Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.
# Registrar llamadas a la API de Macie con AWS CloudTrail
Amazon Macie se integra con [AWS CloudTrail](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/cloudtrail-user-guide.html), que es un servicio que proporciona un registro de las acciones realizadas por un usuario, un rol o un. Servicio de AWS CloudTrailcaptura todas las llamadas a la API de Macie como eventos de administración. Las llamadas capturadas incluyen las llamadas desde la consola de Amazon Macie y las llamadas programáticas a las operaciones de la API de Amazon Macie. Al utilizar la información recopilada por Macie CloudTrail, puede determinar la solicitud que se realizó a Macie, la dirección IP desde la que se realizó la solicitud, cuándo se realizó y detalles adicionales.
Cada entrada de registro o evento contiene información sobre quién generó la solicitud. La información de identidad del usuario le ayuda a determinar lo siguiente:
+ Si la solicitud se realizó con las credenciales del usuario raíz o del usuario.
+ Si la solicitud se realizó en nombre de un AWS IAM Identity Center usuario.
+ Si la solicitud se realizó con credenciales de seguridad temporales de un rol o fue un usuario federado.
+ Si la solicitud la realizó otro Servicio de AWS.
CloudTrail está activa en tu cuenta Cuenta de AWS al crear la cuenta y automáticamente tienes acceso al **historial de CloudTrail eventos**. El **historial de CloudTrail eventos** proporciona un registro visible, consultable, descargable e inmutable de los últimos 90 días de eventos de gestión registrados en un. Región de AWS*Para obtener más información, consulte [Trabajar con el historial de CloudTrail eventos en la Guía del usuario](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/view-cloudtrail-events.html).AWS CloudTrail * La visualización del **historial de eventos** no conlleva ningún CloudTrail cargo.
Para tener un registro continuo de los eventos de Cuenta de AWS los últimos 90 días, crea un banco de datos de eventos de senderos o CloudTrail lagos.
**CloudTrail senderos**
Un *rastro* permite CloudTrail entregar archivos de registro a un bucket de Amazon S3. Todos los senderos creados con él Consola de administración de AWS son multirregionales. Puede crear un registro de seguimiento de una sola región o multirregionales mediante la AWS CLI. Se recomienda crear un sendero multirregional, ya que puedes capturar toda la actividad de tu Regiones de AWS cuenta. Si crea un registro de seguimiento de una sola región, solo podrá ver los eventos registrados en la Región de AWS del registro de seguimiento. Para obtener más información acerca de los registros de seguimiento, consulte [Creación de un registro de seguimiento para su Cuenta de AWS](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/cloudtrail-create-and-update-a-trail.html) y [Creación de un registro de seguimiento para una organización](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/creating-trail-organization.html) en la *Guía del usuario de AWS CloudTrail *.
Puede enviar una copia de sus eventos de administración en curso a su bucket de Amazon S3 sin coste alguno CloudTrail mediante la creación de una ruta; sin embargo, hay cargos por almacenamiento en Amazon S3. Para obtener más información sobre CloudTrail los precios, consulte [AWS CloudTrail Precios](https://aws.amazon.com/cloudtrail/pricing/). Para obtener información acerca de los precios de Amazon S3, consulte [Precios de Amazon S3](https://aws.amazon.com/s3/pricing/).
**CloudTrail Almacenes de datos de eventos en Lake**
*CloudTrail Lake* le permite ejecutar consultas basadas en SQL en sus eventos. CloudTrail Lake convierte los eventos existentes en formato JSON basado en filas al formato [Apache](https://orc.apache.org/) ORC. ORC es un formato de almacenamiento en columnas optimizado para una recuperación rápida de datos. Los eventos se agregan en *almacenes de datos de eventos*, que son recopilaciones inmutables de eventos en función de criterios que se seleccionan aplicando [selectores de eventos avanzados](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/cloudtrail-lake-concepts.html#adv-event-selectors). Los selectores que se aplican a un almacén de datos de eventos controlan los eventos que perduran y están disponibles para la consulta. Para obtener más información sobre CloudTrail Lake, consulte Cómo [trabajar con AWS CloudTrail Lake](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/cloudtrail-lake.html) en la Guía del *AWS CloudTrail usuario*.
CloudTrail Los almacenes de datos y las consultas sobre eventos de Lake conllevan costes. Cuando crea un almacén de datos de eventos, debe elegir la [opción de precios](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/cloudtrail-lake-manage-costs.html#cloudtrail-lake-manage-costs-pricing-option) que desee utilizar para él. La opción de precios determina el costo de la incorporación y el almacenamiento de los eventos, así como el período de retención predeterminado y máximo del almacén de datos de eventos. Para obtener más información sobre CloudTrail los precios, consulte [AWS CloudTrail Precios](https://aws.amazon.com/cloudtrail/pricing/).
## Eventos de gestión de Macie en AWS CloudTrail
[Los eventos de administración](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/logging-management-events-with-cloudtrail.html#logging-management-events) proporcionan información sobre las operaciones de administración que se realizan en los recursos de su Cuenta de AWS. Se denominan también operaciones del plano de control. De forma predeterminada, CloudTrail registra los eventos de administración.
Amazon Macie registra todas las operaciones del plano de control de Macie como eventos de gestión en. CloudTrail Por ejemplo, las llamadas al y `ListFindings` las `DescribeBuckets` `CreateClassificationJob` operaciones generan eventos de administración en. CloudTrail Cada evento incluye un campo `eventSource`. Este campo indica al Servicio de AWS que se realizó una solicitud. Para los eventos de Macie, el valor de este campo es: `macie2.amazonaws.com`.
Para obtener una lista de las operaciones del plano de control en las que inicia sesión Macie CloudTrail, consulte [Operations](https://docs.aws.amazon.com/macie/latest/APIReference/operations.html) in the *Amazon Macie* API Reference.
## Ejemplos de eventos de Macie en AWS CloudTrail
Un evento representa una solicitud única de cualquier fuente e incluye información sobre la operación de API solicitada, la fecha y la hora de la operación, los parámetros de la solicitud, etc. CloudTrail Los archivos de registro no son un registro ordenado de las llamadas a la API pública, por lo que los eventos no aparecen en ningún orden específico.
Los siguientes ejemplos muestran CloudTrail eventos que demuestran las operaciones de Amazon Macie. Para obtener más información sobre la información que puede contener un evento, consulte el [contenido de los CloudTrail registros](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/cloudtrail-event-reference-record-contents.html) en la *Guía del AWS CloudTrail usuario*.
**Topics**
+ [Listar los hallazgos](#logging-ct-events-example-listfindings)
+ [Recuperación y revelación de muestras de datos confidenciales de un resultado](#logging-ct-events-example-getsdoccurrences)
+ [Eliminar una invitación de membresía](#logging-ct-events-example-deleteinvitations)
+ [Deshabilitación de Macie](#logging-ct-events-example-disablemacie)
### Ejemplo: enumeración de resultados
El siguiente ejemplo muestra un CloudTrail evento de la operación Amazon Macie. [https://docs.aws.amazon.com/macie/latest/APIReference/findings.html](https://docs.aws.amazon.com/macie/latest/APIReference/findings.html) En este ejemplo, un usuario AWS Identity and Access Management (de IAM) (`Mary_Major`) utilizó la consola de Amazon Macie para recuperar un subconjunto de información sobre los resultados de las políticas actuales de su cuenta.
```
{
"eventVersion": "1.08",
"userIdentity": {
"type": "IAMUser",
"principalId": "123456789012",
"arn": "arn:aws:iam::123456789012:user/Mary_Major",
"accountId": "123456789012",
"accessKeyId": "AKIAIOSFODNN7EXAMPLE",
"userName": "Mary_Major",
"sessionContext":{
"attributes": {
"creationdate": "2024-11-14T15:49:57Z",
"mfaAuthenticated": "false"
}
}
},
"eventTime": "2024-11-14T16:09:56Z",
"eventSource": "macie2.amazonaws.com",
"eventName": "ListFindings",
"awsRegion": "us-east-1",
"sourceIPAddress": "198.51.100.1",
"userAgent": "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/119.0.0.0 Safari/537.36",
"requestParameters": {
"sortCriteria": {
"attributeName": "updatedAt",
"orderBy": "DESC"
},
"findingCriteria": {
"criterion": {
"archived": {
"eq": [
"false"
]
},
"category": {
"eq": [
"POLICY"
]
}
}
},
"maxResults": 25,
"nextToken": ""
},
"responseElements": null,
"requestID": "d58af6be-1115-4a41-91f8-ace03example",
"eventID": "ad97fac5-f7cf-4ff9-9cf2-d0676example",
"readOnly": true,
"eventType": "AwsApiCall",
"managementEvent": true,
"recipientAccountId": "123456789012",
"eventCategory": "Management"
}
```
### Ejemplo: recuperación de muestras de datos confidenciales de un resultado
En este ejemplo, se muestran CloudTrail los eventos para recuperar y revelar muestras de datos confidenciales que Amazon Macie informó en un hallazgo. En este ejemplo, un usuario de IAM (`JohnDoe`) utilizó la consola de Amazon Macie para recuperar y revelar muestras de datos confidenciales. La cuenta del usuario está configurada para asumir un rol de IAM (`MacieReveal`) con el objetivo de recuperar y revelar muestras de datos confidenciales de objetos de Amazon Simple Storage Service (Amazon S3) afectados.
El siguiente evento muestra detalles sobre la solicitud del usuario de recuperar y revelar muestras de datos confidenciales mediante la operación Amazon Macie. [https://docs.aws.amazon.com/macie/latest/APIReference/findings-findingid-reveal.html](https://docs.aws.amazon.com/macie/latest/APIReference/findings-findingid-reveal.html)
```
{
"eventVersion": "1.08",
"userIdentity": {
"type": "AssumedRole",
"principalId": "UU4MH7OYK5ZCOAEXAMPLE:JohnDoe",
"arn": "arn:aws:sts::111122223333:assumed-role/Admin/JohnDoe",
"accountId": "111122223333",
"accessKeyId": "AKIAI44QH8DHBEXAMPLE",
"sessionContext": {
"sessionIssuer": {
"type": "Role",
"principalId": "UU4MH7OYK5ZCOAEXAMPLE",
"arn": "arn:aws:iam::111122223333:role/Admin",
"accountId": "111122223333",
"userName": "Admin"
},
"webIdFederationData": {},
"attributes": {
"creationDate": "2024-12-12T14:40:23Z",
"mfaAuthenticated": "false"
}
}
},
"eventTime": "2024-12-12T17:04:47Z",
"eventSource": "macie2.amazonaws.com",
"eventName": "GetSensitiveDataOccurrences",
"awsRegion": "us-east-1",
"sourceIPAddress": "198.51.100.252",
"userAgent": "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/119.0.0.0 Safari/537.36",
"requestParameters": {
"findingId": "3ad9d8cd61c5c390bede45cd2example"
},
"responseElements": null,
"requestID": "c30cb760-5102-47e7-88d8-ff2e8example",
"eventID": "baf52d92-f9c3-431a-bfe8-71c81example",
"readOnly": true,
"eventType": "AwsApiCall",
"managementEvent": true,
"recipientAccountId": "111122223333",
"eventCategory": "Management"
}
```
El siguiente evento muestra detalles sobre cómo Macie asume el rol de IAM especificado (`MacieReveal`) mediante la operación AWS Security Token Service (AWS STS). [https://docs.aws.amazon.com/STS/latest/APIReference/API_AssumeRole.html](https://docs.aws.amazon.com/STS/latest/APIReference/API_AssumeRole.html)
```
{
"eventVersion": "1.08",
"userIdentity": {
"type": "AWSService",
"invokedBy": "reveal-samples.macie.amazonaws.com"
},
"eventTime": "2024-12-12T17:04:47Z",
"eventSource": "sts.amazonaws.com",
"eventName": "AssumeRole",
"awsRegion": "us-east-1",
"sourceIPAddress": "reveal-samples.macie.amazonaws.com",
"userAgent": "reveal-samples.macie.amazonaws.com",
"requestParameters": {
"roleArn": "arn:aws:iam::111122223333:role/MacieReveal",
"roleSessionName": "RevealCrossAccount"
},
"responseElements": {
"credentials": {
"accessKeyId": "AKIAI44QH8DHBEXAMPLE",
"sessionToken": "XXYYaz...
EXAMPLE_SESSION_TOKEN
XXyYaZAz",
"expiration": "Dec 12, 2024, 6:04:47 PM"
},
"assumedRoleUser": {
"assumedRoleId": "AROAXOTKAROCSNEXAMPLE:RevealCrossAccount",
"arn": "arn:aws:sts::111122223333:assumed-role/MacieReveal/RevealCrossAccount"
}
},
"requestID": "d905cea8-2dcb-44c1-948e-19419example",
"eventID": "74ee4d0c-932d-3332-87aa-8bcf3example",
"readOnly": true,
"resources": [
{
"accountId": "111122223333",
"type": "AWS::IAM::Role",
"ARN": "arn:aws:iam::111122223333:role/MacieReveal"
}
],
"eventType": "AwsApiCall",
"managementEvent": true,
"recipientAccountId": "111122223333",
"eventCategory": "Management"
}
```
### Ejemplo: eliminar una invitación de membresía
El siguiente ejemplo muestra un CloudTrail evento de la operación Amazon Macie. [DeleteInvitations](https://docs.aws.amazon.com/macie/latest/APIReference/invitations-delete.html) En este ejemplo, Macie registró un evento en la cuenta de administrador delegado de Macie de una organización cuando un miembro desasoció su cuenta de la cuenta del administrador y eliminó la invitación del administrador para unirse a la organización. En el ejemplo, el identificador de cuenta del administrador es. Cuenta de AWS `777788889999` El ID de cuenta de la cuenta del miembro es`111122223333`.
```
{
"eventVersion": "1.11",
"userIdentity": {
"type": "AWSAccount",
"accountId": "111122223333",
"invokedBy": "macie2.amazonaws.com"
},
"eventTime": "2025-09-20T18:44:58Z",
"eventSource": "macie2.amazonaws.com",
"eventName": "MacieMemberUpdated",
"awsRegion": "us-east-2",
"sourceIPAddress": "macie2.amazonaws.com",
"userAgent": "macie2.amazonaws.com",
"requestParameters": null,
"responseElements": null,
"eventID": "2f08152c-66b9-35f8-8a10-6fe1bexample",
"readOnly": false,
"resources": [{
"accountId": "777788889999",
"type": "AWS::Macie::Member",
"ARN": "arn:aws:macie2:us-east-2:777788889999:member/111122223333"
}],
"eventType": "AwsServiceEvent",
"managementEvent": true,
"recipientAccountId": "777788889999",
"sharedEventID": "2bff2ad0-f233-48c6-8720-ca9dbexample",
"serviceEventDetails": {
"memberAccount": "111122223333",
"memberResourceStatus": "DELETED",
"apiOperation": "DeleteInvitations"
},
"eventCategory": "Management"
}
```
### Ejemplo: deshabilitar Macie
Este ejemplo muestra CloudTrail los eventos para deshabilitar Amazon Macie para un. Cuenta de AWS En este ejemplo, un usuario de IAM (`JohnDoe`) deshabilitó a Macie para su cuenta. A continuación, Macie canceló y eliminó todos los trabajos de descubrimiento de datos confidenciales de la cuenta, además de eliminar otros recursos y datos de Macie de la cuenta.
El siguiente evento muestra detalles sobre la solicitud del usuario de deshabilitar Macie para su cuenta mediante la operación Amazon [https://docs.aws.amazon.com/macie/latest/APIReference/macie.html](https://docs.aws.amazon.com/macie/latest/APIReference/macie.html)Macie.
```
{
"eventVersion": "1.09",
"userIdentity": {
"type": "AssumedRole",
"principalId": "AROAXYKJR2G5JXEXAMPLE:JohnDoe",
"arn": "arn:aws:sts::123456789012:assumed-role/Admin/JohnDoe",
"accountId": "123456789012",
"accessKeyId": "AKIAIOSFODNN7EXAMPLE",
"sessionContext": {
"sessionIssuer": {
"type": "Role",
"principalId": "AROAXYKJR2G5JXEXAMPLE",
"arn": "arn:aws:iam::123456789012:role/Admin",
"accountId": "123456789012",
"userName": "Admin"
},
"attributes": {
"creationDate": "2025-09-18T21:54:42Z",
"mfaAuthenticated": "true"
}
}
},
"eventTime": "2025-09-18T21:57:06Z",
"eventSource": "macie2.amazonaws.com",
"eventName": "DisableMacie",
"awsRegion": "us-east-2",
"sourceIPAddress": "198.51.100.1",
"userAgent": "aws-cli/2.17.9 md/awscrt#0.20.11 ua/2.0 os/macos#24.4.0 md/arch#x86_64 lang/python#3.11.8 md/pyimpl#CPython cfg/retry-mode#standard md/installer#exe md/prompt#off md/command#macie2.disable-macie",
"requestParameters": null,
"responseElements": null,
"requestID": "941d1d6c-c1b2-4db5-845f-1250cexample",
"eventID": "06554dba-417b-4a65-90b8-4e5d5example",
"readOnly": false,
"eventType": "AwsApiCall",
"managementEvent": true,
"recipientAccountId": "123456789012",
"eventCategory": "Management"
}
```
El siguiente evento muestra detalles sobre cómo Macie canceló y eliminó una de las tareas de descubrimiento de datos confidenciales de la cuenta.
```
{
"eventVersion": "1.11",
"userIdentity": {
"type": "Root",
"accountId": "123456789012",
"invokedBy": "macie2.amazonaws.com"
},
"eventTime": "2025-09-18T21:57:18Z",
"eventSource": "macie2.amazonaws.com",
"eventName": "MacieClassificationJobCancelled",
"awsRegion": "us-east-2",
"sourceIPAddress": "macie2.amazonaws.com",
"userAgent": "macie2.amazonaws.com",
"requestParameters": null,
"responseElements": null,
"eventID": "df39ea1d-cd4e-4130-8cd5-cd33cexample",
"readOnly": false,
"resources": [{
"accountId": "123456789012",
"type": "AWS::Macie::ClassificationJob",
"ARN": "arn:aws:macie2:us-east-2:123456789012:classification-job/f252cbe854ae0a1a47d8304f4example"
}],
"eventType": "AwsServiceEvent",
"managementEvent": true,
"recipientAccountId": "123456789012",
"serviceEventDetails": {
"macieStatus": "DISABLED",
"classificationJobStatus": "CANCELLED"
},
"eventCategory": "Management"
}
```