Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés. # Visualización de eventos de Insights para registros de seguimiento En esta sección, se describe cómo buscar una ruta en los últimos 90 días de eventos de CloudTrail Insights con Insights activado. Para obtener información sobre cómo ver las CloudTrail estadísticas de un banco de datos de eventos, consulte[Visualización del panel de Insights de un almacén de datos de eventos](insights-events-view-lake.md#insights-events-view-lake-dashboard). Puede ver, filtrar y descargar los últimos 90 días de eventos de Insights para un registro de seguimiento desde la página **Insights** de la consola. Puede consultar los últimos 90 días de los eventos de Insights mediante programación: + En el caso de Trails, registra los eventos de administración ejecutando el AWS CLI [https://docs.aws.amazon.com/cli/latest/reference/cloudtrail/lookup-events.html](https://docs.aws.amazon.com/cli/latest/reference/cloudtrail/lookup-events.html)comando o la operación de la [https://docs.aws.amazon.com/awscloudtrail/latest/APIReference/API_LookupEvents.html](https://docs.aws.amazon.com/awscloudtrail/latest/APIReference/API_LookupEvents.html)API. + Para Trails, registra los eventos de datos ejecutando el AWS CLI [https://docs.aws.amazon.com/cli/latest/reference/cloudtrail/list-insights-data.html](https://docs.aws.amazon.com/cli/latest/reference/cloudtrail/list-insights-data.html)comando o la operación de la [https://docs.aws.amazon.com/awscloudtrail/latest/APIReference/API_ListInsightsData.html](https://docs.aws.amazon.com/awscloudtrail/latest/APIReference/API_ListInsightsData.html)API. Para obtener las descripciones de los campos de registro de eventos de Insights para los registros de seguimiento, consulte [CloudTrail grabar contenido para eventos de Insights para senderos](cloudtrail-insights-fields-trails.md). **nota** **La página AWS CLI `lookup-events` o el `list-insights-data` comando de Insights solo muestran los eventos de Insights si has activado Insights en una ruta que registra eventos de administración o de datos.** Para obtener información sobre cómo habilitar Insights en un registro de seguimiento, consulte [Habilitar CloudTrail Insights en una ruta existente con la consola](insights-events-enable.md#insights-events-enable-trail) y [Registrar los eventos de Insights para una ruta mediante el AWS CLI](insights-events-CLI-enable.md#insights-events-CLI-enable-trails). Para registrar los eventos de Insights en la tasa de llamadas a la API, el registro debe registrar los eventos `write` de administración o de datos. Para registrar los eventos de Insights en la tasa de errores de la API, el registro debe registrar los eventos `write` de gestión `read` o de datos. **Topics** + [Cómo visualizar eventos de Insights para registros de seguimiento con la consola](view-insights-events-console.md) + [Visualización de eventos de Insights para senderos con el AWS CLI](view-insights-events-cli.md) # Cómo visualizar eventos de Insights para registros de seguimiento con la consola En esta sección se describe cómo ver, buscar y descargar los últimos 90 días de los eventos de Insights para hacer un seguimiento desde la página de **Insights** de la CloudTrail consola. Para obtener información sobre cómo ver las CloudTrail estadísticas de un banco de datos de eventos, consulte[Visualización del panel de Insights de un almacén de datos de eventos](insights-events-view-lake.md#insights-events-view-lake-dashboard). Una vez registrados los eventos de Insights para el registro de seguimiento, estos se muestran en la página **Insights** durante 90 días. No se pueden eliminar manualmente eventos de la página **Insights** . Como los eventos de Insights habilitados para un registro de seguimiento se almacenan en el bucket de Amazon S3 configurado para ese registro de seguimiento, al eliminar los eventos de Insights del bucket se eliminarán esos eventos. Si activa los registros, puede supervisar sus registros de seguimiento y recibir notificaciones cuando se produzcan eventos específicos de Insights. CloudWatch Para obtener más información, consulte [Supervisión de archivos de CloudTrail registro con Amazon CloudWatch Logs](monitor-cloudtrail-log-files-with-cloudwatch-logs.md). **nota** CloudTrail Los eventos de Insights deben estar habilitados en tu ruta para poder ver los eventos de Insights en la consola. Espere hasta 36 horas para que se CloudTrail publiquen los primeros eventos de Insights, siempre que se detecte una actividad inusual durante ese tiempo. En el caso de Management Events Insights: para registrar los eventos de Insights en la tasa de llamadas de la API, el registro debe registrar los eventos `write` de administración. Para registrar los eventos de Insights sobre la tasa de errores de la API, el registro de seguimiento debe registrar los eventos de administración de `read` o `write`. En el caso de Data Events Insights: para registrar los eventos de Insights en la tasa de llamadas o errores de la API, el registro debe registrar `read` o registrar `write` los eventos de datos. **Para ver eventos de Insights** 1. Inicie sesión en la CloudTrail consola Consola de administración de AWS y ábrala en [https://console.aws.amazon.com/cloudtrail/casa/](https://console.aws.amazon.com/cloudtrail/home/). 1. En el panel de navegación, elija **Insights** a fin de ver todos los eventos de Insights registrados en su cuenta en los últimos 90 días. También puede ver los cinco eventos más recientes de Insights en la página de **Paneles**. 1. En la página **Insights**, puede seleccionar la pestaña Insights de los eventos de gestión o la pestaña Insights de los eventos de datos 1. Puede filtrar los eventos de Insights por fuente, nombre o ID del evento. Para obtener más información sobre el filtrado de eventos de Insights, consulte [Filtrado de eventos de Insights](#filtering-insights-events). 1. Puede limitar aún más la lista a un **Rango relativo** o un **Rango absoluto**. **Contents** + [Filtrado de eventos de Insights](#filtering-insights-events) + [Visualice los detalles de eventos de Insights](#viewing-details-for-an-event) + [Aplicar zoom al gráfico, desplazarlo y descargarlo](#viewing-insight-details-zoom) + [Cambiar la configuración del intervalo de tiempo del gráfico](#viewing-insight-details-timespan) + [Descarga de eventos de Insights](#downloading-insights-events) ## Filtrado de eventos de Insights De manera predeterminada, los eventos de la página **Insights** se muestran en orden cronológico inverso según la hora de inicio del evento. Puede filtrar la lista mediante el uso de uno de los siguientes tres atributos: **Nombre de evento** El nombre del evento, normalmente la AWS API en la que se registraron niveles de actividad inusuales. **Origen del evento** El AWS servicio al que se realizó la solicitud, como `iam.amazonaws.com` o`s3.amazonaws.com`. Si elige filtrar por origen de evento, puede desplazarse por una lista de orígenes de eventos. **ID de evento** El ID del evento de Insights. IDs Los eventos no se muestran en la tabla de páginas de **Insights**, pero son un atributo por el que se pueden filtrar los eventos de Insights. El evento IDs de los eventos de administración o de datos que se analizan para generar eventos de Insights es diferente del evento IDs de los eventos de Insights. ![\[El filtro de lista de eventos de CloudTrail Insights.\]](http://docs.aws.amazon.com/es_es/awscloudtrail/latest/userguide/images/insights_events_filter.png) En la siguiente lista se describen los atributos de un evento que no se pueden filtrar: **Tipo de información** El tipo de evento de CloudTrail Insights, que es la tasa de **llamadas a la API o la tasa** de **errores de la API**. El tipo de información sobre la **tasa de llamadas a la API** analiza las llamadas a la API de administración o de datos que se agregan por minuto en función del volumen de llamadas a la API de referencia. El tipo de información sobre la **tasa de errores de la API** analiza las llamadas a la API de administración o de datos que generan códigos de error. El error se muestra si la llamada a la API no se hace correctamente. **Hora de inicio del evento** Hora de inicio del evento de Insights, medido como el primer minuto en el que se registró actividad inusual. Este atributo se muestra en la tabla **Insights**, pero no puede filtrar la hora de inicio del evento en la consola. **Promedio de referencia** La referencia representa el patrón normal de actividad de tasa de error o de llamadas a la API, calculada de manera diaria. El promedio de referencia es el promedio de estas referencias diarias a lo largo de los siete días anteriores al inicio de un evento de Insights. Si bien este período suele ser de siete días, CloudTrail redondea el período de cálculo a un número entero de días, por lo que la duración exacta de referencia puede variar ligeramente. **Promedio de Insight** El número promedio de llamadas a una API, o el número promedio de un error específico que se devolvió en las llamadas a una API, que desencadenó el evento Insights. El promedio de CloudTrail Insights para el evento de inicio es la tasa de ocurrencias que desencadenaron el evento de Insights. Por lo general, este es el primer minuto de actividad inusual. El promedio de Insights del evento de finalización es la tasa de ocurrencias durante la actividad inusual, entre el evento de Insights de inicio y el evento de Insights de finalización. **Cambio de tasa** La diferencia entre el valor de **Promedio de referencia** y **Promedio de Insight**, medido en porcentaje. Por ejemplo, si el promedio de referencia de un error `AccessDenied` que se produce es 1,0, y el promedio de Insight es 3,0, el cambio de tasa es del 300 %. Un cambio de tasa para un promedio de Insight que supera un promedio de referencia muestra una flecha hacia arriba junto al valor. Si el evento Insights se registró porque la actividad está por debajo del promedio de referencia, **Cambio de tasa** muestra una flecha hacia abajo junto al porcentaje. Si no hay eventos registrados para el atributo o el tiempo elegidos, la lista de resultados estará vacía. Solo puede aplicar un filtro de atributo además del intervalo de tiempo. Si elige un atributo diferente, se mantiene el filtro de intervalo de tiempo especificado. Los siguientes pasos describen cómo filtrar por atributo. **Para filtrar por atributo** 1. Para filtrar los resultados por atributo, elija un atributo de búsqueda en el menú desplegable y, luego, escriba o elija un valor en el cuadro **Ingresar un valor de búsqueda**. 1. Para eliminar un filtro de atributo, elija la **X** situada a la derecha del cuadro de filtro de atributo. Los siguientes pasos describen cómo filtrar por una fecha y una hora de inicio y finalización. **Para filtrar por una fecha y hora de inicio y finalización** 1. En **Filtrar por fecha y hora**, elija una de las siguientes opciones: + **Rango absoluto**: permite elegir una hora específica. Continúe con el paso siguiente. + **Rango relativo**: se selecciona de manera predeterminada. Permite elegir un periodo de tiempo relativo a la hora de inicio de un evento de Insights. Continúe con el paso 3. 1. Para establecer un **Rango absoluto**, haga lo siguiente. 1. Elija el día en el que desea que comience el rango de tiempo. Ingrese una hora de inicio en el día seleccionado. Para ingresar una fecha de forma manual, escriba la fecha con el formato `yyyy/mm/dd`. Las horas de inicio y finalización siguen el formato de 24 horas y los valores deben tener el formato `hh:mm:ss`. Por ejemplo, para que la hora de inicio sea a las 6:30 p. m., ingrese **18:30:00**. 1. Elija una fecha de finalización para el intervalo en el calendario o especifique una fecha y hora de finalización debajo del calendario. Seleccione **Aplicar**. 1. Para establecer un **Rango relativo**, haga lo siguiente. 1. Elija un periodo de tiempo predefinido relativo a la hora de inicio de los eventos de Insights. Los intervalos de tiempo preestablecidos incluyen 30 minutos, 1 hora, 12 horas o 1 día. Para especificar un intervalo de tiempo personalizado, elija **Custom (Personalizado)**. 1. Cuando haya establecido la hora relativa que desea, elija **Apply (Aplicar)**. 1. Para eliminar un filtro de rango de tiempo, elija el icono de calendario situado a la derecha del cuadro **Filtrar por día y hora** y, luego, elija **Borrar y descartar**. ## Visualice los detalles de eventos de Insights 1. Elija un evento de Insights de la lista de resultados para mostrar sus detalles. La página de detalles de un evento de Insights muestra un gráfico de la línea de tiempo de la actividad inusual. ![\[Una página de detalles de CloudTrail Insights que muestra una actividad inusual en la API.\]](http://docs.aws.amazon.com/es_es/awscloudtrail/latest/userguide/images/insights_event_view.png) 1. Coloque el cursor sobre las bandas resaltadas para mostrar la hora de inicio y duración de cada evento de Insights en el gráfico. ![\[Las estadísticas de eventos de Insights se muestran al colocar el cursor sobre un evento de Insights.\]](http://docs.aws.amazon.com/es_es/awscloudtrail/latest/userguide/images/insights_event_statistics.png) La siguiente información se muestra en el área **Información adicional** del gráfico: + **Insight type (Tipo de información)**. Puede ser la tasa de llamadas a la API o la tasa de error de la API. + **Desencadenador**. Este es un enlace a la pestaña de **eventos de Cloudtrail**, en la que se enumeran los eventos de administración o de datos que se analizaron para determinar si se produjo una actividad inusual. + **Llamadas a la API por minuto** o **Errores por minuto** + **Baseline average** (Promedio de referencia): la tasa típica de ocurrencias por minuto a esta API en la que se registró el evento Insights, medido en aproximadamente los siete días anteriores, en una región específica de su cuenta. + **Insights average** (Promedio de Insights): la tasa de ocurrencias por minuto a esta API que desencadenaron el evento de Insights. El promedio de CloudTrail Insights para el evento de inicio es la tasa de llamadas o errores por minuto en la API que activó el evento de Insights. Por lo general, este es el primer minuto de actividad inusual. El promedio de Insights del evento final es el porcentaje de llamadas o errores por minuto a la API durante la actividad inusual, entre el evento de Insights inicial y el evento de Insights final. + **Fuente del evento**. El punto final del AWS servicio en el que se registró el número inusual de llamadas o errores a la API. En la imagen anterior, la fuente es `ec2.amazonaws.com` el punto de enlace del servicio de Amazon EC2. + **Start event ID** (ID de evento de inicio): el ID del evento de Insights que registró al principio de una actividad inusual. + **End event ID** (ID de evento de finalización): ID del evento Insights que se registró al final de una actividad inusual. + **ID de evento compartido**: en los eventos de Insights, el **ID de evento compartido** es un GUID que CloudTrail Insights genera para identificar de forma única un par de eventos de Insights de inicio y fin. **Shared event ID** (ID de evento compartido) es igual en los eventos de inicio y finalización de Insights, y ayuda a relacionar ambos eventos para identificar de forma inequívoca la actividad inusual. 1. Elija la pestaña **Attributions** (Atribuciones) para ver información sobre las identidades de usuario, los agentes de usuario y sobre eventos de Insight de la tasa de llamadas a la API, códigos de error correlacionados con la actividad inusual y de referencia. Se muestra un máximo de cinco identidades de usuario, cinco agentes de usuario y cinco códigos de error en las tablas de la pestaña **Attributions (Atribuciones)**, ordenado por un promedio del recuento de la actividad, en orden descendente de mayor a menor. 1. En la pestaña de **CloudTrail eventos**, consulte los eventos relacionados que CloudTrail se analizaron para determinar si se produjo una actividad inusual. De forma predeterminada, ya se aplica un filtro para el nombre del evento de Insights, que también es el nombre de la API relacionada. La pestaña de **CloudTrail eventos** muestra los eventos de CloudTrail administración o de datos relacionados con la API en cuestión que se produjeron entre la hora de inicio (menos un minuto) y la hora de finalización (más un minuto) del evento de Insights. A medida que selecciona otros eventos de Insights en el gráfico, los eventos que se muestran en la tabla de **CloudTrail eventos** cambian. Estos eventos le ayudan a realizar un análisis más detallado para determinar la causa probable de un evento de Insights y las razones de la actividad inusual de la API. Para mostrar todos los CloudTrail eventos que se registraron durante la duración del evento de Insights, y no solo los de la API relacionada, desactive el filtro. 1. Elija la pestaña **Insights event record (Registro de eventos de Insights)** para ver los eventos de inicio y finalización de Insights en formato JSON. 1. Al elegir el enlace **Event source (Origen de eventos)**, se lo redirige a la página **Insights** filtrada por ese origen de eventos. ## Aplicar zoom al gráfico, desplazarlo y descargarlo Puede acercar o alejar, desplazar y restablecer los ejes del gráfico en la página de detalles del evento de Insights mediante la barra de herramientas situada en la esquina superior derecha. ![\[Barra de herramienta con los comandos para descargar como PNG, acercar, desplazar, alejar y restablecer los ejes.\]](http://docs.aws.amazon.com/es_es/awscloudtrail/latest/userguide/images/insights_details_custom_widgets.png) De izquierda a derecha, los botones de la barra de herramientas de gráficos hacen lo siguiente: + **Download plot as a PNG (Descargar gráfico como PNG)**: descarga la imagen del gráfico mostrada en la página de detalles y la guarda en formato PNG. + **Zoom**: arrastre para seleccionar el área del gráfico que desea ampliar y ver con mayor detalle. + **Pan (Desplazamiento panorámico)**: desplace el gráfico para ver fechas u horas adyacentes. + **Reset axes (Restablecer ejes)**: revierta los ejes del gráfico a los originales borrando los ajustes de zoom y desplazamiento panorámico. ## Cambiar la configuración del intervalo de tiempo del gráfico Puede cambiar el intervalo de tiempo (la duración seleccionada de los eventos que se muestran en el eje *x*) que se muestra en el gráfico al elegir una configuración en la esquina superior derecha del gráfico. ![\[Control del intervalo de tiempo para un evento de Insights.\]](http://docs.aws.amazon.com/es_es/awscloudtrail/latest/userguide/images/insights_details_timespan.png) ## Descarga de eventos de Insights Puede descargar el historial de eventos de Insights registrados como un archivo en formato JSON o CSV. Utilice filtros e intervalos de tiempo para reducir el tamaño del archivo que descargue. **nota** CloudTrail Los archivos del historial de eventos son archivos de datos que contienen información (como los nombres de los recursos) que los usuarios individuales pueden configurar. Algunos de estos datos podrían ser interpretados como comandos en los programas que se utilizan para leer y analizar esta información (inyección CSV). Por ejemplo, cuando CloudTrail los eventos se exportan a CSV y se importan a un programa de hojas de cálculo, es posible que ese programa le advierta sobre problemas de seguridad. Como práctica recomendada de seguridad, deshabilite los enlaces o las macros de los archivos del historial de eventos descargados. 1. Especifique el filtro y el intervalo de tiempo de los eventos que desee descargar. Por ejemplo, puede especificar el nombre del evento, `StartInstances`, y especificar un intervalo de tiempo de las últimas 12 horas de actividad. 1. Elija **Download events (Descargar eventos)** y, a continuación, **Download as CSV (Descargar como CSV)** o **Download as JSON (Descargar como JSON)**. Se le pedirá que elija una ubicación para guardar el archivo. **nota** La descarga podría tardar un tiempo en terminar. Antes de iniciar el proceso de descarga, y para obtener resultados más rápidos, utilice un filtro más específico o un intervalo de tiempo más breve para limitar los resultados. 1. Cuando haya finalizado la descarga, abra el archivo para ver los eventos que ha especificado. 1. Para cancelar la descarga, elija **Cancelar**. Si cancela una descarga antes de que termine, es posible que un archivo CSV o JSON de la computadora local solo contenga parte de sus eventos. # Visualización de eventos de Insights para senderos con el AWS CLI En esta sección se describe cómo usar el `list-insights-data` comando AWS CLI `lookup-events` and para buscar los últimos 90 días de eventos de Insights para una ruta con los eventos de Insights habilitados. Para obtener información sobre cómo habilitar CloudTrail Insights en una ruta, consulte[Registrar los eventos de Insights para una ruta mediante el AWS CLI](insights-events-CLI-enable.md#insights-events-CLI-enable-trails). **nota** No puede usar el `list-insights-data` comando `lookup-events` o para buscar eventos de Insights en un banco de datos de eventos; sin embargo, CloudTrail Lake ofrece varios ejemplos de consultas para los bancos de datos de eventos de Insights. Para obtener más información, consulte [Visualización de consultas de muestra para los eventos de Insights](insights-events-view-lake.md#insights-events-lake-queries). El comando `lookup-events` tiene las siguientes opciones: + `--end-time` + `--event-category` + `--max-results` + `--start-time` + `--lookup-attributes` + `--next-token` + `--generate-cli-skeleton` + `--cli-input-json` El comando `list-insights-data` tiene las siguientes opciones: + `--end-time` + `--data-type` + `--max-results` + `--start-time` + `--dimensions` + `--next-token` + `--generate-cli-skeleton` + `--cli-input-json` Para obtener información general sobre el uso del AWS Command Line Interface, consulte la [Guía del AWS Command Line Interface usuario](https://docs.aws.amazon.com/cli/latest/userguide/). **Contents** + [Requisitos previos](#aws-cli-prerequisites-for-insights) + [Cómo obtener ayuda de la línea de comandos](#getting-command-line-help-insights) + [Búsqueda de eventos de Insights para eventos de administración](#looking-up-management-insights-with-the-aws-cli) + [Buscando eventos de datos en busca de eventos de Insights](#looking-up-data-insights-with-the-aws-cli) + [Especificar el número de eventos de Insights que deben devolverse los eventos de administración](#specify-the-number-of-management-insights-to-return) + [Especificar el número de eventos de Insights para que se devuelvan los eventos de datos](#specify-the-number-of-data-insights-to-return) + [Búsqueda de eventos de Insights para eventos de administración por intervalo de tiempo](#look-up-management-insights-by-time-range) + [Búsqueda de eventos de datos de Insights por intervalo de tiempo](#look-up-data-insights-by-time-range) + [Búsqueda de eventos de Insights para eventos de gestión por atributo](#look-up-management-insights-by-attributes) + [Ejemplos de búsqueda de atributos](#attribute-lookup-example-insights) + [Búsqueda de eventos de Insights para eventos de datos por dimensión](#look-up-data-insights-by-attributes) + [Ejemplos de búsqueda de dimensiones](#dimension-lookup-example-insights) + [Especificar la siguiente página de resultados para los eventos de Insights para los eventos de administración](#specify-next-page-of-management-results) + [Especificar la siguiente página de resultados para los eventos de Insights para los eventos de administración](#specify-next-page-of-data-results) + [Obtener la entrada JSON de un archivo de eventos de Insights para eventos de administración](#json-input-from-file-managemenet-insights) + [Obtener una entrada JSON de un archivo para eventos de Insights para eventos de datos](#json-input-from-file-data-insights) + [Campos de resultados de búsqueda](#view-insights-events-cli-output-fields) ## Requisitos previos + Para ejecutar AWS CLI comandos, debe instalar el AWS CLI. Para obtener más información, consulte [Introducción a la AWS CLI](https://docs.aws.amazon.com/cli/latest/userguide/cli-chap-getting-started.html). + Asegúrese de que su AWS CLI versión sea posterior a la 1.6.6. Para comprobar la versión de la CLI, ejecute **aws --version** en la línea de comandos. + Para configurar la cuenta, la región y el formato de salida predeterminado de una AWS CLI sesión, utilice el **aws configure** comando. Para obtener más información, consulte [Configuración de la interfaz de línea de comandos de AWS](https://docs.aws.amazon.com/cli/latest/userguide/cli-chap-getting-started.html). + Para registrar los eventos de Insights sobre el volumen de llamadas a la API, el registro de seguimiento debe registrar los eventos de administración de `write`. Para registrar los eventos de Insights sobre la tasa de errores de la API, el registro de seguimiento debe registrar los eventos de administración de `read` o `write`. **nota** Los CloudTrail AWS CLI comandos distinguen entre mayúsculas y minúsculas. ## Cómo obtener ayuda de la línea de comandos Para ver la ayuda de la línea de comandos de `lookup-events`, escriba el siguiente comando. ``` aws cloudtrail lookup-events help ``` ## Búsqueda de eventos de Insights para eventos de administración Para ver los 50 eventos más recientes de Insights, escriba el siguiente comando. ``` aws cloudtrail lookup-events --event-category insight ``` Un evento devuelto es similar al siguiente ejemplo, ``` { "NextToken": "kbOt5LlZe++mErCebpy2TgaMgmDvF1kYGFcH64JSjIbZFjsuvrSqg66b5YGssKutDYIyII4lrP4IDbeQdiObkp9YAlju3oXd12juEXAMPLE=", "Events": [ { "eventVersion": "1.09", "eventTime": "2024-12-11T16:52:00Z", "awsRegion": "us-east-1", "eventID": "18378b1e-3653-433d-ba1e-aa11a5958f0c", "eventType": "AwsCloudTrailInsight", "recipientAccountId": "888888888888", "sharedEventID": "fccb064f-dd07-4822-97c0-11115d8b91d4", "insightDetails": { "state": "Start", "eventSource": "cloudtrail.amazonaws.com", "eventName": "DescribeQuery", "insightType": "ApiErrorRateInsight", "errorCode": "QueryIdNotFoundException", "sourceEventCategory": "Management", "insightContext": { "statistics": { "baseline": { "average": 0 }, "insight": { "average": 1.2 }, "insightDuration": 5, "baselineDuration": 11092 }, "attributions": [ { "attribute": "userIdentityArn", "insight": [ { "value": "arn:aws:sts::888888888888:assumed-role/Admin", "average": 1.2 } ], "baseline": [] }, { "attribute": "userAgent", "insight": [ { "value": "Mozilla/5.0 (Macintosh; Intel Mac OS X 10_15_7) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/131.0.0.0 Safari/537.36", "average": 1.2 } ], "baseline": [] } ] } }, "eventCategory": "Insight" }, { "eventVersion": "1.09", "eventTime": "2024-12-11T16:53:00Z", "awsRegion": "us-east-1", "eventID": "b32f10a0-f039-419a-bad7-e95468930a4f", "eventType": "AwsCloudTrailInsight", "recipientAccountId": "888888888888", "sharedEventID": "fccb064f-dd07-4822-97c0-11115d8b91d4", "insightDetails": { "state": "End", "eventSource": "cloudtrail.amazonaws.com", "eventName": "DescribeQuery", "insightType": "ApiErrorRateInsight", "errorCode": "QueryIdNotFoundException", "sourceEventCategory": "Management", "insightContext": { "statistics": { "baseline": { "average": 0 }, "insight": { "average": 6 }, "insightDuration": 1, "baselineDuration": 11092 }, "attributions": [ { "attribute": "userIdentityArn", "insight": [ { "value": "arn:aws:sts::888888888888:assumed-role/Admin", "average": 6 } ], "baseline": [] }, { "attribute": "userAgent", "insight": [ { "value": "Mozilla/5.0 (Macintosh; Intel Mac OS X 10_15_7) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/131.0.0.0 Safari/537.36", "average": 6 } ], "baseline": [] } ] } }, "eventCategory": "Insight" } ] } ``` Para obtener una explicación de los campos relacionados con la búsqueda en el resultado, consulte [Campos de resultados de búsqueda](#view-insights-events-cli-output-fields) sobre este tema. Para obtener una explicación de los campos del evento de Insights, consulte [CloudTrail grabar contenido para eventos de Insights para senderos](cloudtrail-insights-fields-trails.md). ## Buscando eventos de datos en busca de eventos de Insights Para ver los 50 eventos más recientes de Insights, escriba el siguiente comando. ``` aws cloudtrail list-insights-data --data-type InsightsEvents --insight-source arn:aws:cloudtrail:us-east-2:123456789012:trail/TrailName ``` Un evento devuelto es similar al siguiente ejemplo, ``` { "NextToken": "kbOt5LlZe++mErCebpy2TgaMgmDvF1kYGFcH64JSjIbZFjsuvrSqg66b5YGssKutDYIyII4lrP4IDbeQdiObkp9YAlju3oXd12juEXAMPLE=", "Events": [ { "eventVersion": "1.09", "eventTime": "2024-12-11T16:52:00Z", "awsRegion": "us-east-2", "eventID": "18378b1e-3653-433d-ba1e-aa11a5958f0c", "eventType": "AwsCloudTrailInsight", "recipientAccountId": "123456789012", "sharedEventID": "fccb064f-dd07-4822-97c0-11115d8b91d4", "insightDetails": { "state": "Start", "eventSource": "s3.amazonaws.com", "eventName": "PutObject", "insightType": "ApiErrorRateInsight", "errorCode": "InvalidRequest", "sourceEventCategory": "Data", "insightContext": { "statistics": { "baseline": { "average": 0 }, "insight": { "average": 1.2 }, "insightDuration": 5, "baselineDuration": 11092 }, "attributions": [ { "attribute": "userIdentityArn", "insight": [ { "value": "arn:aws:sts::123456789012:assumed-role/Admin", "average": 1.2 } ], "baseline": [] }, { "attribute": "userAgent", "insight": [ { "value": "Mozilla/5.0 (Macintosh; Intel Mac OS X 10_15_7) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/131.0.0.0 Safari/537.36", "average": 1.2 } ], "baseline": [] } ] }, "insightSource": "arn:aws:cloudtrail:us-east-2:123456789012:trail/TrailName" }, "eventCategory": "Insight" }, { "eventVersion": "1.09", "eventTime": "2024-12-11T16:53:00Z", "awsRegion": "us-east-1", "eventID": "b32f10a0-f039-419a-bad7-e95468930a4f", "eventType": "AwsCloudTrailInsight", "recipientAccountId": "123456789012", "sharedEventID": "fccb064f-dd07-4822-97c0-11115d8b91d4", "insightDetails": { "state": "End", "eventSource": "s3.amazonaws.com", "eventName": "PutObject", "insightType": "ApiErrorRateInsight", "errorCode": "InvalidRequest", "sourceEventCategory": "Data", "insightContext": { "statistics": { "baseline": { "average": 0 }, "insight": { "average": 6 }, "insightDuration": 1, "baselineDuration": 11092 }, "attributions": [ { "attribute": "userIdentityArn", "insight": [ { "value": "arn:aws:sts::123456789012:assumed-role/Admin", "average": 6 } ], "baseline": [] }, { "attribute": "userAgent", "insight": [ { "value": "Mozilla/5.0 (Macintosh; Intel Mac OS X 10_15_7) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/131.0.0.0 Safari/537.36", "average": 6 } ], "baseline": [] } ] }, "insightSource": "arn:aws:cloudtrail:us-east-2:123456789012:trail/TrailName" }, "eventCategory": "Insight" } ] } ``` ## Especificar el número de eventos de Insights que deben devolverse los eventos de administración Para especificar el número de eventos de Insights que deben devolverse los eventos de administración, escriba el siguiente comando. ``` aws cloudtrail lookup-events --event-category insight --max-results ``` El valor predeterminado de**, si no se especifica, es 50. Los valores posibles comprenden del 1 al 50. El ejemplo siguiente devuelve un solo resultado. ``` aws cloudtrail lookup-events --event-category insight --max-results 1 ``` ## Especificar el número de eventos de Insights para que se devuelvan los eventos de datos Para especificar el número de eventos de Insights que deben devolverse los eventos de datos, escriba el siguiente comando. ``` aws cloudtrail list-insights-data --data-type InsightsEvents --insight-source arn:aws:cloudtrail:us-east-2:123456789012:trail/TrailName --max-results ``` El valor predeterminado de**, si no se especifica, es 50. Los valores posibles comprenden del 1 al 50. El ejemplo siguiente devuelve un solo resultado. ``` aws cloudtrail list-insights-data --data-type InsightsEvents --insight-source arn:aws:cloudtrail:us-east-2:123456789012:trail/TrailName --max-results 1 ``` ## Búsqueda de eventos de Insights para eventos de administración por intervalo de tiempo Los eventos de Insights para los eventos de gestión de los últimos 90 días están disponibles para su búsqueda. Para especificar un intervalo de tiempo, escriba el siguiente comando. ``` aws cloudtrail lookup-events --event-category insight --start-time --end-time ``` `--start-time ` especifica, en UTC, que solo se devuelvan los eventos de Insights que se producen en el tiempo especificado o con posterioridad. Si la fecha de inicio especificada es posterior a la fecha de finalización especificada, se devuelve un error. `--end-time ` especifica, en UTC, que solo se devuelvan los eventos de Insights que se producen en el tiempo especificado o con anterioridad. Si la fecha de finalización especificada es anterior a la fecha de inicio especificada, se devuelve un error. La fecha de inicio predeterminada es la primera fecha posible en que los datos están disponibles en los últimos 90 días. La fecha de finalización predeterminada es la fecha del evento que se produjo más cercana a la fecha actual. Todas las marcas temporales se muestran en UTC. ## Búsqueda de eventos de datos de Insights por intervalo de tiempo Los eventos de Insights correspondientes a los eventos de datos de los últimos 90 días están disponibles para su búsqueda. Para especificar un intervalo de tiempo, escriba el siguiente comando. ``` aws cloudtrail list-insights-data --data-type InsightsEvents --insight-source arn:aws:cloudtrail:us-east-2:123456789012:trail/TrailName --start-time --end-time ``` `--start-time ` especifica, en UTC, que solo se devuelvan los eventos de Insights que se producen en el tiempo especificado o con posterioridad. Si la fecha de inicio especificada es posterior a la fecha de finalización especificada, se devuelve un error. `--end-time ` especifica, en UTC, que solo se devuelvan los eventos de Insights que se producen en el tiempo especificado o con anterioridad. Si la fecha de finalización especificada es anterior a la fecha de inicio especificada, se devuelve un error. La fecha de inicio predeterminada es la primera fecha posible en que los datos están disponibles en los últimos 90 días. La fecha de finalización predeterminada es la fecha del evento que se produjo más cercana a la fecha actual. Todas las marcas temporales se muestran en UTC. ## Búsqueda de eventos de Insights para eventos de gestión por atributo Para filtrar por un atributo, escriba el siguiente comando. ``` aws cloudtrail lookup-events --event-category insight --lookup-attributes AttributeKey=,AttributeValue= ``` Solo puede especificar un atributo de pares de clave-valor para cada comando **lookup-events**. Los siguientes son valores válidos de eventos de Insights para `AttributeKey`. Los nombres de los valores distinguen entre mayúsculas y minúsculas. + `EventId` + `EventName` + `EventSource` La longitud máxima de `AttributeValue` es de 2000 caracteres. Los siguientes caracteres («`_`», «` `», «`,`» y «`\\n`») cuentan como dos caracteres en el límite de 2000 caracteres. ### Ejemplos de búsqueda de atributos El siguiente comando de ejemplo devuelve los eventos de Insights en los que el valor de `EventName` es `PutRule`. ``` aws cloudtrail lookup-events --event-category insight --lookup-attributes AttributeKey=EventName, AttributeValue=PutRule ``` El siguiente comando de ejemplo devuelve los eventos de Insights en los que el valor de `EventId` es `b5cc8c40-12ba-4d08-a8d9-2bceb9a3e002`. ``` aws cloudtrail lookup-events --event-category insight --lookup-attributes AttributeKey=EventId, AttributeValue=b5cc8c40-12ba-4d08-a8d9-2bceb9a3e002 ``` El siguiente comando de ejemplo devuelve los eventos de Insights en los que el valor de `EventSource` es `iam.amazonaws.com`. ``` aws cloudtrail lookup-events --event-category insight --lookup-attributes AttributeKey=EventSource, AttributeValue=iam.amazonaws.com ``` ## Búsqueda de eventos de Insights para eventos de datos por dimensión Para filtrar por dimensión, escriba el siguiente comando. ``` aws cloudtrail list-insights-data --data-type InsightsEvents --insight-source arn:aws:cloudtrail:us-east-2:123456789012:trail/TrailName --dimensions = ``` Solo puede especificar un par clave-valor de dimensión para cada **list-insights-events** comando. Los siguientes son valores válidos de eventos de Insights para `DimensionKey`. Los nombres de los valores distinguen entre mayúsculas y minúsculas. + `EventId` + `EventName` + `EventSource` La longitud máxima de `DimensionValue` es de 2000 caracteres. Los siguientes caracteres («`_`», «` `», «`,`» y «`\\n`») cuentan como dos caracteres en el límite de 2000 caracteres. ### Ejemplos de búsqueda de dimensiones El siguiente comando de ejemplo devuelve los eventos de Insights en los que el valor de `EventName` es `PutObject`. ``` aws cloudtrail list-insights-data --data-type InsightsEvents --insight-source arn:aws:cloudtrail:us-east-2:123456789012:trail/TrailName --dimensions EventName=PutObject ``` El siguiente comando de ejemplo devuelve los eventos de Insights en los que el valor de `EventId` es `b5cc8c40-12ba-4d08-a8d9-2bceb9a3e002`. ``` aws cloudtrail list-insights-data --data-type InsightsEvents --insight-source arn:aws:cloudtrail:us-east-2:123456789012:trail/TrailName --dimensions EventId=b5cc8c40-12ba-4d08-a8d9-2bceb9a3e002 ``` El siguiente comando de ejemplo devuelve los eventos de Insights en los que el valor de `EventSource` es `s3.amazonaws.com`. ``` aws cloudtrail list-insights-data --data-type InsightsEvents --insight-source arn:aws:cloudtrail:us-east-2:123456789012:trail/TrailName --dimensions EventSource=s3.amazonaws.com ``` ## Especificar la siguiente página de resultados para los eventos de Insights para los eventos de administración Para obtener la siguiente página de resultados de un comando `lookup-events`, escriba el siguiente comando. ``` aws cloudtrail lookup-events --event-category insight --next-token= ``` En este comando, el valor de ** se toma del primer campo de la salida del comando anterior. Cuando utiliza `--next-token` en un comando, debe utilizar los mismos parámetros que en el comando anterior. Suponga, por ejemplo, que ejecuta el siguiente comando. ``` aws cloudtrail lookup-events --event-category insight --lookup-attributes AttributeKey=EventName, AttributeValue=PutRule ``` Para obtener la siguiente página de resultados, el siguiente comando sería similar a este. ``` aws cloudtrail lookup-events --event-category insight --lookup-attributes AttributeKey=EventName,AttributeValue=PutRule --next-token=EXAMPLEZe++mErCebpy2TgaMgmDvF1kYGFcH64JSjIbZFjsuvrSqg66b5YGssKutDYIyII4lrP4IDbeQdiObkp9YAlju3oXd12juEXAMPLE= ``` ## Especificar la siguiente página de resultados para los eventos de Insights para los eventos de administración Para obtener la siguiente página de resultados de un comando `list-insights-data`, escriba el siguiente comando. ``` aws cloudtrail list-insights-data --data-type InsightsEvents --insight-source arn:aws:cloudtrail:us-east-2:123456789012:trail/TrailName --next-token= ``` En este comando, el valor de ** se toma del primer campo de la salida del comando anterior. Cuando utiliza `--next-token` en un comando, debe utilizar los mismos parámetros que en el comando anterior. Suponga, por ejemplo, que ejecuta el siguiente comando. ``` aws cloudtrail list-insights-data --data-type InsightsEvents --insight-source arn:aws:cloudtrail:us-east-2:123456789012:trail/TrailName --dimensions EventName=PutObject ``` Para obtener la siguiente página de resultados, el siguiente comando sería similar a este. ``` aws cloudtrail list-insights-data --data-type InsightsEvents --insight-source arn:aws:cloudtrail:us-east-2:123456789012:trail/TrailName --dimensions EventName=PutObject --next-token=EXAMPLEZe++mErCebpy2TgaMgmDvF1kYGFcH64JSjIbZFjsuvrSqg66b5YGssKutDYIyII4lrP4IDbeQdiObkp9YAlju3oXd12juEXAMPLE= ``` ## Obtener la entrada JSON de un archivo de eventos de Insights para eventos de administración AWS CLI Para algunos AWS servicios, tiene dos parámetros: uno `--generate-cli-skeleton` y`--cli-input-json`, que puede usar para generar una plantilla JSON, que puede modificar y usar como entrada para el `--cli-input-json` parámetro. En esta sección se describe cómo utilizar estos parámetros con `aws cloudtrail lookup-events`. Para obtener más información, consulte [Esqueletos y archivos de entrada de AWS CLI](https://docs.aws.amazon.com/cli/latest/userguide/cli-usage-skeleton.html). **Para buscar eventos de Insights al obtener los datos de entrada JSON de un archivo** 1. Cree una plantilla de entrada para usarla con `lookup-events` redirigiendo el resultado de `--generate-cli-skeleton` a un archivo, como En el ejemplo siguiente. ``` aws cloudtrail lookup-events --event-category insight --generate-cli-skeleton > LookupEvents.txt ``` El archivo de plantilla generado (en este caso, LookupEvents .txt) tiene el siguiente aspecto. ``` { "LookupAttributes": [ { "AttributeKey": "", "AttributeValue": "" } ], "StartTime": null, "EndTime": null, "MaxResults": 0, "NextToken": "" } ``` 1. Utilice un editor de texto para modificar los datos JSON según sea necesario. Los datos de entrada JSON solo deben contener los valores que se especifican. **importante** Todos los valores vacíos o null deben eliminarse de la plantilla antes de utilizarla. El ejemplo siguiente especifica un intervalo de tiempo y un número máximo de resultados que se devuelven. ``` { "StartTime": "2023-11-01", "EndTime": "2023-12-12", "MaxResults": 10 } ``` 1. Para utilizar el archivo editado como entrada, utilice la sintaxis `--cli-input-json file://`**, como en el ejemplo siguiente. ``` aws cloudtrail lookup-events --event-category insight --cli-input-json file://LookupEvents.txt ``` **nota** Puede utilizar otros argumentos en la misma línea de comandos como `--cli-input-json`. ## Obtener una entrada JSON de un archivo para eventos de Insights para eventos de datos AWS CLI Para algunos AWS servicios, tiene dos parámetros: uno `--generate-cli-skeleton` y`--cli-input-json`, que puede usar para generar una plantilla JSON, que puede modificar y usar como entrada para el `--cli-input-json` parámetro. En esta sección se describe cómo utilizar estos parámetros con `aws cloudtrail list-insights-data`. Para obtener más información, consulte [Esqueletos y archivos de entrada de AWS CLI](https://docs.aws.amazon.com/cli/latest/userguide/cli-usage-skeleton.html). **Para buscar eventos de Insights al obtener los datos de entrada JSON de un archivo** 1. Cree una plantilla de entrada para usarla con `list-insights-data` redirigiendo el resultado de `--generate-cli-skeleton` a un archivo, como En el ejemplo siguiente. ``` aws cloudtrail list-insights-data --data-type InsightsEvents --generate-cli-skeleton > ListInsightsData.txt ``` El archivo de plantilla generado (en este caso, ListInsightsData .txt) tiene el siguiente aspecto. ``` { "InsightSource": "", "DataType": "InsightsEvents", "Dimensions": { "KeyName": "" }, "StartTime": null, "EndTime": null, "MaxResults": 0, "NextToken": "" } ``` 1. Utilice un editor de texto para modificar los datos JSON según sea necesario. Los datos de entrada JSON solo deben contener los valores que se especifican. **importante** Todos los valores vacíos o null deben eliminarse de la plantilla antes de utilizarla. El ejemplo siguiente especifica un intervalo de tiempo y un número máximo de resultados que se devuelven. ``` { "InsightSource": "arn:aws:cloudtrail:us-east-2:123456789012:trail/TrailName", "DataType": "InsightsEvents", "Dimensions": { "EventName": "PutObject" }, "StartTime": "2025-11-01", "EndTime": "2025-11-05", "MaxResults": 1 } ``` 1. Para utilizar el archivo editado como entrada, utilice la sintaxis `--cli-input-json file://`**, como en el ejemplo siguiente. ``` aws cloudtrail list-insights-data --data-type InsightsEvents --cli-input-json file://ListInsightsData.txt ``` **nota** Puede utilizar otros argumentos en la misma línea de comandos como `--cli-input-json`. ## Campos de resultados de búsqueda **Events (Eventos)** Una lista de eventos de búsqueda en función del atributo de búsqueda y el intervalo de tiempo especificados. La lista de eventos se ordena por tiempo, con el último evento en primer lugar. Cada entrada contiene información sobre la solicitud de búsqueda e incluye una cadena que representa el CloudTrail evento que se recuperó. Las siguientes entradas describen los campos de cada evento de búsqueda. **CloudTrailEvent** Una cadena JSON que contiene una representación de objeto del evento devuelto. Para obtener información sobre cada uno de los elementos devueltos, consulte la información sobre el [contenido del cuerpo del registro](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/cloudtrail-event-reference-record-contents.html). **EventId** Una cadena que contiene el GUID del evento devuelto. **EventName** Una cadena que contiene el nombre del evento devuelto. **EventSource** El AWS servicio al que se realizó la solicitud. **EventTime** La fecha y la hora, en formato de tiempo UNIX, del evento. **Recursos** Una lista de los recursos a los que hace referencia el evento devuelto. Cada entrada de recurso especifica un tipo de recurso y un nombre de recurso. **ResourceName** Una cadena que contiene el nombre del recurso al que hace referencia el evento. **ResourceType** Una cadena que contiene el tipo de recurso al que hace referencia el evento. Cuando el tipo de recurso no se puede determinar, se devuelve null. **Nombre de usuario** Una cadena que contiene el nombre de usuario de la cuenta del evento devuelto. **NextToken** Una cadena para obtener la siguiente página de resultados de un comando `lookup-events` anterior. Para utilizar el token, los parámetros deben ser los mismos que los del comando original. Si no aparece ninguna entrada `NextToken` en la salida, no hay más resultados que devolver. Para obtener más información sobre los eventos de CloudTrail Insights, consulte [Trabajar con CloudTrail Insights](logging-insights-events-with-cloudtrail.md) esta guía.