Arricchisci CloudTrail gli eventi aggiungendo le chiavi dei tag delle risorse e le chiavi di condizione globali IAM

È possibile arricchire gli eventi di CloudTrail gestione e gli eventi di dati aggiungendo chiavi di tag di risorsa, chiavi di tag principali e chiavi di condizione globali IAM quando si crea o si aggiorna un data store di eventi. Ciò consente di classificare, cercare e analizzare CloudTrail gli eventi in base al contesto aziendale, ad esempio l'allocazione dei costi e la gestione finanziaria, le operazioni e i requisiti di sicurezza dei dati. È possibile analizzare gli eventi eseguendo interrogazioni in Lake. CloudTrail Puoi anche scegliere di federare il data store degli eventi ed eseguire query in Amazon Athena. Puoi aggiungere le chiavi dei tag delle risorse e le chiavi di condizione globali IAM a un data store di eventi utilizzando la CloudTrail console e gli AWS CLI SDK.

Quando aggiungi le chiavi dei tag delle risorse agli eventi arricchiti, CloudTrail include le chiavi tag selezionate associate alle risorse coinvolte nella chiamata API.

Quando aggiungi le chiavi di condizione globali IAM a un archivio dati di eventi, CloudTrail include informazioni sulle chiavi di condizione selezionate che sono state valutate durante il processo di autorizzazione, inclusi dettagli aggiuntivi sull'entità, sulla sessione e sulla richiesta stessa.

Dopo aver aggiunto le chiavi dei tag di risorsa o le chiavi di condizione IAM, CloudTrail include un eventContext campo negli CloudTrail eventi che fornisce le informazioni contestuali selezionate per l'azione API.

Esistono alcune eccezioni in cui l'evento non includerà il eventContext campo, tra cui:

Servizi AWS tag di risorse di supporto

Tutti i tag delle risorse di Servizi AWS supporto. Per ulteriori informazioni, consulta Servizi che supportano il AWS Resource Groups Tagging API.

Aggiornamenti dei tag delle risorse CloudTrail per eventi arricchiti

Se configurato a tale scopo, CloudTrail acquisisce informazioni sui tag delle risorse e le utilizza per fornire informazioni negli eventi arricchiti. Quando si lavora con i tag di risorsa, ci sono determinate condizioni in cui un tag di risorsa potrebbe non essere rispecchiato con precisione al momento della richiesta di eventi da parte del sistema. Durante il funzionamento standard, i tag applicati al momento della creazione della risorsa sono sempre presenti e subiranno ritardi minimi o nulli. Tuttavia, si prevede che i seguenti servizi subiscano ritardi nella visualizzazione delle modifiche ai tag delle risorse negli CloudTrail eventi:

Le interruzioni del servizio possono anche causare ritardi nell'aggiornamento delle informazioni sui tag delle risorse. In caso di ritardo nell'interruzione del servizio, CloudTrail gli eventi successivi includeranno un addendum campo che include informazioni sulla modifica del tag di risorsa. Queste informazioni aggiuntive verranno utilizzate come specificato per fornire informazioni arricchiteCloudTrailevents.

Servizi AWS supporto delle chiavi di condizione globali IAM

Le seguenti chiavi di condizione globali IAM Servizi AWS supportano gli eventi arricchiti:

Chiavi di condizione globali IAM supportate per eventi arricchiti

La tabella seguente elenca le chiavi di condizione globali IAM supportate per gli eventi CloudTrail arricchiti, con valori di esempio:

Esempi di eventi

Nell'esempio seguente, il eventContext campo include la chiave di condizione globale IAM aws:ViaAWSService con un valore difalse, che indica che la chiamata API non è stata effettuata da un. Servizio AWS

{
    "eventVersion": "1.11",
    "userIdentity": {
        "type": "AssumedRole",
        "principalId": "ASIAIOSFODNN7EXAMPLE",
        "arn": "arn:aws:sts::123456789012:assumed-role/admin",
        "accountId": "123456789012",
        "accessKeyId": "ASIAIOSFODNN7EXAMPLE",
        "sessionContext": {
            "sessionIssuer": {
                "type": "Role",
                "principalId": "ASIAIOSFODNN7EXAMPLE",
                "arn": "arn:aws:iam::123456789012:role/admin",
                "accountId": "123456789012",
                "userName": "admin"
            },
            "attributes": {
                "creationDate": "2025-01-22T22:05:56Z",
                "mfaAuthenticated": "false"
            }
        }
    },
    "eventTime": "2025-01-22T22:06:16Z",
    "eventSource": "cloudtrail.amazonaws.com",
    "eventName": "GetTrailStatus",
    "awsRegion": "us-east-1",
    "sourceIPAddress": "192.168.0.0",
    "userAgent": "Mozilla/5.0 (Macintosh; Intel Mac OS X 10.15; rv:133.0) Gecko/20100101 Firefox/133.0",
    "requestParameters": {
        "name": "arn:aws:cloudtrail:us-east-1:123456789012:trail/myTrail"
    },
    "responseElements": null,
    "requestID": "d09c4dd2-5698-412b-be7a-example1a23",
    "eventID": "9cb5f426-7806-46e5-9729-exampled135d",
    "readOnly": true,
    "eventType": "AwsApiCall",
    "managementEvent": true,
    "recipientAccountId": "123456789012",
    "eventCategory": "Management",
    "tlsDetails": {
        "tlsVersion": "TLSv1.3",
        "cipherSuite": "TLS_AES_128_GCM_SHA256",
        "clientProvidedHostHeader": "cloudtrail.us-east-1.amazonaws.com"
    },
    "sessionCredentialFromConsole": "true",
    "eventContext": {
        "requestContext": {
            "aws:ViaAWSService": "false"
        },
        "tagContext": {}
    }
}