Arricchisci CloudTrail gli eventi aggiungendo chiavi di tag di risorsa e chiavi di condizione globali IAM

Puoi arricchire gli eventi di CloudTrail gestione e gli eventi relativi ai dati aggiungendo chiavi di tag di risorsa, chiavi di tag principali e chiavi di condizione globale IAM quando crei o aggiorni un data store di eventi. Ciò consente di classificare, cercare e analizzare CloudTrail gli eventi in base al contesto aziendale, come l'allocazione dei costi e la gestione finanziaria, le operazioni e i requisiti di sicurezza dei dati. Puoi analizzare gli eventi eseguendo query in Lake. CloudTrail Puoi anche scegliere di federare il tuo archivio dati di eventi ed eseguire query in Amazon Athena. Puoi aggiungere chiavi di tag di risorsa e chiavi di condizione globali IAM a un data store di eventi utilizzando la CloudTrail console e. AWS CLI SDKs

Quando aggiungi chiavi di tag di risorsa a eventi arricchiti, CloudTrail include le chiavi tag selezionate associate alle risorse coinvolte nella chiamata API.

Quando aggiungi chiavi di condizione globali IAM a un archivio dati di eventi, CloudTrail include informazioni sulle chiavi di condizione selezionate che sono state valutate durante il processo di autorizzazione, inclusi dettagli aggiuntivi sul principale, sulla sessione e sulla richiesta stessa.

Dopo aver aggiunto le chiavi dei tag di risorsa o le chiavi di condizione IAM, CloudTrail include un eventContext campo negli CloudTrail eventi che fornisce le informazioni contestuali selezionate per l'azione dell'API.

Esistono alcune eccezioni quando l'evento non includerà il eventContext campo, tra cui:

Servizi AWS tag di risorse di supporto

Tutti i tag delle risorse di Servizi AWS supporto. Per ulteriori informazioni, consulta Servizi che supportano il AWS Resource Groups Tagging API.

Aggiornamenti dei tag di risorsa CloudTrail per eventi arricchiti

Se configurato per farlo, CloudTrail acquisisce informazioni sui tag delle risorse e le utilizza per fornire informazioni negli eventi arricchiti. Quando si lavora con i tag di risorsa, ci sono alcune condizioni in cui un tag di risorsa potrebbe non essere riflesso accuratamente al momento della richiesta di eventi del sistema. Durante il funzionamento standard, i tag applicati al momento della creazione delle risorse sono sempre presenti e subiranno ritardi minimi o nulli. Tuttavia, si prevede che i seguenti servizi presentino ritardi nella visualizzazione delle modifiche ai tag delle risorse negli eventi: CloudTrail

Le interruzioni del servizio possono anche causare ritardi negli aggiornamenti delle informazioni sui tag delle risorse. In caso di ritardo nell'interruzione del servizio, CloudTrail gli eventi successivi includeranno un addendum campo che include informazioni sulla modifica del tag di risorsa. Queste informazioni aggiuntive verranno utilizzate come specificato per fornire informazioni arricchiteCloudTrailevents.

Servizi AWS supporto delle chiavi di condizione globali IAM

Quanto segue Servizi AWS supporta le chiavi di condizione globali IAM per eventi arricchiti:

Chiavi di condizione globali IAM supportate per eventi arricchiti

La tabella seguente elenca le chiavi di condizione globali IAM supportate per eventi CloudTrail arricchiti, con valori di esempio:

Esempi di eventi

Nell'esempio seguente, il eventContext campo include una chiave di condizione globale IAM aws:ViaAWSService con un valore difalse, che indica che la chiamata API non è stata effettuata da un. Servizio AWS

{
    "eventVersion": "1.11",
    "userIdentity": {
        "type": "AssumedRole",
        "principalId": "ASIAIOSFODNN7EXAMPLE",
        "arn": "arn:aws:sts::123456789012:assumed-role/admin",
        "accountId": "123456789012",
        "accessKeyId": "ASIAIOSFODNN7EXAMPLE",
        "sessionContext": {
            "sessionIssuer": {
                "type": "Role",
                "principalId": "ASIAIOSFODNN7EXAMPLE",
                "arn": "arn:aws:iam::123456789012:role/admin",
                "accountId": "123456789012",
                "userName": "admin"
            },
            "attributes": {
                "creationDate": "2025-01-22T22:05:56Z",
                "mfaAuthenticated": "false"
            }
        }
    },
    "eventTime": "2025-01-22T22:06:16Z",
    "eventSource": "cloudtrail.amazonaws.com",
    "eventName": "GetTrailStatus",
    "awsRegion": "us-east-1",
    "sourceIPAddress": "192.168.0.0",
    "userAgent": "Mozilla/5.0 (Macintosh; Intel Mac OS X 10.15; rv:133.0) Gecko/20100101 Firefox/133.0",
    "requestParameters": {
        "name": "arn:aws:cloudtrail:us-east-1:123456789012:trail/myTrail"
    },
    "responseElements": null,
    "requestID": "d09c4dd2-5698-412b-be7a-example1a23",
    "eventID": "9cb5f426-7806-46e5-9729-exampled135d",
    "readOnly": true,
    "eventType": "AwsApiCall",
    "managementEvent": true,
    "recipientAccountId": "123456789012",
    "eventCategory": "Management",
    "tlsDetails": {
        "tlsVersion": "TLSv1.3",
        "cipherSuite": "TLS_AES_128_GCM_SHA256",
        "clientProvidedHostHeader": "cloudtrail.us-east-1.amazonaws.com"
    },
    "sessionCredentialFromConsole": "true",
    "eventContext": {
        "requestContext": {
            "aws:ViaAWSService": "false"
        },
        "tagContext": {}
    }
}