Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Filtrare gli eventi dei dati utilizzando selettori di eventi avanzati

Questa sezione descrive come utilizzare selettori di eventi avanzati per creare selettori dettagliati per la registrazione degli eventi relativi ai dati, che possono aiutarti a controllare i costi registrando solo gli eventi di dati specifici di interesse.

Ad esempio:

La tabella seguente descrive i campi supportati per il filtraggio degli eventi relativi ai dati. Per un elenco dei campi supportati per ogni tipo di CloudTrail evento, consulta AdvancedEventSelectorl'AWS CloudTrail API Reference.

Per registrare gli eventi relativi ai dati utilizzando la CloudTrail console, scegli l'opzione Data events e quindi seleziona il tipo di risorsa che ti interessa quando crei o aggiorni un trail o un data store di eventi. La tabella Data events mostra i possibili tipi di risorse che puoi scegliere sulla CloudTrail console.

Per registrare gli eventi relativi ai dati con AWS CLI, configura il --advanced-event-selector parametro in modo da impostare un valore eventCategory uguale Data e uguale al resources.type valore del tipo di risorsa per il quale desideri registrare gli eventi relativi ai dati. La tabella Data events elenca i tipi di risorse disponibili.

Ad esempio, se desideri registrare gli eventi relativi ai dati per tutti i pool di identità di Cognito, devi configurare il --advanced-event-selectors parametro in questo modo:

--advanced-event-selectors '[
    {
       "Name": "Log Cognito data events on Identity pools",
       "FieldSelectors": [
         { "Field": "eventCategory", "Equals": ["Data"] },
         { "Field": "resources.type", "Equals": ["AWS::Cognito::IdentityPool"] }
       ]
     }
]'

L'esempio precedente registra tutti gli eventi relativi ai dati di Cognito nei pool di identità. È possibile perfezionare ulteriormente i selettori di eventi avanzati per filtrare in base ai resources.ARN campi eventNamereadOnly, e per registrare eventi specifici di interesse o escludere eventi che non sono di interesse.

Puoi configurare selettori di eventi avanzati per filtrare gli eventi di dati in base a più campi. Ad esempio, puoi configurare selettori di eventi avanzati per registrare tutte le chiamate Amazon PutObject S3 DeleteObject e API, ma escludere la registrazione degli eventi per uno specifico bucket S3, come mostrato nell'esempio seguente. Sostituisci amzn-s3-demo-bucket con il nome del tuo bucket.

--advanced-event-selectors
'[
  {
    "Name": "Log PutObject and DeleteObject events for all but one bucket",
    "FieldSelectors": [
      { "Field": "eventCategory", "Equals": ["Data"] },
      { "Field": "resources.type", "Equals": ["AWS::S3::Object"] },
      { "Field": "eventName", "Equals": ["PutObject","DeleteObject"] },
      { "Field": "resources.ARN", "NotStartsWith": ["arn:aws:s3:::amzn-s3-demo-bucket/"] }
    ]
  }
]'

Puoi anche includere più condizioni per un campo. Per informazioni su come vengono valutate più condizioni, vedereCome CloudTrail valuta più condizioni per un campo.

È possibile utilizzare selettori di eventi avanzati per registrare sia gli eventi di gestione che quelli relativi ai dati. Per registrare gli eventi relativi ai dati per più tipi di risorse, aggiungi un'istruzione di selezione dei campi per ogni tipo di risorsa per cui desideri registrare gli eventi relativi ai dati.

Come CloudTrail valuta più condizioni per un campo

Per i selettori di eventi avanzati, CloudTrail valuta più condizioni per un campo nel modo seguente:

Esempio che mostra più condizioni per il campo resources.ARN

L'istruzione di selezione degli eventi di esempio seguente raccoglie gli eventi di dati per il tipo di AWS::S3::Object risorsa e applica più condizioni sul resources.ARN campo.

{
    "Name": "S3Select",
    "FieldSelectors": [
      {
        "Field": "eventCategory",
        "Equals": [
          "Data"
        ]
      },
      {
        "Field": "resources.type",
        "Equals": [
          "AWS::S3::Object"
        ]
      },
      {
        "Field": "resources.ARN",
        "Equals": [
          "arn:aws:s3:::amzn-s3-demo-bucket/object1"
        ],
        "StartsWith": [
          "arn:aws:s3:::amzn-s3-demo-bucket/"
        ],
        "EndsWith": [
          "object3"
        ],
        "NotStartsWith": [
          "arn:aws:s3:::amzn-s3-demo-bucket/deselect"
        ],
        "NotEndsWith": [
          "object5"
        ],
        "NotEquals": [
          "arn:aws:s3:::amzn-s3-demo-bucket/object6"
        ]
      }
    ]
  }

Nell'esempio precedente, gli eventi relativi ai dati di Amazon S3 per AWS::S3::Object la risorsa verranno consegnati se:

In base alla logica di valutazione:

AWS CLI esempi per filtrare gli eventi relativi ai dati

Questa sezione fornisce AWS CLI esempi che mostrano come filtrare gli eventi relativi ai dati su campi diversi. Per ulteriori AWS CLI esempi, vedere Registra gli eventi relativi ai dati per i percorsi utilizzando selettori di eventi avanzati eRegistrazione degli eventi relativi ai dati per gli archivi dati degli eventi con AWS CLI.

Per informazioni su come registrare gli eventi relativi ai dati utilizzando la console, vedereRegistrazione degli eventi relativi ai dati con AWS Management Console.

Esempio 1: filtraggio sul campo eventName

Nel primo esempio, i --advanced-event-selectors for a trail sono configurati per registrare solo le chiamate GetObjectPutObject, e DeleteObject API per gli oggetti Amazon S3 in bucket generici.

aws cloudtrail put-event-selectors \
--trail-name trailName \
--advanced-event-selectors '[
  {
    "Name": "Log GetObject, PutObject and DeleteObject S3 data events",
    "FieldSelectors": [
      { "Field": "eventCategory", "Equals": ["Data"] },
      { "Field": "resources.type", "Equals": ["AWS::S3::Object"] },
      { "Field": "eventName", "Equals": ["GetObject","PutObject","DeleteObject"] }
    ]
  }
]'   

Il prossimo esempio crea un nuovo archivio dati di eventi che registra gli eventi di dati per EBS Direct APIs ma esclude le chiamate API. ListChangedBlocks È possibile utilizzare il update-event-data-storecomando per aggiornare un archivio dati di eventi esistente.

aws cloudtrail create-event-data-store \
--name "eventDataStoreName"
--advanced-event-selectors '[
    {
        "Name": "Log all EBS Direct API data events except ListChangedBlocks",
        "FieldSelectors": [
            { "Field": "eventCategory", "Equals": ["Data"] },
            { "Field": "resources.type", "Equals": ["AWS::EC2::Snapshot"] },
            { "Field": "eventName", "NotEquals": ["ListChangedBlocks"] }
         ]
    }
]'        

Esempio 2: filtraggio sui campi resources.ARN and userIdentity.arn

L'esempio seguente mostra come includere tutti gli eventi relativi ai dati per tutti gli oggetti Amazon S3 in uno specifico bucket S3 generico ma escludere gli eventi generati da. bucket-scanner-role userIdentity Il valore per gli eventi S3 per il campo resources.type è AWS::S3::Object. Poiché i valori ARN per gli oggetti S3 e i bucket S3 sono leggermente diversi, è necessario aggiungere l'operatore per. StartsWith resources.ARN

aws cloudtrail put-event-selectors \
--trail-name trailName \
--advanced-event-selectors \
'[
    {
        "Name": "S3EventSelector",
        "FieldSelectors": [
            { "Field": "eventCategory", "Equals": ["Data"] },
            { "Field": "resources.type", "Equals": ["AWS::S3::Object"] },
            { "Field": "resources.ARN", "StartsWith": ["arn:partition:s3:::amzn-s3-demo-bucket/"] },
            { "Field": "userIdentity.arn", "NotStartsWith": ["arn:aws:sts::123456789012:assumed-role/bucket-scanner-role"]}
        ]
    }
]'

Esempio 3: filtraggio sui eventName campi resources.type and per escludere singoli oggetti eliminati da un evento Amazon DeleteObjects S3

L'esempio seguente mostra come includere tutti gli eventi relativi ai dati per tutti gli oggetti Amazon S3 in uno specifico bucket Amazon S3 generico ma escludere i singoli oggetti eliminati dall'operazione. DeleteObject Il valore per gli eventi S3 per il campo resources.type è AWS::S3::Object. Il valore per il nome dell'evento è. DeleteObject

aws cloudtrail put-event-selectors \
--trail-name trailName \
--advanced-event-selectors \

{
    "Name": "Exclude Events for DeleteObject operation",
    "FieldSelectors": [
      {
        "Field": "eventCategory",
        "Equals": [
          "Data"
        ]
      },
      {
        "Field": "resources.type",
        "Equals": [
          "AWS::S3::Object"
        ]
      },
      {
        "Field": "eventName",
        "NotEquals": [
          "DeleteObject"
        ]
      }
    ]
  },
  {
    "Name": "Exclude DeleteObject Events for individual objects deleted by DeleteObjects Operation",
    "FieldSelectors": [
      {
        "Field": "eventCategory",
        "Equals": [
          "Data"
        ]
      },
      {
        "Field": "resources.type",
        "Equals": [
          "AWS::S3::Object"
        ]
      },
      {
        "Field": "eventName",
        "Equals": [
          "DeleteObject"
        ]
      },
      {
        "Field": "eventType",
        "NotEquals": [
          "AwsServiceEvent"
        ]
      }
    ]
  }
] (edited)