Journalisation des opérations de DynamoDB à l’aide d’AWS CloudTrail

DynamoDB est intégré avec AWS CloudTrail, service qui enregistre les actions accomplies par un utilisateur, un rôle ou un service AWS dans DynamoDB. CloudTrail récupère tous les appels d’API pour DynamoDB en tant qu’événements. Les appels capturés incluent les appels de la console DynamoDB et les appels de code aux opérations d’API DynamoDB, en utilisant à la fois PartiQL et l’API classique. Si vous créez un journal de suivi, vous pouvez activer la livraison continue des événements CloudTrail dans un compartiment Amazon S3, y compris les événements pour DynamoDB. Si vous ne configurez pas de journal d’activité, vous pouvez toujours afficher les événements les plus récents dans la console CloudTrail dans Event history (Historique des événements). Avec les informations collectées par CloudTrail, vous pouvez déterminer la demande qui a été adressée à DynamoDB, l’adresse IP à partir de laquelle la demande a été effectuée, l’auteur et la date de la demande, ainsi que d’autres détails.

Pour une surveillance et des alertes robustes, vous pouvez également intégrer des événements CloudTrail avec Amazon CloudWatch Logs. Pour améliorer votre analyse de l’activité de service DynamoDB et identifier les changements dans les activités d’un compte AWS, vous pouvez interroger les journaux AWS CloudTrail à l’aide d’Amazon Athena. Par exemple, vous pouvez utiliser des requêtes pour identifier des tendances et isoler davantage l’activité par attributs, comme l’adresse IP source ou l’utilisateur.

Pour en savoir plus sur CloudTrail, y compris la façon de le configurer et de l’activer, consultez le AWS CloudTrail Guide de l’utilisateur.

Informations de DynamoDB dans CloudTrail

CloudTrail est activé dans votre compte AWS lors de la création de ce dernier. Quand une activité d’événement prise en charge a lieu dans DynamoDB, elle est enregistrée dans un événement CloudTrail avec d’autres événements de service AWS, dans Event history (Historique des événements). Vous pouvez afficher, rechercher et télécharger les événements récents dans votre compte AWS. Pour plus d’informations, consultez Utilisation de l’historique des événements CloudTrail.

Pour un registre continu des événements dans votre compte AWS, y compris des événements pour DynamoDB, créez un journal d’activité. Un journal de suivi permet à CloudTrail de livrer des fichiers journaux à compartiment Amazon S3. Par défaut, lorsque vous créez un journal de suivi dans la console, il s’applique à toutes les régions AWS. Le journal de suivi consigne les événements de toutes les Régions dans la partition AWS et livre les fichiers journaux dans le compartiment Amazon S3 de votre choix. En outre, vous pouvez configurer d’autres services AWS pour analyser et agir sur les données d’événements collectées dans les journaux CloudTrail. Pour plus d’informations, consultez les ressources suivantes :

Contrôler les événements de plan dans CloudTrail

Les actions d’API suivantes sont journalisées par défaut en tant qu’événements dans des fichiers CloudTrail :

Amazon DynamoDB

DynamoDB Streams

DynamoDB Accelerator (DAX)

Événements de plan de données DynamoDB dans CloudTrail

Pour activer la journalisation des actions d’API suivantes dans des fichiers CloudTrail, vous devez activer la journalisation de l’activité de l’API de plan de données dans CloudTrail. Pour plus d’informations, consultez Consignation d’événements de données pour les journaux d’activité.

Les événements de plan de données peuvent être filtrés par type de ressource pour un contrôle granulaire des appels d’API DynamoDB que vous souhaitez journaliser et payer de manière sélective dans CloudTrail. Par exemple, en spécifiant AWS::DynamoDB::Stream comme type de ressource, vous pouvez journaliser uniquement les appels aux API de flux DynamoDB. Pour les tables ayant les flux activés, le champ de ressource dans l’événement de plan de données contient à la fois AWS::DynamoDB::Stream et AWS::DynamoDB::Table. Si vous spécifiez AWS::DynamoDB::Table comme type de ressource, les événements de table DynamoDB et les événements de flux DynamoDB sont journalisés par défaut. Vous pouvez ajouter un filtre supplémentaire pour exclure les événements de flux si vous ne voulez pas que ceux-ci soient journalisés. Pour plus d’informations, consultez DataResource dans la Référence de l’API AWS CloudTrail.

Amazon DynamoDB

DynamoDB Streams