Visualisation des événements Insights pour les sentiers avec le AWS CLI - AWS CloudTrail

Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Visualisation des événements Insights pour les sentiers avec le AWS CLI

Cette section explique comment utiliser la list-insights-data commande AWS CLI lookup-events et pour rechercher un historique des événements Insights des 90 derniers jours pour trouver un historique avec les événements Insights activés. Pour plus d'informations sur la façon d'activer CloudTrail Insights on a trail, consultezEnregistrement des événements Insights pour un parcours à l'aide du AWS CLI.

Note

Vous ne pouvez pas utiliser la list-insights-data commande lookup-events ou pour rechercher des événements Insights pour un magasin de données d'événements. Toutefois, CloudTrail Lake propose un certain nombre d'exemples de requêtes pour les magasins de données d'événements Insights. Pour de plus amples informations, veuillez consulter Affichage d'exemples de requêtes pour les événements Insights.

La commande lookup-events dispose des options suivantes :

  • --end-time

  • --event-category

  • --max-results

  • --start-time

  • --lookup-attributes

  • --next-token

  • --generate-cli-skeleton

  • --cli-input-json

La commande list-insights-data dispose des options suivantes :

  • --end-time

  • --data-type

  • --max-results

  • --start-time

  • --dimensions

  • --next-token

  • --generate-cli-skeleton

  • --cli-input-json

Pour obtenir des informations générales sur l'utilisation du AWS Command Line Interface, consultez le guide de AWS Command Line Interface l'utilisateur.

Conditions préalables

  • Pour exécuter AWS CLI des commandes, vous devez installer le AWS CLI. Pour plus d’informations, consultez la section Démarrage avec l’ AWS CLI.

  • Assurez-vous que votre AWS CLI version est supérieure à 1.6.6. Pour vérifier la version de la CLI, exécutez aws --version sur la ligne de commande.

  • Pour définir le compte, la région et le format de sortie par défaut pour une AWS CLI session, utilisez la aws configure commande. Pour plus d’informations, consultez Configuration de l’interface de ligne de commande AWS.

  • Pour enregistrer les événements Insights sur le taux d'appels de l'API, le journal doit enregistrer les événements write de gestion. Pour enregistrer les événements Insights sur le taux d'erreur de l'API, le journal doit enregistrer read les événements write de gestion.

Note

Les CloudTrail AWS CLI commandes distinguent les majuscules et minuscules.

Obtenir de l’aide de la ligne de commande

Pour voir l’aide de la ligne de commande pour lookup-events, tapez la commande suivante.

aws cloudtrail lookup-events help

Rechercher des événements Insights pour des événements de gestion

Pour voir les 50 derniers événements Insights, tapez la commande suivante.

aws cloudtrail lookup-events --event-category insight

Un événement renvoyé ressemble à l’exemple suivant,

{ "NextToken": "kbOt5LlZe++mErCebpy2TgaMgmDvF1kYGFcH64JSjIbZFjsuvrSqg66b5YGssKutDYIyII4lrP4IDbeQdiObkp9YAlju3oXd12juEXAMPLE=", "Events": [ { "eventVersion": "1.09", "eventTime": "2024-12-11T16:52:00Z", "awsRegion": "us-east-1", "eventID": "18378b1e-3653-433d-ba1e-aa11a5958f0c", "eventType": "AwsCloudTrailInsight", "recipientAccountId": "888888888888", "sharedEventID": "fccb064f-dd07-4822-97c0-11115d8b91d4", "insightDetails": { "state": "Start", "eventSource": "cloudtrail.amazonaws.com", "eventName": "DescribeQuery", "insightType": "ApiErrorRateInsight", "errorCode": "QueryIdNotFoundException", "sourceEventCategory": "Management", "insightContext": { "statistics": { "baseline": { "average": 0 }, "insight": { "average": 1.2 }, "insightDuration": 5, "baselineDuration": 11092 }, "attributions": [ { "attribute": "userIdentityArn", "insight": [ { "value": "arn:aws:sts::888888888888:assumed-role/Admin", "average": 1.2 } ], "baseline": [] }, { "attribute": "userAgent", "insight": [ { "value": "Mozilla/5.0 (Macintosh; Intel Mac OS X 10_15_7) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/131.0.0.0 Safari/537.36", "average": 1.2 } ], "baseline": [] } ] } }, "eventCategory": "Insight" }, { "eventVersion": "1.09", "eventTime": "2024-12-11T16:53:00Z", "awsRegion": "us-east-1", "eventID": "b32f10a0-f039-419a-bad7-e95468930a4f", "eventType": "AwsCloudTrailInsight", "recipientAccountId": "888888888888", "sharedEventID": "fccb064f-dd07-4822-97c0-11115d8b91d4", "insightDetails": { "state": "End", "eventSource": "cloudtrail.amazonaws.com", "eventName": "DescribeQuery", "insightType": "ApiErrorRateInsight", "errorCode": "QueryIdNotFoundException", "sourceEventCategory": "Management", "insightContext": { "statistics": { "baseline": { "average": 0 }, "insight": { "average": 6 }, "insightDuration": 1, "baselineDuration": 11092 }, "attributions": [ { "attribute": "userIdentityArn", "insight": [ { "value": "arn:aws:sts::888888888888:assumed-role/Admin", "average": 6 } ], "baseline": [] }, { "attribute": "userAgent", "insight": [ { "value": "Mozilla/5.0 (Macintosh; Intel Mac OS X 10_15_7) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/131.0.0.0 Safari/537.36", "average": 6 } ], "baseline": [] } ] } }, "eventCategory": "Insight" } ] }

Pour une explication des champs liés à la recherche dans la sortie, consultez Champs de résultat de la recherche dans cette rubrique. Pour une explication sur les champs de l'événement Insights, consultez CloudTrail enregistrer le contenu des événements Insights pour les sentiers.

Rechercher des événements Insights pour des événements liés aux données

Pour voir les 50 derniers événements Insights, tapez la commande suivante.

aws cloudtrail list-insights-data --data-type InsightsEvents --insight-source arn:aws:cloudtrail:us-east-2:123456789012:trail/TrailName

Un événement renvoyé ressemble à l’exemple suivant,

{ "NextToken": "kbOt5LlZe++mErCebpy2TgaMgmDvF1kYGFcH64JSjIbZFjsuvrSqg66b5YGssKutDYIyII4lrP4IDbeQdiObkp9YAlju3oXd12juEXAMPLE=", "Events": [ { "eventVersion": "1.09", "eventTime": "2024-12-11T16:52:00Z", "awsRegion": "us-east-2", "eventID": "18378b1e-3653-433d-ba1e-aa11a5958f0c", "eventType": "AwsCloudTrailInsight", "recipientAccountId": "123456789012", "sharedEventID": "fccb064f-dd07-4822-97c0-11115d8b91d4", "insightDetails": { "state": "Start", "eventSource": "s3.amazonaws.com", "eventName": "PutObject", "insightType": "ApiErrorRateInsight", "errorCode": "InvalidRequest", "sourceEventCategory": "Data", "insightContext": { "statistics": { "baseline": { "average": 0 }, "insight": { "average": 1.2 }, "insightDuration": 5, "baselineDuration": 11092 }, "attributions": [ { "attribute": "userIdentityArn", "insight": [ { "value": "arn:aws:sts::123456789012:assumed-role/Admin", "average": 1.2 } ], "baseline": [] }, { "attribute": "userAgent", "insight": [ { "value": "Mozilla/5.0 (Macintosh; Intel Mac OS X 10_15_7) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/131.0.0.0 Safari/537.36", "average": 1.2 } ], "baseline": [] } ] }, "insightSource": "arn:aws:cloudtrail:us-east-2:123456789012:trail/TrailName" }, "eventCategory": "Insight" }, { "eventVersion": "1.09", "eventTime": "2024-12-11T16:53:00Z", "awsRegion": "us-east-1", "eventID": "b32f10a0-f039-419a-bad7-e95468930a4f", "eventType": "AwsCloudTrailInsight", "recipientAccountId": "123456789012", "sharedEventID": "fccb064f-dd07-4822-97c0-11115d8b91d4", "insightDetails": { "state": "End", "eventSource": "s3.amazonaws.com", "eventName": "PutObject", "insightType": "ApiErrorRateInsight", "errorCode": "InvalidRequest", "sourceEventCategory": "Data", "insightContext": { "statistics": { "baseline": { "average": 0 }, "insight": { "average": 6 }, "insightDuration": 1, "baselineDuration": 11092 }, "attributions": [ { "attribute": "userIdentityArn", "insight": [ { "value": "arn:aws:sts::123456789012:assumed-role/Admin", "average": 6 } ], "baseline": [] }, { "attribute": "userAgent", "insight": [ { "value": "Mozilla/5.0 (Macintosh; Intel Mac OS X 10_15_7) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/131.0.0.0 Safari/537.36", "average": 6 } ], "baseline": [] } ] }, "insightSource": "arn:aws:cloudtrail:us-east-2:123456789012:trail/TrailName" }, "eventCategory": "Insight" } ] }

Spécification du nombre d'événements Insights auxquels les événements de gestion doivent être renvoyés

Pour spécifier le nombre d'événements Insights que les événements de gestion doivent renvoyer, tapez la commande suivante.

aws cloudtrail lookup-events --event-category insight --max-results <integer>

La valeur par défaut pour<integer>, si elle n'est pas spécifiée, est 50. Les valeurs possibles vont de 1 à 50. L’exemple suivant renvoie un résultat.

aws cloudtrail lookup-events --event-category insight --max-results 1

Spécification du nombre d'événements Insights auxquels les événements de données doivent être renvoyés

Pour spécifier le nombre d'événements Insights que les événements de données doivent renvoyer, tapez la commande suivante.

aws cloudtrail list-insights-data --data-type InsightsEvents --insight-source arn:aws:cloudtrail:us-east-2:123456789012:trail/TrailName --max-results <integer>

La valeur par défaut pour<integer>, si elle n'est pas spécifiée, est 50. Les valeurs possibles vont de 1 à 50. L’exemple suivant renvoie un résultat.

aws cloudtrail list-insights-data --data-type InsightsEvents --insight-source arn:aws:cloudtrail:us-east-2:123456789012:trail/TrailName --max-results 1

Recherche d'événements Insights pour les événements de gestion par plage horaire

Les événements Insights relatifs aux événements de gestion des 90 derniers jours peuvent être consultés. Pour spécifier une plage de temps, saisissez la commande suivante.

aws cloudtrail lookup-events --event-category insight --start-time <timestamp> --end-time <timestamp>

--start-time <timestamp> spécifie, en UTC, que seuls les événements Insights qui se produisent au moment indiqué ou après sont renvoyés. Si l’heure de début spécifiée survient après l’heure de fin spécifiée, une erreur est renvoyée.

--end-time <timestamp> spécifie, en UTC, que seuls les événements Insights qui se produisent au moment indiqué ou avant sont renvoyés. Si l’heure de fin spécifiée survient avant l’heure de début spécifiée, une erreur est renvoyée.

L’heure de début par défaut est la première date à laquelle les données sont disponibles au cours des 90 derniers jours. L’heure de fin par défaut est l’heure de l’événement qui s’est produit le plus près de l’heure actuelle.

Tous les horodatages sont affichés en UTC.

Recherche d'événements Insights pour les événements liés aux données par plage horaire

Les événements Insights pour les événements de données des 90 derniers jours peuvent être consultés. Pour spécifier une plage de temps, saisissez la commande suivante.

aws cloudtrail list-insights-data --data-type InsightsEvents --insight-source arn:aws:cloudtrail:us-east-2:123456789012:trail/TrailName --start-time <timestamp> --end-time <timestamp>

--start-time <timestamp> spécifie, en UTC, que seuls les événements Insights qui se produisent au moment indiqué ou après sont renvoyés. Si l’heure de début spécifiée survient après l’heure de fin spécifiée, une erreur est renvoyée.

--end-time <timestamp> spécifie, en UTC, que seuls les événements Insights qui se produisent au moment indiqué ou avant sont renvoyés. Si l’heure de fin spécifiée survient avant l’heure de début spécifiée, une erreur est renvoyée.

L’heure de début par défaut est la première date à laquelle les données sont disponibles au cours des 90 derniers jours. L’heure de fin par défaut est l’heure de l’événement qui s’est produit le plus près de l’heure actuelle.

Tous les horodatages sont affichés en UTC.

Recherche d'événements Insights pour les événements de gestion par attribut

Pour filtrer selon un attribut, tapez la commande suivante.

aws cloudtrail lookup-events --event-category insight --lookup-attributes AttributeKey=<attribute>,AttributeValue=<string>

Vous ne pouvez spécifier qu’une seule paire clé-valeur d’attribut pour chaque commande lookup-events. Les valeurs d’événement Insights valides pour AttributeKey sont les suivants. Les noms de valeur sont sensibles à la casse.

  • EventId

  • EventName

  • EventSource

La longueur maximale du AttributeValue est de 2 000 caractères. Les caractères suivants (« _ », «   », « , », « \\n ») comptent pour deux caractères dans la limite de 2000 caractères.

Exemples de recherche d’attribut

L'exemple de commande suivant renvoie les événements Insights dans lesquels la valeur de EventName est PutRule.

aws cloudtrail lookup-events --event-category insight --lookup-attributes AttributeKey=EventName, AttributeValue=PutRule

L'exemple de commande suivant renvoie les événements Insights dans lesquels la valeur de EventId est b5cc8c40-12ba-4d08-a8d9-2bceb9a3e002.

aws cloudtrail lookup-events --event-category insight --lookup-attributes AttributeKey=EventId, AttributeValue=b5cc8c40-12ba-4d08-a8d9-2bceb9a3e002

L'exemple de commande suivant renvoie les événements Insights dans lesquels la valeur de EventSource est iam.amazonaws.com.

aws cloudtrail lookup-events --event-category insight --lookup-attributes AttributeKey=EventSource, AttributeValue=iam.amazonaws.com

Rechercher des événements Insights pour des événements liés aux données par dimension

Pour filtrer par dimension, tapez la commande suivante.

aws cloudtrail list-insights-data --data-type InsightsEvents --insight-source arn:aws:cloudtrail:us-east-2:123456789012:trail/TrailName --dimensions <DimensionKey>=<DimensionValue>

Vous ne pouvez spécifier qu'une seule paire clé-valeur de dimension pour chaque list-insights-events commande. Les valeurs d’événement Insights valides pour DimensionKey sont les suivants. Les noms de valeur sont sensibles à la casse.

  • EventId

  • EventName

  • EventSource

La longueur maximale du DimensionValue est de 2 000 caractères. Les caractères suivants (« _ », «   », « , », « \\n ») comptent pour deux caractères dans la limite de 2000 caractères.

Exemples de recherche de dimensions

L'exemple de commande suivant renvoie les événements Insights dans lesquels la valeur de EventName est PutObject.

aws cloudtrail list-insights-data --data-type InsightsEvents --insight-source arn:aws:cloudtrail:us-east-2:123456789012:trail/TrailName --dimensions EventName=PutObject

L'exemple de commande suivant renvoie les événements Insights dans lesquels la valeur de EventId est b5cc8c40-12ba-4d08-a8d9-2bceb9a3e002.

aws cloudtrail list-insights-data --data-type InsightsEvents --insight-source arn:aws:cloudtrail:us-east-2:123456789012:trail/TrailName --dimensions EventId=b5cc8c40-12ba-4d08-a8d9-2bceb9a3e002

L'exemple de commande suivant renvoie les événements Insights dans lesquels la valeur de EventSource est s3.amazonaws.com.

aws cloudtrail list-insights-data --data-type InsightsEvents --insight-source arn:aws:cloudtrail:us-east-2:123456789012:trail/TrailName --dimensions EventSource=s3.amazonaws.com

Spécification de la page de résultats suivante pour les événements Insights pour les événements de gestion

Pour obtenir la page de résultats suivante à partir d’une commande lookup-events, saisissez la commande suivante.

aws cloudtrail lookup-events --event-category insight <same parameters as previous command> --next-token=<token>

Dans cette commande, la valeur pour <token> est extraite du premier champ de la sortie de la commande précédente.

Lorsque vous utilisez --next-token dans une commande, vous devez utiliser les mêmes paramètres que dans la commande précédente. Par exemple, supposons que vous exécutiez la commande suivante.

aws cloudtrail lookup-events --event-category insight --lookup-attributes AttributeKey=EventName, AttributeValue=PutRule

Pour obtenir la page de résultats suivante, votre commande suivante se présente comme suit.

aws cloudtrail lookup-events --event-category insight --lookup-attributes AttributeKey=EventName,AttributeValue=PutRule --next-token=EXAMPLEZe++mErCebpy2TgaMgmDvF1kYGFcH64JSjIbZFjsuvrSqg66b5YGssKutDYIyII4lrP4IDbeQdiObkp9YAlju3oXd12juEXAMPLE=

Spécification de la page de résultats suivante pour les événements Insights pour les événements de gestion

Pour obtenir la page de résultats suivante à partir d’une commande list-insights-data, saisissez la commande suivante.

aws cloudtrail list-insights-data --data-type InsightsEvents --insight-source arn:aws:cloudtrail:us-east-2:123456789012:trail/TrailName<same parameters as previous command> --next-token=<token>

Dans cette commande, la valeur pour <token> est extraite du premier champ de la sortie de la commande précédente.

Lorsque vous utilisez --next-token dans une commande, vous devez utiliser les mêmes paramètres que dans la commande précédente. Par exemple, supposons que vous exécutiez la commande suivante.

aws cloudtrail list-insights-data --data-type InsightsEvents --insight-source arn:aws:cloudtrail:us-east-2:123456789012:trail/TrailName --dimensions EventName=PutObject

Pour obtenir la page de résultats suivante, votre commande suivante se présente comme suit.

aws cloudtrail list-insights-data --data-type InsightsEvents --insight-source arn:aws:cloudtrail:us-east-2:123456789012:trail/TrailName --dimensions EventName=PutObject --next-token=EXAMPLEZe++mErCebpy2TgaMgmDvF1kYGFcH64JSjIbZFjsuvrSqg66b5YGssKutDYIyII4lrP4IDbeQdiObkp9YAlju3oXd12juEXAMPLE=

Obtenir une entrée JSON à partir d'un fichier pour les événements Insights pour les événements de gestion

AWS CLI Pour certains AWS services, il existe deux paramètres, l'un --generate-cli-skeleton et l'autre--cli-input-json, que vous pouvez utiliser pour générer un modèle JSON, que vous pouvez modifier et utiliser comme entrée pour le --cli-input-json paramètre. Cette section décrit comment utiliser ces paramètres avec aws cloudtrail lookup-events. Pour plus d'informations, consultez les AWS CLI squelettes et les fichiers d'entrée.

Pour rechercher des événements Insights en extrayant une entrée JSON d'un fichier
  1. Créer un modèle d’entrée à utiliser avec lookup-events en redirigeant la sortie de --generate-cli-skeleton vers un fichier, comme dans l’exemple suivant.

    aws cloudtrail lookup-events --event-category insight --generate-cli-skeleton > LookupEvents.txt

    Le fichier modèle généré (dans ce cas, LookupEvents .txt) ressemble à ce qui suit.

    { "LookupAttributes": [ { "AttributeKey": "", "AttributeValue": "" } ], "StartTime": null, "EndTime": null, "MaxResults": 0, "NextToken": "" }
  2. Utilisez un éditeur de texte pour modifier le code JSON le cas échéant. L’entrée JSON doit contenir uniquement des valeurs qui sont spécifiées.

    Important

    Toutes les valeurs vides ou null doivent être supprimées du modèle pour que vous puissiez l’utiliser.

    L’exemple suivant spécifie un intervalle de temps et un nombre maximal de résultats à retourner.

    { "StartTime": "2023-11-01", "EndTime": "2023-12-12", "MaxResults": 10 }
  3. Pour utiliser le fichier modifié en entrée, utilisez la syntaxe --cli-input-json file://<filename>, comme dans l'exemple suivant.

    aws cloudtrail lookup-events --event-category insight --cli-input-json file://LookupEvents.txt
Note

Vous pouvez utiliser d’autres arguments sur la même ligne de commande en tant que --cli-input-json.

Obtenir une entrée JSON à partir d'un fichier pour les événements Insights pour les événements de données

AWS CLI Pour certains AWS services, il existe deux paramètres, l'un --generate-cli-skeleton et l'autre--cli-input-json, que vous pouvez utiliser pour générer un modèle JSON, que vous pouvez modifier et utiliser comme entrée pour le --cli-input-json paramètre. Cette section décrit comment utiliser ces paramètres avec aws cloudtrail list-insights-data. Pour plus d'informations, consultez les AWS CLI squelettes et les fichiers d'entrée.

Pour rechercher des événements Insights en extrayant une entrée JSON d'un fichier
  1. Créer un modèle d’entrée à utiliser avec list-insights-data en redirigeant la sortie de --generate-cli-skeleton vers un fichier, comme dans l’exemple suivant.

    aws cloudtrail list-insights-data --data-type InsightsEvents --generate-cli-skeleton > ListInsightsData.txt

    Le fichier modèle généré (dans ce cas, ListInsightsData .txt) ressemble à ce qui suit.

    { "InsightSource": "", "DataType": "InsightsEvents", "Dimensions": { "KeyName": "" }, "StartTime": null, "EndTime": null, "MaxResults": 0, "NextToken": "" }
  2. Utilisez un éditeur de texte pour modifier le code JSON le cas échéant. L’entrée JSON doit contenir uniquement des valeurs qui sont spécifiées.

    Important

    Toutes les valeurs vides ou null doivent être supprimées du modèle pour que vous puissiez l’utiliser.

    L’exemple suivant spécifie un intervalle de temps et un nombre maximal de résultats à retourner.

    { "InsightSource": "arn:aws:cloudtrail:us-east-2:123456789012:trail/TrailName", "DataType": "InsightsEvents", "Dimensions": { "EventName": "PutObject" }, "StartTime": "2025-11-01", "EndTime": "2025-11-05", "MaxResults": 1 }
  3. Pour utiliser le fichier modifié en entrée, utilisez la syntaxe --cli-input-json file://<filename>, comme dans l'exemple suivant.

    aws cloudtrail list-insights-data --data-type InsightsEvents --cli-input-json file://ListInsightsData.txt
Note

Vous pouvez utiliser d’autres arguments sur la même ligne de commande en tant que --cli-input-json.

Champs de résultat de la recherche

Événements

Liste des événements de recherche basée sur l’attribut de recherche et la plage de temps qui ont été spécifiés. La liste des événements est triée par heure, le dernier événement arrivant en tête. Chaque entrée contient des informations sur la demande de recherche et inclut une représentation sous forme de chaîne de l' CloudTrail événement récupéré.

Les entrées suivantes décrivent les champs dans chaque événement de recherche.

CloudTrailEvent

Chaîne JSON qui contient une représentation d’objet de l’événement renvoyé. Pour plus d’informations sur chacun des éléments renvoyés, consultez Contenu du corps d’un enregistrement.

EventId

Chaîne qui contient le GUID de l’événement retourné.

EventName

Chaîne qui contient le nom de l’événement renvoyé.

EventSource

Le AWS service auquel la demande a été adressée.

EventTime

Date et heure, au format de temps UNIX, de l’événement.

Ressources

Liste de ressources référencées par l’événement qui a été renvoyé. Chaque entrée de ressource spécifie un type de ressource et un nom de ressource.

ResourceName

Chaîne qui contient le nom de la ressource référencée par l’événement.

ResourceType

Chaîne qui contient le type d’une ressource référencée par l’événement. Lorsque le type de ressource ne peut pas être déterminé, la valeur null est renvoyée.

Username

Chaîne qui contient le nom d’utilisateur du compte pour l’événement renvoyé.

NextToken

Chaîne pour obtenir la page de résultats suivante d’une commande lookup-events précédente. Pour utiliser le jeton, les paramètres doivent être identiques à ceux de la commande d’origine. Si aucune entrée NextToken n’apparaît dans la sortie, cela signifie qu’il n’y a aucun résultat à renvoyer.

Pour plus d'informations sur CloudTrail les événements Insights, consultez Travailler avec CloudTrail Insights ce guide.