Registro de llamadas a la API de Amazon EventBridge mediante AWS CloudTrail

Amazon EventBridge se integra con AWS CloudTrail, un servicio que proporciona un registro de las acciones realizadas por un usuario, un rol o un Servicio de AWS. CloudTrail captura todas las llamadas a la API de EventBridge como eventos. Las llamadas capturadas incluyen las llamadas desde la consola de EventBridge y las llamadas desde el código a las operaciones de la API de EventBridge. Mediante la información recopilada por CloudTrail, puede determinar la solicitud que se realizó en EventBridge, la dirección IP desde la que se realizó, cuándo se realizó y detalles adicionales.

Cada entrada de registro o evento contiene información sobre quién generó la solicitud. La información de identidad del usuario le ayuda a determinar lo siguiente:

CloudTrail está activado en la Cuenta de AWS cuando usted crea la cuenta y tiene acceso automático al Historial de eventos de CloudTrail. El Historial de eventos de CloudTrail proporciona un registro visible e inmutable, que se puede buscar y descargar, de los últimos 90 días de eventos de gestión registrados en una Región de AWS. Para obtener más información, consulte Trabajar con el historial de eventos de CloudTrail en la Guía del usuario de AWS CloudTrail. No se cobran cargos de CloudTrail por ver el Historial de eventos.

Para mantener un registro permanente de los eventos en su Cuenta de AWS más allá de los 90 días, cree un registro de seguimiento o un almacén de datos de eventos de CloudTrail Lake.

EventBridgeEventos de administración de en CloudTrail

Los eventos de administración proporcionan información sobre las operaciones de administración que se realizan en los recursos de su Cuenta de AWS. Se denominan también operaciones del plano de control. CloudTrail registra los eventos de administración de forma predeterminada.

Amazon EventBridge registra todas las operaciones de plano de control de EventBridge como eventos de administración. Para obtener una lista de las operaciones de plano de control de Amazon EventBridge que EventBridge registra en CloudTrail, consulte Referencia de la API de Amazon EventBridge.

En la siguiente tabla se muestran los tipos de recurso de EventBridge para los que puede registrar eventos. La columna Tipo de evento (consola) muestra el valor que se debe elegir en la lista de tipos de eventos de la consola de CloudTrail. La columna API registradas en CloudTrail muestra las llamadas a la API registradas en CloudTrail para el tipo de recurso.

EventBridgeEjemplos de eventos de

Un evento representa una única solicitud de cualquier origen e incluye información sobre la operación de la API solicitada, la fecha y la hora de la operación o los parámetros de la solicitud, entre otras cosas. Los archivos de registro de CloudTrail no rastrean el orden en la pila de las llamadas a la API públicas, por lo que los eventos no aparecen en un orden específico.

En el ejemplo que sigue se muestra un evento de CloudTrail que ilustra la operación PutRule.

{
  "eventVersion":"1.03",
  "userIdentity":{
    "type":"Root",
    "principalId":"123456789012",
    "arn":"arn:aws:iam::123456789012:root",
    "accountId":"123456789012",
    "accessKeyId":"AKIAIOSFODNN7EXAMPLE",
    "sessionContext":{
      "attributes":{
      "mfaAuthenticated":"false",
      "creationDate":"2015-11-17T23:56:15Z"
      }
    }
  },
  "eventTime":"2015-11-18T00:11:28Z",
  "eventSource":"events.amazonaws.com",
  "eventName":"PutRule",
  "awsRegion":"us-east-1",
  "sourceIPAddress":"AWS Internal",
  "userAgent":"AWS CloudWatch Console",
  "requestParameters":{
    "description":"",
    "name":"cttest2",
    "state":"ENABLED",
    "eventPattern":"{\"source\":[\"aws.ec2\"],\"detail-type\":[\"EC2 Instance State-change Notification\"]}",
    "scheduleExpression":""
  },
  "responseElements":{
    "ruleArn":"arn:aws:events:us-east-1:123456789012:rule/cttest2"
  },
  "requestID":"e9caf887-8d88-11e5-a331-3332aa445952",
  "eventID":"49d14f36-6450-44a5-a501-b0fdcdfaeb98",
  "eventType":"AwsApiCall",
  "apiVersion":"2015-10-07",
  "recipientAccountId":"123456789012"
}

Para obtener información sobre el contenido de los registros de CloudTrail, consulte Contenido de los registros de CloudTrail en la Guía del usuario de AWS CloudTrail.

Entradas de registro de CloudTrail para acciones realizadas por canalizaciones de EventBridge

Las canalizaciones de EventBridge asumen el rol de IAM proporcionado al leer eventos de orígenes, invocar enriquecimientos o invocar destinos. En el caso de las entradas de CloudTrail relacionadas con las acciones realizadas en su cuenta en todos los enriquecimientos, destinos y orígenes de Amazon SQS, Kinesis y DynamoDB, los campos sourceIPAddress y invokedBy incluirán pipes.amazonaws.com.

Ejemplo de entrada de registro de CloudTrail para todos los enriquecimientos, destinos y orígenes de Amazon SQS, Kinesis y DynamoDB

{
  "eventVersion": "1.08",
  "userIdentity": {
    "type": "AssumedRole",
    "principalId": "...",
    "arn": "arn:aws:sts::111222333444:assumed-role/...",
    "accountId": "111222333444",
    "accessKeyId": "...",
    "sessionContext": {
      "sessionIssuer": {
        "type": "Role",
        "principalId": "...",
        "arn": "...",
        "accountId": "111222333444",
        "userName": "userName"
      },
      "webIdFederationData": {},
      "attributes": {
        "creationDate": "2022-09-22T21:41:15Z",
        "mfaAuthenticated": "false"
      }
    },
    "invokedBy": "pipes.amazonaws.com"
  },
  "eventTime": ",,,",
  "eventName": "...",
  "awsRegion": "us-west-2",
  "sourceIPAddress": "pipes.amazonaws.com",
  "userAgent": "pipes.amazonaws.com",
  "requestParameters": {
    ...
  },
  "responseElements": null,
  "requestID": "...",
  "eventID": "...",
  "readOnly": true,
  "eventType": "AwsApiCall",
  "managementEvent": true,
  "recipientAccountId": "...",
  "eventCategory": "Management"
}

Para el resto de los orígenes, el campo sourceIPAddress de las entradas de registro de CloudTrail tendrá una dirección IP dinámica y no se debe confiar en ella para ninguna integración o categorización de eventos. Además, estas entradas no tendrán el campo invokedBy.

Ejemplo de entrada de registro de CloudTrail para el resto de orígenes

{
  "eventVersion": "1.08",
  "userIdentity": {
    ...
  },
  "eventTime": ",,,",
  "eventName": "...",
  "awsRegion": "us-west-2",
  "sourceIPAddress": "127.0.0.1",
  "userAgent": "Python-httplib2/0.8 (gzip)",
}