Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

# Cree un almacén de datos de CloudTrail eventos para eventos con la consola
<a name="query-event-data-store-cloudtrail"></a>

**nota**  
AWS CloudTrail Lake dejará de estar abierto a nuevos clientes a partir del 31 de mayo de 2026. Si quieres usar CloudTrail Lake, regístrate antes de esa fecha. Los clientes existentes pueden seguir utilizando el servicio con normalidad. Para obtener más información, consulte [CloudTrail Cambio de disponibilidad del lago](cloudtrail-lake-service-availability-change.md).

Los almacenes de datos de CloudTrail eventos para eventos pueden incluir eventos CloudTrail de administración, eventos de datos y eventos de actividad de red. Puede conservar los datos de los eventos en un almacén de datos de eventos durante un máximo de 3653 días (unos 10 años) si elige la opción **Precios de retención ampliables por un año**, o hasta 2557 días (unos 7 años) si elige la opción **Precios de retención por siete años**.

CloudTrail Los almacenes de datos de eventos de Lake incurren en cargos. Cuando crea un almacén de datos de eventos, debe elegir la [opción de precios](cloudtrail-lake-manage-costs.md#cloudtrail-lake-manage-costs-pricing-option) que desee utilizar para él. La opción de precios determina el costo de la incorporación y el almacenamiento de los eventos, así como el período de retención predeterminado y máximo del almacén de datos de eventos. Para obtener información sobre CloudTrail los precios y la administración de los costos de Lake, consulte [AWS CloudTrail Precios](https://aws.amazon.com/cloudtrail/pricing/) y[Gestión de los costos de los CloudTrail lagos](cloudtrail-lake-manage-costs.md).

## Para crear un almacén de datos de CloudTrail eventos para eventos
<a name="query-event-data-store-cloudtrail-procedure"></a>

Utilice este procedimiento para crear un banco de datos de eventos que registre los eventos CloudTrail de administración, los eventos de datos o los eventos de actividad de la red. 

1. Inicie sesión en Consola de administración de AWS y abra la CloudTrail consola en [https://console.aws.amazon.com/cloudtrail/](https://console.aws.amazon.com/cloudtrail/).

1.  En el panel de navegación, en **Lago**, elija **Almacenes de datos de eventos**. 

1. Elija **Create event data store** (Crear almacén de datos de eventos).

1. En la página **Configure event data store** (Configurar el almacén de datos de eventos), en **General details** (Detalles generales), ingrese un nombre para el almacén de datos de eventos. El nombre es obligatorio.

1. Elija la **Opción de precios** que desee usar para el almacén de datos de eventos. La opción de precios determina el costo de la incorporación y el almacenamiento de los eventos, así como los periodos de retención predeterminado y máximo del almacén de datos de eventos. Para obtener más información, consulte [AWS CloudTrail Precios](https://aws.amazon.com/cloudtrail/pricing/) y [Gestión de los costos de los CloudTrail lagos](cloudtrail-lake-manage-costs.md). 

   Están disponibles las siguientes opciones:
   + **Precio de retención ampliable por un año**: en general se recomienda si prevé incorporar menos de 25 TB de datos de eventos al mes y desea un periodo de retención flexible de hasta 10 años. Durante los primeros 366 días (el periodo de retención predeterminado), el almacenamiento se incluye sin cargo adicional en los precios de incorporación. Después de 366 días, la retención prolongada está disponible a un pay-as-you-go precio. Esta es la opción predeterminada.
     + **Periodo de retención predeterminado:** 366 días.
     + **Periodo máximo de retención:** 3653 días.
   + **Precio de retención ampliable por un año**: se recomienda si prevé incorporar más de 25 TB de datos de eventos al mes y desea un periodo de retención de hasta 7 años. La retención está incluida en los precios de incorporación sin costo adicional.
     + **Periodo de retención predeterminado:** 2557 días.
     + **Periodo máximo de retención:** 2557 días.

1. Especifique un periodo de retención para el almacén de datos de eventos. Los periodos de retención pueden oscilar entre 7 y 3653 días (unos 10 años) para la opción **Precios de retención ampliables por un año**, o entre 7 días y 2557 días (unos siete años) para la opción **Precios de retención por siete años**. 

    CloudTrail Lake determina si se debe retener un evento comprobando si el `eventTime` evento se encuentra dentro del período de retención especificado. Por ejemplo, si especificas un período de retención de 90 días, CloudTrail eliminará los eventos cuando `eventTime` tengan más de 90 días. 
**nota**  
Si está copiando eventos de seguimiento a este almacén de datos de eventos, no CloudTrail copiará ningún evento si `eventTime` es anterior al período de retención especificado. Para determinar el período de retención adecuado, tome la suma del evento más antiguo que desea copiar en días y el número de días que desea conservar los eventos en el almacén de datos del evento (**período de retención** = *oldest-event-in-days* \$1*number-days-to-retain*). Por ejemplo, si el evento más antiguo que va a copiar tiene 45 días y desea conservar los eventos en el almacén de datos de eventos durante otros 45 días, debe establecer el periodo de retención en 90 días. 

1. (Opcional) Para habilitar el cifrado mediante AWS Key Management Service, elija **Usar el mío AWS KMS key**. Elija **Nuevo** para que se AWS KMS key cree una para usted, o bien elija **Existente** para usar una clave KMS existente. En **Introducir un alias de KMS**, especifique un alias en el formato `alias/`*MyAliasName*. El uso de su propia clave de KMS requiere que edite la política de claves para permitir que se cifre y descifre el almacén de datos de eventos de CloudTrail. Para obtener más información, consulte[Configurar políticas AWS KMS clave para CloudTrail](create-kms-key-policy-for-cloudtrail.md). CloudTrail también admite claves AWS KMS multirregionales. Para obtener más información sobre las claves de varias regiones, consulte [Uso de claves de varias regiones](https://docs.aws.amazon.com/kms/latest/developerguide/multi-region-keys-overview.html) en la *Guía para desarrolladores de AWS Key Management Service *.

   El uso de su propia clave KMS conlleva AWS KMS costes de cifrado y descifrado. Después de asociar un almacén de datos de eventos a una clave de KMS, esta no se podrá eliminar ni cambiar.
**nota**  
Para habilitar el AWS Key Management Service cifrado en un almacén de datos de eventos de la organización, debe usar una clave KMS existente para la cuenta de administración.

1. (Opcional) Si desea realizar consultas con los datos de su evento mediante Amazon Athena, elija **Habilitar** en **Federación de consultas de Lake**. La federación le permite ver los metadatos asociados al almacén de datos de eventos en el [catálogo de datos de AWS Glue](https://docs.aws.amazon.com/glue/latest/dg/components-overview.html#data-catalog-intro) y ejecutar consultas SQL con los datos de eventos en Athena. Los metadatos de la tabla almacenados en el catálogo de AWS Glue datos permiten al motor de consultas de Athena saber cómo buscar, leer y procesar los datos que desea consultar. Para obtener más información, consulte [Federar un almacén de datos de eventos](query-federation.md).

   Para habilitar la federación de consultas de Lake, seleccione **Habilitar** y, a continuación, haga lo siguiente:

   1. Elija si desea crear un nuevo rol o utilizar un rol de IAM existente. [AWS Lake Formation](https://docs.aws.amazon.com/lake-formation/latest/dg/how-it-works.html) utiliza este rol para administrar los permisos del almacén de datos de eventos federados. Al crear un nuevo rol mediante la CloudTrail consola, crea CloudTrail automáticamente un rol con los permisos necesarios. Si elige un rol existente, asegúrese de que la política del rol proporcione los [permisos mínimos requeridos](query-federation.md#query-federation-permissions-role).

   1. Si va a crear un rol nuevo, introduzca un nombre para identificarlo.

   1. Si está utilizando un rol existente, elija el rol que desea usar. El rol debe existir en su cuenta de .

1. (Opcional) Elija **Habilitación de política de recursos** para agregar una política basada en recursos a este almacén de datos de eventos. Las políticas basadas en recursos le permiten controlar qué entidades principales pueden realizar acciones en el almacén de datos de eventos. Por ejemplo, puede agregar una política basada en recursos para permitir a los usuarios raíz de otras cuentas consultar el almacén de datos de eventos y ver los resultados de las consultas. Para ver ejemplos de políticas, consulte [Ejemplos de políticas basadas en recursos para almacenes de datos de eventos](security_iam_resource-based-policy-examples.md#security_iam_resource-based-policy-examples-eds).

   Una política basada en recursos incluye una o más instrucciones. Cada instrucción de la política define las [entidades principales](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_principal.html) a las que se les permite o deniega el acceso al almacén de datos de eventos y las acciones que las entidades principales pueden realizar en el recurso del almacén de datos de eventos.

   Las políticas basadas en recursos para los almacenes de datos de eventos admiten las siguientes acciones:
   +  `cloudtrail:StartQuery` 
   +  `cloudtrail:CancelQuery` 
   +  `cloudtrail:ListQueries` 
   +  `cloudtrail:DescribeQuery` 
   +  `cloudtrail:GetQueryResults` 
   +  `cloudtrail:GenerateQuery` 
   +  `cloudtrail:GenerateQueryResultsSummary` 
   +  `cloudtrail:GetEventDataStore` 

   Para [los almacenes de datos de eventos de la organización](cloudtrail-lake-organizations.md), CloudTrail crea una [política predeterminada basada en los recursos](cloudtrail-lake-organizations.md#cloudtrail-lake-organizations-eds-rbp) que enumera las acciones que las cuentas de administrador delegado pueden realizar en los almacenes de datos de eventos de la organización. Los permisos de esta política se obtienen de los permisos del administrador delegado en AWS Organizations. Esta política se actualiza automáticamente tras los cambios en el almacén de datos de eventos de la organización o en la organización (por ejemplo, si se registra o CloudTrail se elimina una cuenta de administrador delegado).

1. (Opcional) En la sección **Tags** (Etiquetas), puede agregar hasta 50 pares de claves y etiquetas para que lo ayuden a identificar y ordenar su almacén de datos de eventos y controlar el acceso a él. Para obtener más información sobre cómo utilizar las políticas de IAM para autorizar el acceso a un almacén de datos de eventos en función de etiquetas, consulte [Ejemplos: Denegación de acceso para crear o eliminar almacenes de datos de eventos en función de etiquetas](security_iam_id-based-policy-examples.md#security_iam_id-based-policy-examples-eds-tags). Para obtener más información sobre cómo utilizar las etiquetas AWS, consulte Cómo [etiquetar AWS los recursos](https://docs.aws.amazon.com/tag-editor/latest/userguide/tagging.html) en la Guía del usuario de los * AWS recursos de etiquetado*.

1.  Elija **Next** (Siguiente) para configurar el almacén de datos de eventos. 

1.  **En la página **Elegir eventos**, elija **AWS eventos** y, a continuación, elija CloudTrail eventos.** 

1. Para **CloudTrail los eventos**, elige al menos un tipo de evento. De forma predeterminada, se selecciona la opción **Management events** (Eventos de administración). Puede agregar [eventos de administración](logging-management-events-with-cloudtrail.md), [eventos de datos](logging-data-events-with-cloudtrail.md) y [eventos de actividad de red](logging-network-events-with-cloudtrail.md) a su almacén de datos de eventos.

1. (Opcional) Elija **Copy trail events** (Copiar eventos de registros de seguimiento) si desea copiar eventos de un registro de seguimiento existente para ejecutar consultas sobre eventos pasados. Para copiar los eventos de los registros de seguimiento en el almacén de datos de eventos de una organización, debe utilizar su cuenta de administración. La cuenta del administrador delegado no puede copiar los eventos de registro de seguimiento en el almacén de datos de eventos de una organización. Para obtener más información acerca de las consideraciones para copiar eventos de registro de seguimiento, consulte [Consideraciones para copiar eventos de registros de seguimiento](cloudtrail-copy-trail-to-lake-eds.md#cloudtrail-trail-copy-considerations-lake).

1. Para que su almacén de datos de eventos recopile eventos de todas las cuentas de una organización de AWS Organizations , seleccione **Enable for all accounts in my organization** (Activar en todas las cuentas de mi organización). Para crear un almacén de datos de eventos que recopile eventos de una organización, es necesario haber iniciado sesión con la cuenta de administración o la cuenta de administrador delegado de la organización.
**nota**  
Para copiar los eventos de registro de seguimiento o habilitar los eventos de Insights, debe haber iniciado sesión en la cuenta de administración de su organización.

1. Amplíe la **configuración adicional** para elegir si desea que el banco de datos de eventos recopile los eventos de todos los Regiones de AWS eventos o solo los actuales Región de AWS, y elija si el banco de datos de eventos incluye los eventos. De forma predeterminada, el almacén de datos de eventos recopila los eventos de todas las regiones de la cuenta y comienza a ingerirlos cuando se crea. 

   1. Seleccione **Incluir solo la región actual en el almacén de datos de eventos** para incluir solo los eventos registrados en la región actual. Si no elige esta opción, su almacén de datos de eventos incluirá eventos de todas las regiones.

   1. Anule la selección de **Ingerir eventos** si no quiere que el almacén de datos de eventos comience a ingerir eventos. Por ejemplo, es posible que desee deseleccionar **Ingerir eventos** si está copiando eventos de registros de seguimiento y no desea que el almacén de datos de eventos incluya eventos futuros. De forma predeterminada, el almacén de datos de eventos comienza a ingerir eventos cuando se crea.

1. Si el almacén de datos de eventos incluye eventos de administración, puede elegir entre las siguientes opciones. Para obtener más información sobre los eventos de administración, consulte [Registro de eventos de administración](logging-management-events-with-cloudtrail.md).

   1. Elija entre la **Recopilación de eventos simple** o la **Recopilación de eventos avanzada**:
      + Elija **Recopilación de eventos simple** si desea registrar todos los eventos, registrar solo los eventos de lectura o solo los eventos de escritura. También puede optar por excluir los eventos AWS Key Management Service de Amazon RDS Data API.
      + Elija la **Recopilación avanzada de eventos** si desea incluir o excluir los eventos de administración en función de los valores de los campos del selector de eventos avanzado, como los campos `eventName`, `eventType`, `eventSource`, `sessionCredentialFromConsole` y `userIdentity.arn`.

   1. Si seleccionó **Recopilación de eventos simple**, elija si quiere registrar todos los eventos, registrar solo los eventos de lectura o registrar solo los eventos de escritura. También puede optar por excluir los eventos AWS KMS de Amazon RDS Data API.

   1. Si seleccionó **Recopilación de eventos avanzada**, realice las siguientes selecciones:

      1. En la **Plantilla de selector de registros**, elija una plantilla predefinida o **Personalizada** para crear una configuración personalizada basada en los valores de los campos del selector de eventos avanzado.

         Puede elegir entre las siguientes plantillas predefinidas:
         + **Registrar todos los eventos**: elija esta plantilla para registrar todos los eventos.
         + **Registrar solo eventos de lectura**: elija esta plantilla para registrar solo eventos de lectura. Los eventos de solo lectura son eventos que no cambian el estado de un recurso, como los eventos `Get*` o `Describe*`.
         + **Registrar solo eventos de escritura**: elija esta plantilla para registrar solo eventos de escritura. Los eventos de escritura agregan, cambian o eliminan recursos, atributos o artefactos, como eventos `Put*`, `Delete*` o `Write*`.
         + **Registrar solo Consola de administración de AWS eventos**: elija esta plantilla para registrar solo los eventos que se originen en Consola de administración de AWS.
         + **Excluir eventos Servicio de AWS iniciados**: elija esta plantilla para excluir Servicio de AWS los eventos que tengan un `eventType` de `AwsServiceEvent` y los eventos Servicio de AWS iniciados con funciones vinculadas (SLRs).

      1. (Opcional) En **Nombre del selector**, escriba un nombre para identificar el selector. El nombre del selector es un nombre descriptivo para un selector de eventos avanzado, como «Registrar los eventos de administración de Consola de administración de AWS las sesiones». El nombre del selector aparece como `Name` en el selector de eventos avanzado y se puede ver si se amplía la **vista JSON**.

      1. Si eligió **Personalizado**, en los **Selectores de eventos avanzados** cree una expresión basada en los valores de los campos del selector de eventos avanzado.
**nota**  
Los selectores no admiten el uso de caracteres comodín como `*`. Para hacer coincidir varios valores con una sola condición, puede usar `StartsWith`, `EndsWith`, `NotStartsWith` o `NotEndsWith` a fin de hacer coincidir de manera explícita el principio o el final del campo de evento.

         1. Elija uno de los siguientes campos.
            + **`readOnly`**: `readOnly` se puede establecer en **es igual a** con el valor `true` o `false`. Cuando se establece en `false`, el almacén de datos de eventos registra eventos de administración de solo escritura. Los eventos de administración de solo lectura son eventos que no cambian el estado de un recurso, como los eventos `Get*` o `Describe*`. Los eventos de escritura agregan, cambian o eliminan recursos, atributos o artefactos, como eventos `Put*`, `Delete*` o `Write*`. Para registrar los eventos de **Lectura** y **Escritura**, no agregue un selector de `readOnly`.
            + **`eventName`**— `eventName` puede utilizar cualquier operador. Puede usarlo para incluir o excluir cualquier evento de administración, como `CreateAccessPoint` o `GetAccessPoint`.
            + **`userIdentity.arn`**: incluya o excluya eventos para las acciones realizadas por identidades de IAM específicas. Para obtener más información, consulte [Elemento userIdentity de CloudTrail ](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/cloudtrail-event-reference-user-identity.html).
            + **`sessionCredentialFromConsole`**— Incluir o excluir eventos originados en una Consola de administración de AWS sesión. Este campo se puede establecer como **igual** o **no igual** con un valor de `true`.
            + **`eventSource`**: puede usarlo para incluir o excluir orígenes de eventos específicos. El `eventSource` suele ser una forma abreviada del nombre del servicio sin espacios más `.amazonaws.com`. Por ejemplo, podría establecer el valor `eventSource` **igual a** en `ec2.amazonaws.com` para registrar solo los eventos de administración de Amazon EC2.
            + **`eventType`**: el [eventType](cloudtrail-event-reference-record-contents.md#ct-event-type) que se va a incluir o excluir. Por ejemplo, puede establecer este campo en **no igual a** `AwsServiceEvent` para excluir los [eventos de Servicio de AWS](non-api-aws-service-events.md).

         1. En cada campo, seleccione **\$1 Condición** para agregar tantas condiciones como necesite, hasta un máximo de 500 valores especificados para todas las condiciones.

            Para obtener información sobre cómo CloudTrail se evalúan varias condiciones, consulte[¿Cómo CloudTrail se evalúan las condiciones múltiples de un campo](filtering-data-events.md#filtering-data-events-conditions).
**nota**  
Puede tener un máximo de 500 valores para todos los selectores de un almacén de datos de eventos. Esto incluye matrices de varios valores para un selector como `eventName`. Si tiene valores únicos para todos los selectores, puede agregar un máximo de 500 condiciones a un selector.

         1. Elija **\$1 Field (\$1 campos)** para agregar campos adicionales según sea necesario. Para evitar errores, no establezca valores contradictorios ni duplicados en los campos. 

      1. De manera opcional, expanda **JSON view** (Vista JSON) para ver los selectores de eventos avanzados como un bloque JSON.

   1. Seleccione **Habilitar la captura de eventos de Insights** para activar Insights. Para habilitar Insights, debe configurar un [almacén de datos de eventos de destino](query-event-data-store-insights.md#query-event-data-store-insights-procedure) para recopilar los eventos de Insights en función de la actividad de los eventos de administración en este almacén de datos de eventos.

      Si decide habilitar Insights, haga lo siguiente.

      1. Elija el almacén de eventos de destino que registrará los eventos de Insights. El almacén de datos de eventos de destino recopilará los eventos de Insights en función de la actividad de los eventos de administración en este almacén de datos de eventos. Para obtener información acerca de cómo crear un almacén de datos de eventos de destino, consulte [Cómo crear un almacén de datos de eventos de destino que registre los eventos de Insights](query-event-data-store-insights.md#query-event-data-store-insights-procedure).

      1. Elija los tipos de Insights. Puede elegir la **tasa de llamadas a la API**, la **tasa de errores de la API** o ambas. Debe registrar los eventos de administración de **escritura** para registrar los eventos de Insights para calcular la **tasa de llamadas a la API**. Debe registrar los eventos de administración de **lectura** o **escritura** para registrar los eventos de Insights para calcular la **tasa de errores de la API**.

1. Para incluir eventos de datos en su almacén de datos de eventos, haga lo siguiente.

   1. Elija un tipo de recurso. Este es el Servicio de AWS recurso en el que se registran los eventos de datos.

   1. En la **Plantilla de selección de registros**, elija una plantilla predefinida o una **Personalizada** para definir sus propias condiciones de recopilación de eventos en función de los valores de los campos del selector de eventos avanzado.

      Puede elegir entre las siguientes plantillas predefinidas:
      + **Registrar todos los eventos**: elija esta plantilla para registrar todos los eventos.
      + **Registrar solo eventos de lectura**: elija esta plantilla para registrar solo eventos de lectura. Los eventos de solo lectura son eventos que no cambian el estado de un recurso, como los eventos `Get*` o `Describe*`.
      + **Registrar solo eventos de escritura**: elija esta plantilla para registrar solo eventos de escritura. Los eventos de escritura agregan, cambian o eliminan recursos, atributos o artefactos, como eventos `Put*`, `Delete*` o `Write*`.
      + **Registrar solo Consola de administración de AWS eventos**: elija esta plantilla para registrar solo los eventos que se originen en Consola de administración de AWS.
      + **Excluir eventos Servicio de AWS iniciados**: elija esta plantilla para excluir Servicio de AWS los eventos que tengan un `eventType` de `AwsServiceEvent` y los eventos Servicio de AWS iniciados con funciones vinculadas (SLRs).

   1. (Opcional) En **Nombre del selector**, escriba un nombre para identificar el selector. El nombre del selector es un nombre descriptivo opcional para un selector de eventos avanzado, como “Registrar eventos de datos para solo dos buckets de S3”. El nombre del selector aparece como `Name` en el selector de eventos avanzado y se puede ver si se amplía la **vista JSON**.

   1. Si seleccionó **Personalizado**, en los **selectores de eventos avanzados** se crea una expresión basada en los valores de los campos de los selectores de eventos avanzados.
**nota**  
Los selectores no admiten el uso de caracteres comodín como `*`. Para hacer coincidir varios valores con una sola condición, puede usar `StartsWith`, `EndsWith`, `NotStartsWith` o `NotEndsWith` a fin de hacer coincidir de manera explícita el principio o el final del campo de evento.

      1. Elija uno de los siguientes campos.
         + **`readOnly`**: `readOnly` se puede establecer en **es igual a** con el valor `true` o `false`. Los eventos de datos de solo lectura son eventos que no cambian el estado de un recurso, como eventos `Get*` o `Describe*`. Los eventos de escritura agregan, cambian o eliminan recursos, atributos o artefactos, como eventos `Put*`, `Delete*` o `Write*`. Para registrar eventos `read` y `write`, no agregue un selector de `readOnly`.
         + **`eventName`**: `eventName` puede utilizar cualquier operador. Puede utilizarla para incluir o excluir cualquier evento de datos registrado CloudTrail, como `PutBucket``GetItem`, o`GetSnapshotBlock`.
         + **`eventSource`**: el origen del evento que se va a incluir o excluir. Este campo puede utilizar cualquier operador.
         + **eventType**: el tipo de evento que se va a incluir o excluir. Por ejemplo, puede establecer este campo en **no igual a** `AwsServiceEvent` para excluir [Servicio de AWS eventos](non-api-aws-service-events.md). Para obtener una lista de los tipos de eventos, consulte [`eventType`](cloudtrail-event-reference-record-contents.md#ct-event-type) en [CloudTrail registrar el contenido de los eventos de administración, datos y actividad de la red](cloudtrail-event-reference-record-contents.md).
         + **sessionCredentialFromConsola**: incluye o excluye los eventos que se originan en una Consola de administración de AWS sesión. Este campo se puede establecer como **igual** o **no igual** con un valor de `true`.
         + **userIdentity.arn**: incluya o excluya eventos para las acciones realizadas por identidades de IAM específicas. Para obtener más información, consulte [Elemento userIdentity de CloudTrail ](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/cloudtrail-event-reference-user-identity.html).
         + **`resources.ARN`**: puede utilizar cualquier operador con `resources.ARN`, pero si utiliza **es igual a** o **no es igual a**, el valor debe coincidir exactamente con el ARN de un recurso válido del tipo especificado en la plantilla como el valor de `resources.type`.
**nota**  
No puede usar el `resources.ARN` campo para filtrar los tipos de recursos que no lo tienen ARNs.

           Para obtener más información sobre los formatos del ARN de los recursos de eventos de datos, consulte [Acciones, recursos y claves de condición para los Servicios de AWS](https://docs.aws.amazon.com/service-authorization/latest/reference/reference_policies_actions-resources-contextkeys.html) en la *Referencia de autorizaciones de servicio*.

      1. En cada campo, seleccione **\$1 Condición** para agregar tantas condiciones como necesite, hasta un máximo de 500 valores especificados para todas las condiciones. Por ejemplo, para excluir eventos de datos de dos buckets de S3 de los eventos de datos registrados en su almacén de datos de eventos, puede establecer el campo en **resources.ARN**, configurar el operador en **no comienza por** y, a continuación, pegar un ARN de bucket de S3 para los que no desea registrar eventos.

         Para agregar el segundo bucket de S3, seleccione **\$1 Condición** y, a continuación, repita la instrucción anterior, pegue el ARN o busque un bucket diferente.

         Para obtener información sobre cómo CloudTrail se evalúan varias condiciones, consulte[¿Cómo CloudTrail se evalúan las condiciones múltiples de un campo](filtering-data-events.md#filtering-data-events-conditions).
**nota**  
Puede tener un máximo de 500 valores para todos los selectores de un almacén de datos de eventos. Esto incluye matrices de varios valores para un selector como `eventName`. Si tiene valores únicos para todos los selectores, puede agregar un máximo de 500 condiciones a un selector.

      1. Elija **\$1 Field (\$1 campos)** para agregar campos adicionales según sea necesario. Para evitar errores, no establezca valores contradictorios ni duplicados en los campos. Por ejemplo, no especifique un ARN en un selector para que sea igual a un valor y luego especifique que el ARN no sea igual al mismo valor en otro selector.

   1. De manera opcional, expanda **JSON view** (Vista JSON) para ver los selectores de eventos avanzados como un bloque JSON.

   1. Para agregar otro tipo de recurso en el que registrar eventos de datos, elija **Agregar tipo de evento de datos**. Repita los pasos hasta este paso a fin de configurar los selectores de eventos avanzados para el tipo de recursos.

1. Para incluir eventos de actividad de la red en su almacén de datos de eventos, haga lo siguiente.

   1. En **Origen de eventos de actividad de la red**, seleccione el origen de los eventos de actividad de la red.

   1. Elija una plantilla en la sección **Log selector template** (Plantilla de selector de registros). Puede optar por registrar todos los eventos de actividad de la red, registrar todos los eventos de acceso denegado a la actividad de la red o seleccionar **Personalizar** para crear un selector de registro personalizado que filtre por varios campos, como `eventName` y `vpcEndpointId`.

   1. (Opcional) Escriba un nombre para identificar el selector. El nombre del selector aparece como **Nombre** en el selector de eventos avanzado y se puede ver si se amplía la **vista JSON**.

   1. En **Selectores de eventos avanzados**, cree expresiones mediante la selección de valores para **Campo**, **Operador** y **Valor**. Puede omitir este paso si utiliza una plantilla de registro predefinida.

      1. Para excluir o incluir eventos de actividad de la red, puede elegir entre los siguientes campos de la consola.
         + **`eventName`**: puede utilizar cualquier operador con `eventName`. Puede utilizarlo para incluir o excluir cualquier evento, como `CreateKey`.
         + **`errorCode`**: puede usarlo para filtrar por un código de error. Actualmente, el único `errorCode` que se admite es `VpceAccessDenied`.
         +  **`vpcEndpointId`**: identifica el punto de conexión de VPC por el que pasó la operación. Puede utilizar cualquier operador con `vpcEndpointId`. 

      1. En cada campo, seleccione **\$1 Condición** para agregar tantas condiciones como necesite, hasta un máximo de 500 valores especificados para todas las condiciones. 

      1. Elija **\$1 Field (\$1 campos)** para agregar campos adicionales según sea necesario. Para evitar errores, no establezca valores contradictorios ni duplicados en los campos. 

   1. Para agregar otro origen de eventos de actividad de la red que quiera registrar, seleccione **Agregar selector de eventos de actividad de la red**.

   1. De manera opcional, expanda **JSON view** (Vista JSON) para ver los selectores de eventos avanzados como un bloque JSON.

1. Para copiar eventos de registro de seguimiento existentes en el almacén de datos, haga lo siguiente.

   1. Elija el registro de seguimiento que desea copiar. De forma predeterminada, CloudTrail solo copia CloudTrail los eventos contenidos en el `CloudTrail` prefijo del bucket de S3 y los prefijos incluidos en el `CloudTrail` prefijo, y no comprueba los prefijos de otros servicios. AWS Si desea copiar CloudTrail los eventos contenidos en otro prefijo, seleccione **Introducir el URI de S3** y, a continuación, elija **Examinar S3** para buscar el prefijo. Si el depósito de S3 de origen de la ruta utiliza una clave de KMS para el cifrado de datos, asegúrese de que la política de claves de KMS CloudTrail permita descifrar los datos. Si el bucket de S3 de origen utiliza varias claves KMS, debe actualizar la política de cada clave CloudTrail para poder descifrar los datos del bucket. Para obtener más información sobre la actualización de la política de claves KMS, consulte [Política de claves KMS para descifrar datos en el bucket de S3 de origen](cloudtrail-copy-trail-to-lake-eds.md#copy-trail-events-permissions-kms).

   1. Elija el intervalo de tiempo para copiar los eventos. CloudTrail comprueba el prefijo y el nombre del archivo de registro para comprobar que el nombre contiene una fecha entre la fecha de inicio y la de finalización elegidas antes de intentar copiar los eventos de seguimiento. Puede elegir un **intervalo relativo** o un **intervalo absoluto**. Para evitar la duplicación de eventos entre el registro de seguimiento de origen y el almacén de datos de eventos de destino, elija un intervalo de tiempo que sea anterior a la creación del almacén de datos de eventos.
**nota**  
CloudTrail solo copia los eventos de seguimiento que están `eventTime` dentro del período de retención del almacén de datos de eventos. Por ejemplo, si el período de retención de un almacén de datos de eventos es de 90 días, no CloudTrail copiará ningún evento de ruta que tenga una `eventTime` antigüedad superior a 90 días.
      + Si eliges **Rango relativo**, puedes elegir copiar los eventos registrados en los últimos 6 meses, 1 año, 2 años, 7 años o un rango personalizado. CloudTrail copia los eventos registrados en el período de tiempo elegido.
      + Si elige **Rango absoluto**, puede elegir una fecha de inicio y finalización específica. CloudTrail copia los eventos que se produjeron entre las fechas de inicio y finalización elegidas.

   1. Para **Permissions** (Permisos), elija una de las siguientes opciones de rol de IAM. Si elige un rol de IAM existente, verifique que la política de roles de IAM proporcione los permisos necesarios. Para obtener más información acerca de la actualización de los permisos de rol de IAM, consulte [Permisos de IAM para copiar eventos de registro de seguimiento](cloudtrail-copy-trail-to-lake-eds.md#copy-trail-events-permissions-iam).
      + Elija **Create a new role (recommended)** (Crear un nuevo rol [recomendado]) para crear un nuevo rol de IAM. En **Introducir el nombre del rol de IAM**, introduzca un nombre para el rol. CloudTrail crea automáticamente los permisos necesarios para este nuevo rol.
      + Seleccione **Usar un rol de IAM personalizado** para usar un rol de IAM personalizado que no aparezca en la lista. En **Enter IAM role ARN** (Ingresar ARN del rol de IAM), escriba el ARN de IAM.
      + Elija un rol de IAM existente de la lista desplegable.

1. Elija **Siguiente** para enriquecer los eventos si agrega claves de etiquetas de recurso y claves de condición global de IAM.

1. En **Enriquecer eventos** agregue hasta 50 claves de etiqueta de recurso y 50 claves de condición global de IAM para ofrecer metadatos adicionales sobre los eventos. Esto le ayuda a clasificar y agrupar los eventos relacionados.

   Si agregas claves de etiquetas de recursos, CloudTrail se incluirán las claves de etiqueta seleccionadas asociadas a los recursos que participaron en la llamada a la API. Los eventos de la API relacionados con recursos eliminados no tendrán etiquetas de recurso.

   Si añades claves de condición globales de IAM, CloudTrail se incluirá información sobre las claves de condición seleccionadas que se evaluaron durante el proceso de autorización, incluidos detalles adicionales sobre la entidad principal, la sesión, la red y la propia solicitud. 

   La información sobre las claves de etiqueta de recurso y las claves de condición global de IAM se muestra en el campo `eventContext` del evento. Para obtener más información, consulte [Enriquece CloudTrail los eventos añadiendo claves de etiquetas de recursos y claves de condición globales de IAM](cloudtrail-context-events.md).
**nota**  
Si un evento contiene un recurso que no pertenece a la región del evento, no CloudTrail rellenará las etiquetas de este recurso porque la recuperación de etiquetas se limita a la región del evento.

1. Seleccione **Expandir el tamaño del evento** para ampliar la carga útil del evento de 256 KB a 1 MB. Esta opción se activa de manera automática al agregar claves de etiqueta de recurso o claves de condición global de IAM para garantizar que todas las claves agregadas se incluyan en el evento.

   Ampliar el tamaño del evento es útil para analizar y solucionar problemas de eventos, ya que permite ver el contenido completo de los siguientes campos siempre que la carga útil del evento sea inferior a 1 MB:
   + `annotation`
   + `requestID`
   + `additionalEventData`
   + `serviceEventDetails`
   + `userAgent`
   + `errorCode`
   + `responseElements`
   + `requestParameters`
   + `errorMessage`

   Para obtener más información sobre estos campos, consulta el contenido del [CloudTrail registro](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/cloudtrail-event-reference-record-contents.html).

1. Elija **Next** (Siguiente) para revisar las opciones seleccionadas.

1. En la página **Review and create (Revisar y crear)**, revise las opciones seleccionadas. Elija **Edit** (Editar) para realizar cambios en una sección. Cuando esté listo para crear el almacén de datos de eventos, elija **Create event data store** (Crear almacén de datos de eventos).

1. El nuevo almacén de datos de eventos aparece en la tabla **Almacenes de datos de eventos** de la página **Almacenes de datos de eventos**.

   A partir de este momento, el almacén de datos de eventos captura los eventos que coinciden con sus selectores de eventos avanzados (si ha seleccionado la opción **Incorporar eventos**). Los eventos que ocurrieron antes de que creara el almacén de datos de eventos no estarán en el almacén de datos de eventos, a menos que opte por copiar los eventos de registro de seguimiento existentes.

Ahora puede ejecutar consultas en su nuevo almacén de datos de eventos. La pestaña **Sample queries** (Consultas de muestra) proporciona ejemplos de consultas para que pueda empezar. Para obtener más información acerca de la creación y la edición de consultas, consulte [Cree o edite una consulta con la consola CloudTrail](query-create-edit-query.md).

También puede ver los [paneles administrados](lake-dashboard-managed.md) o [crear paneles personalizados](lake-dashboard-custom.md) para visualizar las tendencias de los eventos. Para obtener más información acerca de los paneles de Lake, consulte [CloudTrail Paneles de control de Lake](lake-dashboard.md).