coincide con la condición de NotEndsWith, aunque coincida con la condición del operador StartsWith.
Los eventos de datos de arn:aws:s3:::amzn-s3-demo-bucket/object6 no se entregarán porque coincide con la condición del operador NotEquals, aunque coincida con la condición del operador StartsWith.

Ejemplos de la AWS CLI para filtrar de eventos de datos

En esta sección, se ofrecen ejemplos de la AWS CLI en los que se muestran cómo filtrar los eventos de datos en distintos campos. Para ver otros ejemplos de la AWS CLI, consulte Registrar los eventos de datos de los registros de seguimiento mediante selectores de eventos avanzados y Registro de eventos de datos para los almacenes de datos de eventos con la AWS CLI.

Para obtener información acerca de cómo registrar eventos de datos mediante la consola, consulte Registrar eventos de datos con la Consola de administración de AWS.

Ejemplos:

Ejemplo 1: filtrar en el campo eventName
Ejemplo 2: filtrar en los campos resources.ARN y userIdentity.arn
Ejemplo 3: filtrar los campos resources.type y eventName para excluir los objetos individuales eliminados por un evento DeleteObjects de Amazon S3

Ejemplo 1: filtrar en el campo `eventName`

En el primer ejemplo, los --advanced-event-selectors para los registros de seguimiento están configurados para registrar solo las llamadas a la API de GetObject, PutObject y DeleteObject para los objetos de Amazon S3 en buckets de uso general.


aws cloudtrail put-event-selectors \
--trail-name trailName \
--advanced-event-selectors '[
  {
    "Name": "Log GetObject, PutObject and DeleteObject S3 data events",
    "FieldSelectors": [
      { "Field": "eventCategory", "Equals": ["Data"] },
      { "Field": "resources.type", "Equals": ["AWS::S3::Object"] },
      { "Field": "eventName", "Equals": ["GetObject","PutObject","DeleteObject"] }
    ]
  }
]'

En el siguiente ejemplo se crea un nuevo almacén de datos de eventos que registra los eventos de datos de las API directas de EBS, pero excluye las llamadas a las API ListChangedBlocks. Puede utilizar el comando update-event-data-store para actualizar un almacén de datos de eventos existente.


aws cloudtrail create-event-data-store \
--name "eventDataStoreName"
--advanced-event-selectors '[
    {
        "Name": "Log all EBS Direct API data events except ListChangedBlocks",
        "FieldSelectors": [
            { "Field": "eventCategory", "Equals": ["Data"] },
            { "Field": "resources.type", "Equals": ["AWS::EC2::Snapshot"] },
            { "Field": "eventName", "NotEquals": ["ListChangedBlocks"] }
         ]
    }
]'

Ejemplo 2: filtrar en los campos `resources.ARN` y `userIdentity.arn`

En el ejemplo siguiente, se muestra cómo incluir todos los eventos de datos de todos los objetos de Amazon S3 en un bucket de S3 específico de uso general, pero excluir los eventos que genera bucket-scanner-role userIdentity. El valor de los eventos de S3 para el campo resources.type es AWS::S3::Object. Debido a que los valores de ARN para los objetos de S3 y los buckets de S3 son ligeramente diferentes, debe agregar el operador StartsWith para resources.ARN.


aws cloudtrail put-event-selectors \
--trail-name trailName \
--advanced-event-selectors \
'[
    {
        "Name": "S3EventSelector",
        "FieldSelectors": [
            { "Field": "eventCategory", "Equals": ["Data"] },
            { "Field": "resources.type", "Equals": ["AWS::S3::Object"] },
            { "Field": "resources.ARN", "StartsWith": ["arn:partition:s3:::amzn-s3-demo-bucket/"] },
            { "Field": "userIdentity.arn", "NotStartsWith": ["arn:aws:sts::123456789012:assumed-role/bucket-scanner-role"]}
        ]
    }
]'

Ejemplo 3: filtrar los campos `resources.type` y `eventName` para excluir los objetos individuales eliminados por un evento DeleteObjects de Amazon S3

En el ejemplo siguiente, se muestra cómo incluir todos los eventos de datos de todos los objetos de Amazon S3 en un bucket de Amazon S3 específico de uso general, pero excluir los objetos individuales por la operación DeleteObject. El valor de los eventos de S3 para el campo resources.type es AWS::S3::Object. El valor para el nombre del evento es DeleteObject.


aws cloudtrail put-event-selectors \
--trail-name trailName \
--advanced-event-selectors \

{
    "Name": "Exclude Events for DeleteObject operation",
    "FieldSelectors": [
      {
        "Field": "eventCategory",
        "Equals": [
          "Data"
        ]
      },
      {
        "Field": "resources.type",
        "Equals": [
          "AWS::S3::Object"
        ]
      },
      {
        "Field": "eventName",
        "NotEquals": [
          "DeleteObject"
        ]
      }
    ]
  },
  {
    "Name": "Exclude DeleteObject Events for individual objects deleted by DeleteObjects Operation",
    "FieldSelectors": [
      {
        "Field": "eventCategory",
        "Equals": [
          "Data"
        ]
      },
      {
        "Field": "resources.type",
        "Equals": [
          "AWS::S3::Object"
        ]
      },
      {
        "Field": "eventName",
        "Equals": [
          "DeleteObject"
        ]
      },
      {
        "Field": "eventType",
        "NotEquals": [
          "AwsServiceEvent"
        ]
      }
    ]
  }
] (edited)

Aviso JavaScript está desactivado o no está disponible en su navegador.

Para utilizar la documentación de AWS, debe estar habilitado JavaScript. Para obtener más información, consulte las páginas de ayuda de su navegador.

Convenciones del documento

Eventos de datos

Eventos de actividad de la red