Registrar em log operações de API e console do Amazon CloudWatch com o AWS CloudTrail - Amazon CloudWatch
Informações sobre o CloudWatch no CloudTrailEventos de dados do CloudWatch no CloudTrailInformações de geração de consultas no CloudTrailEventos de investigações operacionais do Amazon Q Developer no CloudTrailNetwork Flow Monitor no CloudTrailEventos do plano de dados do Network Flow Monitor no CloudTrailMonitor de Internet no CloudTrailInformações do CloudWatch Synthetics no CloudTrailInformações do CloudWatch RUM no CloudTrailEventos do plano de dados do CloudWatch RUM no CloudTrail

Registrar em log operações de API e console do Amazon CloudWatch com o AWS CloudTrail

O Amazon CloudWatch, o CloudWatch Synthetics, o CloudWatch RUM, as investigações operacionais do Amazon Q Developer, o Network Flow Monitor e o Monitor de Internet estão integrados ao AWS CloudTrail, um serviço que fornece um registro das ações realizadas por um usuário, perfil ou serviço da AWS. O CloudTrail captura chamadas de API realizadas por sua conta da AWS ou em nome dela. As chamadas capturadas incluem as chamadas do console do CloudWatch e as chamadas de código para as operações de API do CloudWatch. Ao usar as informações coletadas pelo CloudTrail, é possível determinar a solicitação que foi realizada ao CloudWatch, o endereço IP de origem da solicitação, o momento em que ocorreu e outros detalhes adicionais.

Cada entrada de log ou evento contém informações sobre quem gerou a solicitação. As informações de identidade ajudam a determinar o seguinte:

  • Se a solicitação foi feita com credenciais de usuário raiz ou credenciais de usuário.

  • Se a solicitação foi feita em nome de um usuário do Centro de Identidade do IAM.

  • Se a solicitação foi feita com credenciais de segurança temporárias de um perfil ou de um usuário federado.

  • Se a solicitação foi feita por outro AWS service (Serviço da AWS).

Quando a Conta da AWS é criada, o CloudTrail torna-se ativo nela e você tem acesso automático ao Histórico de eventos do CloudTrail. O Histórico de eventos do CloudTrail fornece um registro visualizável, pesquisável, baixável e imutável dos últimos 90 dias de eventos de gerenciamento gravados em uma Região da AWS. Para obter mais informações, consulte Trabalhar com histórico de eventos do CloudTrail no Guia do usuário do AWS CloudTrail. Não há cobranças do CloudTrail pela visualização do Histórico de eventos.

Para obter um registro contínuo de eventos em sua Conta da AWS nos últimos 90 dias, crie uma trilha ou um armazenamento de dados de eventos do CloudTrail Lake.

Trilhas do CloudTrail

Uma trilha permite que o CloudTrail entregue arquivos de log a um bucket do Amazon S3. As trilhas criadas usando o AWS Management Console são de várias regiões. Só é possível criar uma trilha de região única ou de várias regiões usando a AWS CLI. Criar uma trilha de várias regiões é uma prática recomendada, pois você captura atividades em todas as Regiões da AWS da conta. Ao criar uma trilha de região única, é possível visualizar somente os eventos registrados na Região da AWS da trilha. Para obter mais informações sobre trilhas, consulte Criar uma trilha para a Conta da AWS e Criar uma trilha para uma organização no Guia do usuário do AWS CloudTrail.

Uma cópia dos eventos de gerenciamento em andamento pode ser entregue no bucket do Amazon S3 sem nenhum custo via CloudTrail com a criação de uma trilha; no entanto, há cobranças de armazenamento do Amazon S3. Para obter mais informações sobre os preços do CloudTrail, consulte Preços do AWS CloudTrail. Para receber informações sobre a definição de preços do Amazon S3, consulte Definição de preços do Amazon S3.

Armazenamentos de dados de eventos do CloudTrail Lake

O CloudTrail Lake permite executar consultas baseadas em SQL nos eventos. O CloudTrail Lake converte eventos existentes em formato JSON baseado em linhas para o formato Apache ORC. O ORC é um formato colunar de armazenamento otimizado para recuperação rápida de dados. Os eventos são agregados em armazenamentos de dados de eventos, que são coleções imutáveis de eventos baseados nos critérios selecionados com a aplicação de seletores de eventos avançados. Os seletores que aplicados a um armazenamento de dados de eventos controlam quais eventos persistem e estão disponíveis para consulta. Para obter mais informações sobre o CloudTrail Lake, consulte Trabalhar com o AWS CloudTrail Lake, no Guia do usuário do AWS CloudTrail.

Os armazenamentos de dados de eventos e consultas do CloudTrail Lake incorrem em custos. Ao criar um armazenamento de dados de eventos, você escolhe a opção de preço que deseja usar para ele. A opção de preço determina o custo para a ingestão e para o armazenamento de eventos, e o período de retenção padrão e máximo para o armazenamento de dados de eventos. Para obter mais informações sobre os preços do CloudTrail, consulte Preços do AWS CloudTrail.

nota

Para obter informações sobre as chamadas de API do CloudWatch Logs que estão registradas no CloudTrail, consulte CloudWatch Logs information in CloudTrail.

Informações sobre o CloudWatch no CloudTrail

O CloudWatch oferece suporte ao registro das seguintes ações como eventos nos arquivos de log do CloudTrail:

Exemplo: entradas de arquivo de log do CloudWatch

O exemplo a seguir mostra uma entrada de log do CloudTrail que demonstra a ação PutMetricAlarm.

{
    "Records": [{
        "eventVersion": "1.01",
        "userIdentity": {
            "type": "Root",
            "principalId": "EX_PRINCIPAL_ID",
            "arn": "arn:aws:iam::123456789012:root",
            "accountId": "123456789012",
            "accessKeyId": "EXAMPLE_KEY_ID"
        },
        "eventTime": "2014-03-23T21:50:34Z",
        "eventSource": "monitoring.amazonaws.com",
        "eventName": "PutMetricAlarm",
        "awsRegion": "us-east-1",
        "sourceIPAddress": "127.0.0.1",
        "userAgent": "aws-sdk-ruby2/2.0.0.rc4 ruby/1.9.3 x86_64-linux Seahorse/0.1.0",
        "requestParameters": {
            "threshold": 50.0,
            "period": 60,
            "metricName": "CloudTrail Test",
            "evaluationPeriods": 3,
            "comparisonOperator": "GreaterThanThreshold",
            "namespace": "AWS/CloudWatch",
            "alarmName": "CloudTrail Test Alarm",
            "statistic": "Sum"
        },
        "responseElements": null,
        "requestID": "29184022-b2d5-11e3-a63d-9b463e6d0ff0",
        "eventID": "b096d5b7-dcf2-4399-998b-5a53eca76a27"
    },
    ..additional entries
  ]
  }

A entrada do arquivo de log a seguir mostra que um usuário chamou a ação PutRule do CloudWatch Events.

{
         "eventVersion":"1.03",
         "userIdentity":{
            "type":"Root",
            "principalId":"123456789012",
            "arn":"arn:aws:iam::123456789012:root",
            "accountId":"123456789012",
            "accessKeyId":"AKIAIOSFODNN7EXAMPLE",
            "sessionContext":{
               "attributes":{
                  "mfaAuthenticated":"false",
                  "creationDate":"2015-11-17T23:56:15Z"
               }
            }
         },
         "eventTime":"2015-11-18T00:11:28Z",
         "eventSource":"events.amazonaws.com",
         "eventName":"PutRule",
         "awsRegion":"us-east-1",
         "sourceIPAddress":"AWS Internal",
         "userAgent":"AWS CloudWatch Console",
         "requestParameters":{
            "description":"",
            "name":"cttest2",
            "state":"ENABLED",
            "eventPattern":"{\"source\":[\"aws.ec2\"],\"detail-type\":[\"EC2 Instance State-change Notification\"]}",
            "scheduleExpression":""
         },
         "responseElements":{
            "ruleArn":"arn:aws:events:us-east-1:123456789012:rule/cttest2"
         },
         "requestID":"e9caf887-8d88-11e5-a331-3332aa445952",
         "eventID":"49d14f36-6450-44a5-a501-b0fdcdfaeb98",
         "eventType":"AwsApiCall",
         "apiVersion":"2015-10-07",
         "recipientAccountId":"123456789012"
}

A entrada do arquivo de log a seguir mostra que um usuário chamou a ação CreateExportTask do CloudWatch Logs.

{
        "eventVersion": "1.03",
        "userIdentity": {
            "type": "IAMUser",
            "principalId": "EX_PRINCIPAL_ID",
            "arn": "arn:aws:iam::123456789012:user/someuser",
            "accountId": "123456789012",
            "accessKeyId": "AKIAIOSFODNN7EXAMPLE",
            "userName": "someuser"
        },
        "eventTime": "2016-02-08T06:35:14Z",
        "eventSource": "logs.amazonaws.com",
        "eventName": "CreateExportTask",
        "awsRegion": "us-east-1",
        "sourceIPAddress": "127.0.0.1",
        "userAgent": "aws-sdk-ruby2/2.0.0.rc4 ruby/1.9.3 x86_64-linux Seahorse/0.1.0",
        "requestParameters": {
            "destination": "yourdestination",
            "logGroupName": "yourloggroup",
            "to": 123456789012,
            "from": 0,
            "taskName": "yourtask"
        },
        "responseElements": {
            "taskId": "15e5e534-9548-44ab-a221-64d9d2b27b9b"
        },
        "requestID": "1cd74c1c-ce2e-12e6-99a9-8dbb26bd06c9",
        "eventID": "fd072859-bd7c-4865-9e76-8e364e89307c",
        "eventType": "AwsApiCall",
        "apiVersion": "20140328",
        "recipientAccountId": "123456789012"
}

Eventos de dados do CloudWatch no CloudTrail

O CloudTrail pode capturar atividades de API relacionadas às operações do plano de dados GetMetricData e GetMetricWidgetImage do CloudWatch.

Eventos de dados, também conhecidos como operações do plano de dados, oferecem insights sobre as operações executadas no recurso ou dentro dele. Eventos de dados geralmente são atividades de alto volume.

Por padrão, o CloudTrail não registra eventos de dados em log. O Histórico de eventos do CloudTrail não registra eventos de dados.

Há cobranças adicionais para eventos de dados. Para obter mais informações sobre os preços do CloudTrail, consulte Preços do AWS CloudTrail.

É possível registrar em log eventos de dados para os tipos de recursos do CloudWatch ao usar o console do CloudTrail, a AWS CLI ou as operações de API do CloudTrail. Para obter mais informações sobre como registrar eventos de dados em log, consulte Registrar eventos de dados com o AWS Management Console e Registrar eventos de dados com a AWS Command Line Interface no Guia do usuário do AWS CloudTrail.

Os eventos do plano de dados podem ser filtrados por tipo de recurso. Como há custos adicionais para usar eventos de dados no CloudTrail, a filtragem por recurso permite que você tenha mais controle sobre o que você registra e paga.

Ao usar as informações que o CloudTrail coleta, é possível identificar uma solicitação específica para as APIs GetMetricData ou GetMetricWidgetImagedo do CloudWatch, a identidade e o endereço IP do solicitante e a data e a hora da solicitação. O registro em log das APIs GetMetricData e GetMetricWidgetImage usando o CloudTrail ajuda você a viabilizar a auditoria operacional e de risco, a governança e a conformidade da sua conta da AWS.

nota

Ao visualizar os eventos de GetMetricData no CloudTrail, você poderá ver mais chamadas do que as chamadas que você iniciou. Isso ocorre porque o CloudWatch registra eventos no CloudTrail para ações GetMetricData que são iniciadas por componentes internos. Por exemplo, você verá chamadas GetMetricData iniciadas pelos painéis do CloudWatch para atualizar dados do widget, e chamadas GetMetricData iniciadas por uma conta de monitoramento para recuperar dados de uma conta de origem, na observabilidade entre contas. Essas chamadas iniciadas internamente não incorrem em cobranças do CloudWatch, mas elas contam para o número de eventos registrados no CloudTrail, e o CloudTrail cobra de acordo com o número de eventos registrados.

Veja a seguir um exemplo de um evento do CloudTrail para uma operação GetMetricData.

{
    "eventVersion": "1.09",
    "userIdentity": {
        "type": "IAMUser",
        "principalId": "AIDA2NYTR2EPCTNY7AF3L",
        "arn": "arn:aws:iam::111122223333:user/admin",
        "accountId": "111122223333",
        "accessKeyId": "EXAMPLE1234567890",
        "userName": "admin"
    },
    "eventTime": "2024-05-08T16:20:34Z",
    "eventSource": "monitoring.amazonaws.com",
    "eventName": "GetMetricData",
    "awsRegion": "us-east-1",
    "sourceIPAddress": "99.45.3.7",
    "userAgent": "aws-cli/2.13.23 Python/3.11.5 Darwin/23.4.0 exe/x86_64 prompt/off command/cloudwatch.get-metric-data",
    "requestParameters": {
        "metricDataQueries": [{
                "id": "e1",
                "expression": "m1 / m2",
                "label": "ErrorRate"
            },
            {
                "id": "m1",
                "metricStat": {
                    "metric": {
                        "namespace": "CWAgent",
                        "metricName": "disk_used_percent",
                        "dimensions": [{
                            "name": "LoadBalancerName",
                            "value": "EXAMPLE4623a5cb6a7384c5229"
                        }]
                    },
                    "period": 300,
                    "stat": "Sum",
                    "unit": "Count"
                },
                "returnData": false
            },
            {
                "id": "m2",
                "metricStat": {
                    "metric": {
                        "namespace": "CWAgent",
                        "metricName": "disk_used_percent",
                        "dimensions": [{
                            "name": "LoadBalancerName",
                            "value": "EXAMPLE4623a5cb6a7384c5229"
                        }]
                    },
                    "period": 300,
                    "stat": "Sum"
                },
                "returnData": true
            }
        ],
        "startTime": "Apr 19, 2024, 4:00:00 AM",
        "endTime": "May 8, 2024, 4:30:00 AM"
    },
    "responseElements": null,
    "requestID": "EXAMPLE-57ac-47d5-938c-f5917c6799d5",
    "eventID": "EXAMPLE-211c-404b-b13d-36d93c8b4fbf",
    "readOnly": true,
    "resources": [{
        "type": "AWS::CloudWatch::Metric"
    }],
    "eventType": "AwsApiCall",
    "managementEvent": false,
    "recipientAccountId": "111122223333",
    "eventCategory": "Data",
    "tlsDetails": {
        "tlsVersion": "TLSv1.3",
        "cipherSuite": "TLS_AES_128_GCM_SHA256",
        "clientProvidedHostHeader": "monitoring.us-east-1.amazonaws.com"
    }
}

Informações de geração de consultas no CloudTrail

O registro em log do CloudTrail para eventos do console do gerador de consultas também é compatível. Atualmente, o gerador de consultas é compatível com o CloudWatch Metric Insights e o CloudWatch Logs Insights. Nesses eventos do CloudTrail, a eventSource é monitoring.amazonaws.com.

O exemplo a seguir mostra uma entrada de log do CloudTrail que demonstra a ação GenerateQuery no CloudWatch Metrics Insights. 

{
    "eventVersion": "1.09",
    "userIdentity": {
        "type": "AssumedRole",
        "principalId": "EX_PRINCIPAL_ID",
        "arn": "arn:aws:iam::123456789012:assumed-role/role_name",
        "accountId": "123456789012",
        "accessKeyId": "AKIAIOSFODNN7EXAMPLE",
        "sessionContext": {
            "sessionIssuer": {
                "type": "Role",
                "principalId": "EX_PRINCIPAL_ID",
                "arn": "arn:aws:iam::111222333444:role/Administrator",
                "accountId": "123456789012",
                "userName": "SAMPLE_NAME"
            },
            "attributes": {
                "creationDate": "2020-04-08T21:43:24Z",
                "mfaAuthenticated": "false"
            }
        }
    },
    "eventTime": "2020-04-08T23:06:30Z",
    "eventSource": "monitoring.amazonaws.com",
    "eventName": "GenerateQuery",
    "awsRegion": "us-east-1",
    "sourceIPAddress": "127.0.0.1",
    "userAgent": "exampleUserAgent",
    "requestParameters": {
        "query_ask": "***",
        "query_type": "MetricsInsights",
        "metrics_insights": {
            "aws_namespaces": [
                "AWS/S3",
                "AWS/Lambda",
                "AWS/DynamoDB"
            ]
        },
        "include_description": true
    },
    "responseElements": null,
    "requestID": "2f56318c-cfbd-4b60-9d93-1234567890",
    "eventID": "52723fd9-4a54-478c-ac55-1234567890",
    "readOnly": true,
    "eventType": "AwsApiCall",
    "managementEvent": true,
    "recipientAccountId": "111122223333", 
    "eventCategory": "Management"
}

Eventos de investigações operacionais do Amazon Q Developer no CloudTrail

As investigações operacionais do Amazon Q Developer são compatíveis com o registro em log das ações como eventos a seguir nos arquivos de logs do CloudTrail.

  • CreateInvestigation

  • GetInvestigation

  • UpdateInvestigation

  • DeleteInvestigation

  • ListInvestigations

  • CreateInvestigationGroup

  • GetInvestigationGroup

  • UpdateInvestigationGroup

  • DeleteInvestigationGroup

  • ListInvestigationsGroup

  • PutInvestigationGroupPolicy

  • DeleteInvestigationGroupPolicy

  • ListTagsForResource

  • GetInvestigationGroupPolicy

  • TagResource

  • UntagResource

  • CreateInvestigationEvent

  • GetInvestigationEvent

  • UpdateInvestigationEvent

  • ListInvestigationEvents

  • CreateInvestigationResource

  • GetInvestigationResource

Exemplo: as investigações operacionais do Amazon Q Developer registram entradas de arquivos

O exemplo a seguir mostra uma entrada de log de investigações operacionais do Amazon Q Developer que demonstra a ação CreateInvestigationGroup.

{
	"eventVersion": "1.09",
	"userIdentity": {
		"type": "AssumedRole",
		"principalId": "EX_PRINCIPAL_ID",
		"arn": "arn:aws:iam::123456789012:assumed-role/role_name",
		"accountId": "123456789012",
		"accessKeyId": "AKIAIOSFODNN7EXAMPLE",
		"sessionContext": {
			"sessionIssuer": {
				"type": "Role",
				"principalId": "EX_PRINCIPAL_ID",
				"arn": "arn:aws:iam::123456789012:role/role_name",
				"accountId": "123456789012",
				"userName": "SAMPLE_NAME"
			},
			"attributes": {
				"creationDate": "2024-10-30T18:42:05Z",
				"mfaAuthenticated": "false"
			}
		}
	},
	"eventTime": "2024-10-30T18:48:26Z",
	"eventSource": "aiops.amazonaws.com",
	"eventName": "CreateInvestigationGroup",
	"awsRegion": "us-east-1",
	"sourceIPAddress": "127.0.0.1",
	"userAgent": "exampleUserAgent",
	"requestParameters": {
		"name": "exampleName",
		"roleArn": "arn:aws:iam::123456789012:role/role_name"	},
	"responseElements": {
		"arn": "arn:aws:aiops:us-east-1:123456789012:investigation-group/021345abcdef67890"
	},
	"requestId": "e9caf887-8d88-11e5-a331-3332aa445952",
	"requestId": "49d14f36-6450-44a5-a501-b0fdcdfaeb98",
	"readOnly": false,
	"eventType": "AwsApiCall",
	"managementEvent": true,
	"recipientAccountId": "123456789012",
	"eventCategory": "Management"
}

O exemplo a seguir mostra uma entrada de log de investigações operacionais do Amazon Q Developer que demonstra a ação CreateInvestigationEvent.

{
		"eventVersion": "1.09",
		"userIdentity": {
			"type": "AssumedRole",
			"principalId": "EX_PRINCIPAL_ID",
			"arn": "arn:aws:sts::123456789012:assumed-role/role_name",
			"accountId": "123456789012",
			"accessKeyId": "AKIAIOSFODNN7EXAMPLE",
			"sessionContext": {
				"sessionIssuer": {
					"type": "Role",
					"principalId": "EX_PRINCIPAL_ID",
					"arn": "arn:aws:iam::123456789012:role/role_name",
					"accountId": "123456789012",
					"userName": "SAMPLE_NAME"
				},
				"attributes": {
					"creationDate": "2024-10-30T16:17:49Z",
					"mfaAuthenticated": "false"
				}
			}
		},
		"eventTime": "2024-10-30T16:35:34Z",
		"eventSource": "aiops.amazonaws.com",
		"eventName": "CreateInvestigationEvent",
		"awsRegion": "us-east-1",
		"sourceIPAddress": "127.0.0.1",
		"userAgent": "exampleUserAgent",
		"requestParameters": {
			"identifier": "arn:aws:aiops:us-east-1:123456789012:investigation-group/021345abcdef67890",
			"investigationId": "bcdef01234567890",
			"clientToken": "a1b2c3d4-5678-90ab-cdef-EXAMPLE11111",
			"type": "METRIC_OBSERVATION",
			"body": "***"
		},
		"responseElements": {
			"investigationGroupArn": "arn:aws:aiops:us-east-1:123456789012:investigation-group/021345abcdef67890",
			"investigationId": "bcdef01234567890",
			"investigationEventId": "14567890abcdef0g"
		},
		"requestId": "e9caf887-8d88-11e5-a331-3332aa445952",
		"eventId": "49d14f36-6450-44a5-a501-b0fdcdfaeb98",
		"readOnly": false,
		"resources": [{
			"accountId": "123456789012",
			"type": "AWS::AIOps::InvestigationGroup",
			"ARN": "arn:aws:aiops:us-east-1:123456789012:investigation-group/021345abcdef67890"
		}],
		"eventType": "AwsApiCall",
		"managementEvent": false,
		"recipientAccountId": "123456789012",
		"eventCategory": "Data"
	}

O exemplo a seguir mostra uma entrada de log de investigações operacionais do Amazon Q Developer que demonstra a ação UpdateInvestigationEvent.

{
	"eventVersion": "1.09",
	"userIdentity": {
		"type": "AssumedRole",
		"principalId": "EX_PRINCIPAL_ID",
		"arn": "arn:aws:sts::123456789012:assumed-role/role_name",
		"accountId": "123456789012",
		"accessKeyId": "AKIAIOSFODNN7EXAMPLE",
		"sessionContext": {
			"sessionIssuer": {
				"type": "Role",
				"principalId": "EX_PRINCIPAL_ID",
				"arn": "arn:aws:iam::123456789012:role/role_name",
				"accountId": "123456789012",
				"userName": "SAMPLE_NAME"
			},
			"attributes": {
				"creationDate": "2024-10-30T16:17:49Z",
				"mfaAuthenticated": "false"
			}
		}
	},
	"eventTime": "2024-10-30T16:24:48Z",
	"eventSource": "aiops.amazonaws.com",
	"eventName": "UpdateInvestigationEvent",
	"awsRegion": "us-east-1",
	"sourceIPAddress": "127.0.0.1",
	"userAgent": "exampleUserAgent",
	"requestParameters": {
		"identifier": "arn:aws:aiops:us-east-1:123456789012:investigation-group/021345abcdef67890",
		"investigationId": "bcdef01234567890",
		"investigationEventId": "14567890abcdef0g",
		"comment": "***"
	},
	"responseElements": null,
	"requestId": "e9caf887-8d88-11e5-a331-3332aa445952",
	"eventId": "49d14f36-6450-44a5-a501-b0fdcdfaeb98",
	"readOnly": false,
	"resources": [{
		"accountId": "123456789012",
		"type": "AWS::AIOps::InvestigationGroup",
		"ARN": "arn:aws:aiops:us-east-1:123456789012:investigation-group/021345abcdef67890"
	}],
	"eventType": "AwsApiCall",
	"managementEvent": false,
	"recipientAccountId": "123456789012",
	"eventCategory": "Data"
}

Network Flow Monitor no CloudTrail

O Network Flow Monitor é compatível com as ações como eventos a seguir nos arquivos de logs do CloudTrail.

Exemplo: entrada do arquivo de logs do Network Flow Monitor

O exemplo a seguir mostra uma entrada de arquivo de log do Network Flow Monitor CloudTrail que demonstra a ação CreateMonitor.


{
    "eventVersion": "1.09",
    "userIdentity": {
        "type": "AssumedRole",
        "principalId": "EX_PRINCIPAL_ID",
        "arn": "arn:aws:iam::000000000000:assumed-role/role_name",
        "accountId": "123456789012",
        "accessKeyId": "AKIAIOSFODNN7EXAMPLE",
        "sessionContext": {
            "sessionIssuer": {
                "type": "Role",
                "principalId": "EX_PRINCIPAL_ID",
                "arn": "arn:aws:iam::000000000000:role/Admin",
                "accountId": "123456789012",
                "userName": "SAMPLE_NAME"
            },
            "attributes": {
                "creationDate": "2024-11-03T15:43:27Z",
                "mfaAuthenticated": "false"
            }
        }
    },
    "eventTime": "2024-11-03T15:58:11Z",
    "eventSource": "networkflowmonitor.amazonaws.com",
    "eventName": "CreateMonitor",
    "awsRegion": "us-east-1",
    "sourceIPAddress": "192.0.2.0",
    "userAgent": "Mozilla/5.0 (Macintosh; Intel Mac OS X 10_15_7)",
    "requestParameters": {
        "MonitorName": "TestMonitor",
        "ClientToken": "33551db7-1618-4aab-cdef-EXAMPLE33333",
        "LocalResources": [
            {
                "Type": "AWS::EC2::Subnet",
                "Identifier": "subnet-cdef-EXAMPLEbbbbb"
            },
            {
                "Type": "AWS::EC2::Subnet",
                "Identifier": "subnet-cdef-EXAMPLEccccc"
            },
            {
                "Type": "AWS::EC2::Subnet",
                "Identifier": "subnet-cdef-EXAMPLEddddd"
            },
            {
                "Type": "AWS::EC2::Subnet",
                "Identifier": "subnet-cdef-EXAMPLEeeeee"
            },
            {
                "Type": "AWS::EC2::Subnet",
                "Identifier": "subnet-cdef-EXAMPLEfffff"
            },
            {
                "Type": "AWS::EC2::Subnet",
                "Identifier": "subnet-cdef-EXAMPLEggggg"
            }
        ]
    },
    "responseElements": {
        "Access-Control-Expose-Headers": "*",
        "MonitorArn": "arn:aws:networkflowmonitor:us-east-1:000000000000:monitor/TestMonitor",
        "MonitorName": "TestMonitor",
        "MonitorStatus": "ACTIVE"
    },
    "requestID": "a1b2c3d4-5678-90ab-cdef-EXAMPLE11111",
    "eventID": "a1b2c3d4-5678-90ab-cdef-EXAMPLEbbbbb",
    "readOnly": false,
    "eventType": "AwsApiCall",
    "managementEvent": true,
    "recipientAccountId": "111122223333",
    "eventCategory": "Management"
}
{
        "eventVersion": "1.08",
        "userIdentity": {
            "type": "AssumedRole",
            "principalId": "EX_PRINCIPAL_ID",
            "arn": "arn:aws:iam::000000000000:assumed-role/role_name",
            "accountId":"123456789012",
            "accessKeyId":"AKIAIOSFODNN7EXAMPLE",
            "sessionContext": {
                "sessionIssuer": {
                "type": "Role",
                "principalId": "EX_PRINCIPAL_ID",
                "arn": "arn:aws:iam::000000000000:role/Admin",
                "accountId":"123456789012",
                "userName": "SAMPLE_NAME"
                },
                "webIdFederationData": {},
                "attributes": {
                    "creationDate": "2022-10-11T17:25:41Z",
                    "mfaAuthenticated": "false"
                }
            }
        },
        "eventTime": "2022-10-11T17:30:18Z",
        "eventSource": "networkflowmonitor.amazonaws.com",
        "eventName": "ListMonitors",
        "awsRegion": "us-east-2",
        "sourceIPAddress": "192.0.2.0",
        "userAgent": "Mozilla/5.0 (Macintosh; Intel Mac OS X 10_15_7)",
        "requestParameters": null,
        "responseElements": null,
        "requestID": "a1b2c3d4-5678-90ab-cdef-EXAMPLE11111",
        "eventID": "a1b2c3d4-5678-90ab-cdef-EXAMPLEbbbbb",
        "readOnly": true,
        "eventType": "AwsApiCall",
        "managementEvent": true,
        "recipientAccountId": "111122223333",
        "eventCategory": "Management"
    }

Eventos do plano de dados do Network Flow Monitor no CloudTrail

O CloudTrail pode capturar atividades de API relacionadas às operações CloudWatch-NetworkFlowMonitor de plano de dados.

Eventos de dados, também conhecidos como operações do plano de dados, oferecem insights sobre as operações executadas no recurso ou dentro dele. Eventos de dados geralmente são atividades de alto volume.

Para habilitar o registro em log dos eventos de dados do Network Flow Monitor nos arquivos do CloudTrail, você precisará habilitar o registro em log da atividade de API do plano de dados no CloudTrail. Para obter mais informações, consulte Logging data events for trails.

Os eventos do plano de dados podem ser filtrados por tipo de recurso. Como há custos adicionais para usar eventos de dados no CloudTrail, a filtragem por recurso permite que você tenha mais controle sobre o que você registra em log e paga.

Ao usar as informações que o CloudTrail coleta, você pode identificar uma solicitação específica para as APIs CloudWatch-NetworkFlowMonitor do plano de dados, o endereço IP do solicitante, a identidade do solicitante e a data e a hora da solicitação. O registro em log de APIs do plano de dados usando o CloudTrail pode ajudar com a auditoria operacional e de risco, a governança e a conformidade da conta da AWS.

Veja abaixo as APIs do plano de dados no Network Flow Monitor.

O exemplo a seguir mostra uma entrada de log do CloudTrail que demonstra a ação GetQueryResultsMonitorsTopContributors.

{
  "eventVersion": "1.09",
  "userIdentity": {
    "type": "AssumedRole",
    "principalId": "EX_PRINCIPAL_ID",
    "arn": "arn:aws:iam::000000000000:assumed-role/role_name",
    "accountId": "123456789012",
    "accessKeyId": "AKIAIOSFODNN7EXAMPLE",
    "sessionContext": {
      "sessionIssuer": {
        "type": "Role",
        "principalId": "EX_PRINCIPAL_ID",
        "arn": "arn:aws:iam::000000000000:role/Admin",
        "accountId": "123456789012",
         "userName": "SAMPLE_NAME"
      },
      "attributes": {
      "creationDate": "2024-11-03T15:43:27Z",
      "mfaAuthenticated": "false"
      }
    }
},
  "eventTime": "2024-11-15T14:08:04Z",
  "eventSource": "networkflowmonitor.amazonaws.com",
  "eventName": "GetQueryResultsMonitorTopContributors",
  "awsRegion": "us-east-1",
  "sourceIPAddress": "192.0.2.0",
  "userAgent": "Mozilla/5.0 (Macintosh; Intel Mac OS X 10_15_7)",
  "errorCode": "AccessDenied",
  "requestParameters": {
    "QueryId": "a1b2c3d4-5678-90ab-cdef-EXAMPLEQuery,
    "MaxResults": "20",
    "MonitorName": "TestMonitor"
  },
  "responseElements": null,
  "requestID": "a1b2c3d4-5678-90ab-cdef-EXAMPLE11111",
  "eventID": "a1b2c3d4-5678-90ab-cdef-EXAMPLEbbbbb",
  "readOnly": true,
  "resources": [
    {
      "accountId": "123456789012",
      "type": "AWS::NetworkFlowMonitor::Monitor",
      "ARN": "arn:aws:networkflowmonitor:us-east-1:123456789012:monitor/TestMonitor"
    }
  ],
  "eventType": "AwsApiCall",
  "managementEvent": false,
  "recipientAccountId": "000000000000",
  "eventCategory": "Data"
}

O exemplo a seguir mostra uma entrada de log do CloudTrail que demonstra a ação GetQueryResultsWorkloadInsightsTopContributors.

{
  "eventVersion": "1.09",
  "userIdentity": {
    "type": "AssumedRole",
    "principalId": "EX_PRINCIPAL_ID",
    "arn": "arn:aws:iam::000000000000:assumed-role/role_name",
    "accountId": "123456789012",
    "accessKeyId": "AKIAIOSFODNN7EXAMPLE",
    "sessionContext": {
      "sessionIssuer": {
        "type": "Role",
        "principalId": "EX_PRINCIPAL_ID",
        "arn": "arn:aws:iam::000000000000:role/Admin",
        "accountId": "123456789012",
         "userName": "SAMPLE_NAME"
      },
      "attributes": {
      "creationDate": "2024-11-03T15:43:27Z",
      "mfaAuthenticated": "false"
      }
    }
},
  "eventTime": "2024-11-15T14:08:04Z",
  "eventSource": "networkflowmonitor.amazonaws.com",
  "eventName": "GetQueryResultsWorkloadInsightsTopContributorsData",
  "awsRegion": "us-east-1",
  "sourceIPAddress": "192.0.2.0",
  "userAgent": "Mozilla/5.0 (Macintosh; Intel Mac OS X 10_15_7)",
  "errorCode": "AccessDenied",
  "requestParameters": {
    "QueryId": "a1b2c3d4-5678-90ab-cdef-EXAMPLEQuery",
    "ScopeId": "a1b2c3d4-5678-90ab-cdef-EXAMPLEScope"
  },
  "responseElements": null,
  "requestID": "a1b2c3d4-5678-90ab-cdef-EXAMPLE11111",
  "eventID": "a1b2c3d4-5678-90ab-cdef-EXAMPLEbbbbb",
  "readOnly": true,
  "resources": [
    {
      "accountId": "496383180932",
      "type": "AWS::NetworkFlowMonitor::Scope",
      "ARN": "arn:aws:networkflowmonitor:us-east-1:123456789012:scope/a1b2c3d4-5678-90ab-cdef-EXAMPLEScope"
    }
  ],
  "eventType": "AwsApiCall",
  "managementEvent": false,
  "recipientAccountId": "000000000000",
  "eventCategory": "Data"
}

Monitor de Internet no CloudTrail

O Monitor de Internet é compatível com o registro em log das ações como eventos a seguir nos arquivos de log do CloudTrail.

Exemplo: entradas do arquivo de log do Monitor de Internet

O exemplo a seguir mostra uma entrada de log do CloudTrail Internet Monitor que demonstra a ação ListMonitors.

{
        "eventVersion": "1.08",
        "userIdentity": {
            "type": "AssumedRole",
            "principalId": "EX_PRINCIPAL_ID",
            "arn": "arn:aws:iam::000000000000:assumed-role/role_name",
            "accountId":"123456789012",
            "accessKeyId":"AKIAIOSFODNN7EXAMPLE",
            "sessionContext": {
                "sessionIssuer": {
                "type": "Role",
                "principalId": "EX_PRINCIPAL_ID",
                "arn": "arn:aws:iam::000000000000:role/Admin",
                "accountId":"123456789012",
                "userName": "SAMPLE_NAME"
                },
                "webIdFederationData": {},
                "attributes": {
                    "creationDate": "2022-10-11T17:25:41Z",
                    "mfaAuthenticated": "false"
                }
            }
        },
        "eventTime": "2022-10-11T17:30:18Z",
        "eventSource": "internetmonitor.amazonaws.com",
        "eventName": "ListMonitors",
        "awsRegion": "us-east-2",
        "sourceIPAddress": "192.0.2.0",
        "userAgent": "Mozilla/5.0 (Macintosh; Intel Mac OS X 10_15_7)",
        "requestParameters": null,
        "responseElements": null,
        "requestID": "a1b2c3d4-5678-90ab-cdef-EXAMPLE11111",
        "eventID": "a1b2c3d4-5678-90ab-cdef-EXAMPLEbbbbb",
        "readOnly": true,
        "eventType": "AwsApiCall",
        "managementEvent": true,
        "recipientAccountId": "111122223333",
        "eventCategory": "Management"
    }

O exemplo a seguir mostra uma entrada de log do CloudTrail Internet Monitor que demonstra a ação CreateMonitor.

{
        "eventVersion": "1.08",
        "userIdentity": {
            "type": "AssumedRole",
            "principalId": "EX_PRINCIPAL_ID",
            "arn": "arn:aws:iam::000000000000:assumed-role/role_name",
            "accountId":"123456789012",
            "accessKeyId":"AKIAIOSFODNN7EXAMPLE",
            "sessionContext": {
                "sessionIssuer": {
                "type": "Role",
                "principalId": "EX_PRINCIPAL_ID",
                "arn": "arn:aws:iam::000000000000:role/Admin",
                "accountId":"123456789012",
                "userName": "SAMPLE_NAME"
                },
                "webIdFederationData": {},
                "attributes": {
                    "creationDate": "2022-10-11T17:25:41Z",
                    "mfaAuthenticated": "false"
                }
            }
        },
        "eventTime": "2022-10-11T17:30:08Z",
        "eventSource": "internetmonitor.amazonaws.com",
        "eventName": "CreateMonitor",
        "awsRegion": "us-east-2",
        "sourceIPAddress": "192.0.2.0",
        "userAgent": "Mozilla/5.0 (Macintosh; Intel Mac OS X 10_15_7)",
        "requestParameters": {
            "MonitorName": "TestMonitor",
            "Resources": ["arn:aws:ec2:us-east-2:444455556666:vpc/vpc-febc0b95"],
            "ClientToken": "a1b2c3d4-5678-90ab-cdef-EXAMPLE33333"
        },
        "responseElements": {
            "Arn": "arn:aws:internetmonitor:us-east-2:444455556666:monitor/ct-onboarding-test",
            "Status": "PENDING"
        },
        "requestID": "a1b2c3d4-5678-90ab-cdef-EXAMPLE11111",
        "eventID": "a1b2c3d4-5678-90ab-cdef-EXAMPLEbbbbb",
        "readOnly": false,
        "eventType": "AwsApiCall",
        "managementEvent": true,
        "recipientAccountId": "111122223333",
        "eventCategory": "Management"
    }

Informações do CloudWatch Synthetics no CloudTrail

O CloudWatch Synthetics oferece suporte ao registro das seguintes ações como eventos nos arquivos de log do CloudTrail:

Exemplo: entradas do arquivo de log do CloudWatch Synthetics

O exemplo a seguir mostra uma entrada de log do CloudTrail Synthetics que demonstra a ação DescribeCanaries.

{
    "eventVersion": "1.05",
    "userIdentity": {
        "type": "AssumedRole",
        "principalId": "EX_PRINCIPAL_ID",
        "arn": "arn:aws:iam::123456789012:assumed-role/role_name",
        "accountId":"123456789012",
        "accessKeyId":"AKIAIOSFODNN7EXAMPLE",
        "sessionContext": {
            "sessionIssuer": {
                "type": "Role",
                "principalId": "EX_PRINCIPAL_ID",
                "arn": "arn:aws:iam::111222333444:role/Administrator",
                "accountId":"123456789012",
                "userName": "SAMPLE_NAME"
            },
            "webIdFederationData": {},
            "attributes": {
                "mfaAuthenticated": "false",
                "creationDate": "2020-04-08T21:43:24Z"
            }
        }
    },
    "eventTime": "2020-04-08T23:06:47Z",
    "eventSource": "synthetics.amazonaws.com",
    "eventName": "DescribeCanaries",
    "awsRegion": "us-east-1",
    "sourceIPAddress": "127.0.0.1",
    "userAgent": "aws-internal/3 aws-sdk-java/1.11.590 Linux/4.9.184-0.1.ac.235.83.329.metal1.x86_64 OpenJDK_64-Bit_Server_VM/25.212-b03 java/1.8.0_212 vendor/Oracle_Corporation",
    "requestParameters": null,
    "responseElements": null,
    "requestID": "201ed5f3-15db-4f87-94a4-123456789",
    "eventID": "73ddbd81-3dd0-4ada-b246-123456789",
    "readOnly": true,
    "eventType": "AwsApiCall",
    "recipientAccountId": "111122223333"
}

O exemplo a seguir mostra uma entrada de log do CloudTrail Synthetics que demonstra a ação UpdateCanary.

{
    "eventVersion": "1.05",
    "userIdentity": {
        "type": "AssumedRole",
        "principalId": "EX_PRINCIPAL_ID",
        "arn": "arn:aws:iam::123456789012:assumed-role/role_name",
        "accountId":"123456789012",
        "accessKeyId":"AKIAIOSFODNN7EXAMPLE",
        "sessionContext": {
            "sessionIssuer": {
               "type": "Role",
                "principalId": "EX_PRINCIPAL_ID",
                "arn": "arn:aws:iam::111222333444:role/Administrator",
       "accountId":"123456789012",
                "userName": "SAMPLE_NAME"
            },
            "webIdFederationData": {},
            "attributes": {
                "mfaAuthenticated": "false",
                "creationDate": "2020-04-08T21:43:24Z"
            }
        }
    },
    "eventTime": "2020-04-08T23:06:47Z",
    "eventSource": "synthetics.amazonaws.com",
    "eventName": "UpdateCanary",
    "awsRegion": "us-east-1",
    "sourceIPAddress": "192.0.2.0",
    "userAgent": "aws-internal/3 aws-sdk-java/1.11.590 Linux/4.9.184-0.1.ac.235.83.329.metal1.x86_64 OpenJDK_64-Bit_Server_VM/25.212-b03 java/1.8.0_212 vendor/Oracle_Corporation",
    "requestParameters": {
        "Schedule": {
            "Expression": "rate(1 minute)"
        },
        "name": "sample_canary_name",
        "Code": {
            "Handler": "myOwnScript.handler",
            "ZipFile": "SAMPLE_ZIP_FILE"
        }
    },
    "responseElements": null,
    "requestID": "fe4759b0-0849-4e0e-be71-1234567890",
    "eventID": "9dc60c83-c3c8-4fa5-bd02-1234567890",
    "readOnly": false,
    "eventType": "AwsApiCall",
    "recipientAccountId": "111122223333"
}

O exemplo a seguir mostra uma entrada de log do CloudTrail Synthetics que demonstra a ação GetCanaryRuns.

{
    "eventVersion": "1.05",
    "userIdentity": {
        "type": "AssumedRole",
        "principalId": "EX_PRINCIPAL_ID",
        "arn": "arn:aws:iam::123456789012:assumed-role/role_name",
        "accountId":"123456789012",
        "accessKeyId":"AKIAIOSFODNN7EXAMPLE",
        "sessionContext": {
            "sessionIssuer": {
                "type": "Role",
                "principalId": "EX_PRINCIPAL_ID",
                "arn": "arn:aws:iam::111222333444:role/Administrator",
       "accountId":"123456789012",
                "userName": "SAMPLE_NAME"
            },
            "webIdFederationData": {},
            "attributes": {
                "mfaAuthenticated": "false",
                "creationDate": "2020-04-08T21:43:24Z"
            }
        }
    },
    "eventTime": "2020-04-08T23:06:30Z",
    "eventSource": "synthetics.amazonaws.com",
    "eventName": "GetCanaryRuns",
    "awsRegion": "us-east-1",
    "sourceIPAddress": "127.0.0.1",
    "userAgent": "aws-internal/3 aws-sdk-java/1.11.590 Linux/4.9.184-0.1.ac.235.83.329.metal1.x86_64 OpenJDK_64-Bit_Server_VM/25.212-b03 java/1.8.0_212 vendor/Oracle_Corporation",
    "requestParameters": {
        "Filter": "TIME_RANGE",
        "name": "sample_canary_name",
        "FilterValues": [
            "2020-04-08T23:00:00.000Z",
            "2020-04-08T23:10:00.000Z"
        ]
    },
    "responseElements": null,
    "requestID": "2f56318c-cfbd-4b60-9d93-1234567890",
    "eventID": "52723fd9-4a54-478c-ac55-1234567890",
    "readOnly": true,
    "eventType": "AwsApiCall",
    "recipientAccountId": "111122223333"
}

Informações do CloudWatch RUM no CloudTrail

O CloudWatch RUM é compatível com o registro em log das seguintes ações como eventos nos arquivos de log do CloudTrail:

Exemplo: entradas de arquivo de log do CloudWatch RUM

Esta seção contém exemplos de entradas do CloudTrail para algumas APIs do CloudWatch RUM.

O exemplo a seguir mostra uma entrada de log do CloudTrail que demonstra a ação CreateAppMonitor.

{
    "eventVersion": "1.09",
    "userIdentity": {
        "type": "AssumedRole",
        "principalId": "EXAMPLE_PRINCIPAL_ID",
        "arn": "arn:aws:sts::777777777777:assumed-role/EXAMPLE",
        "accountId": "777777777777",
        "accessKeyId": "AKIAIOSFODNN7EXAMPLE",
        "sessionContext": {
            "sessionIssuer": {
                "type": "Role",
                "principalId": "EXAMPLE_PRINCIPAL_ID",
                "arn": "arn:aws:iam::777777777777:role/EXAMPLE",
                "accountId": "777777777777",
                "userName": "USERNAME_EXAMPLE"
            },
            "attributes": {
                "creationDate": "2024-07-23T16:48:47Z",
                "mfaAuthenticated": "false"
            }
        }
    },
    "eventTime": "2024-07-23T18:02:57Z",
    "eventSource": "rum.amazonaws.com",
    "eventName": "CreateAppMonitor",
    "awsRegion": "us-east-1",
    "sourceIPAddress": "54.240.198.39",
    "userAgent": "aws-internal/3 aws-sdk-java/1.12.641 Linux/5.10.219-186.866.amzn2int.x86_64 OpenJDK_64-Bit_Server_VM/25.402-b08 java/1.8.0_402 vendor/Oracle_Corporation cfg/retry-mode/standard",
    "requestParameters": {
        "CustomEvents": {
            "Status": "ENABLED"
        },
        "CwLogEnabled": true,
        "Domain": "*.github.io",
        "AppMonitorConfiguration": {
            "SessionSampleRate": 1,
            "IncludedPages": [],
            "ExcludedPages": [],
            "Telemetries": [
                "performance",
                "errors",
                "http"
            ],
            "EnableXRay": false,
            "AllowCookies": true,
            "IdentityPoolId": "us-east-1:c81b9a1c-a5c9-4de5-8585-eb8df04e66f0"
        },
        "Tags": {
            "TestAppMonitor": ""
        },
        "Name": "TestAppMonitor"
    },
    "responseElements": {
        "Id": "65a8cc63-4ae8-4f2c-b5fc-4a54ef43af51"
    },
    "requestID": "cf7c30ad-25d3-4274-bab1-39c95a558007",
    "eventID": "2d43cc69-7f89-4f1a-95ae-0fc7e9b9fb3b",
    "readOnly": false,
    "eventType": "AwsApiCall",
    "managementEvent": true,
    "recipientAccountId": "777777777777",
    "eventCategory": "Management"
}

O exemplo a seguir mostra uma entrada de log do CloudTrail que demonstra a ação PutRumMetricsDestination.

{
    "eventVersion": "1.09",
    "userIdentity": {
        "type": "AssumedRole",
        "principalId": "EXAMPLE_PRINCIPAL_ID",
        "arn": "arn:aws:sts::777777777777:assumed-role/EXAMPLE",
        "accountId": "777777777777",
        "accessKeyId": "AKIAIOSFODNN7EXAMPLE",
        "sessionContext": {
            "sessionIssuer": {
                "type": "Role",
                "principalId": "EXAMPLE_PRINCIPAL_ID",
                "arn": "arn:aws:iam::777777777777:role/EXAMPLE",
                "accountId": "777777777777",
                "userName": "USERNAME_EXAMPLE"
            },
            "attributes": {
                "creationDate": "2024-07-23T16:48:47Z",
                "mfaAuthenticated": "false"
            }
        }
    },
    "eventTime": "2024-07-23T18:22:22Z",
    "eventSource": "rum.amazonaws.com",
    "eventName": "PutRumMetricsDestination",
    "awsRegion": "us-east-1",
    "sourceIPAddress": "52.94.133.142",
    "userAgent": "aws-cli/2.13.25 Python/3.11.5 Linux/5.10.219-186.866.amzn2int.x86_64 exe/x86_64.amzn.2 prompt/off command/rum.put-rum-metrics-destination",
    "requestParameters": {
        "Destination": "CloudWatch",
        "AppMonitorName": "TestAppMonitor"
    },
    "responseElements": null,
    "requestID": "9b03fcce-b3a2-44fc-b771-900e1702998a",
    "eventID": "6250f9b7-0505-4f96-9668-feb64f82de5b",
    "readOnly": false,
    "eventType": "AwsApiCall",
    "managementEvent": true,
    "recipientAccountId": "777777777777",
    "eventCategory": "Management"
}

O exemplo a seguir mostra uma entrada de log do CloudTrail que demonstra a ação BatchCreateRumMetricsDefinitions.

{
    "eventVersion": "1.09",
    "userIdentity": {
        "type": "AssumedRole",
        "principalId": "EXAMPLE_PRINCIPAL_ID",
        "arn": "arn:aws:sts::777777777777:assumed-role/EXAMPLE",
        "accountId": "777777777777",
        "accessKeyId": "AKIAIOSFODNN7EXAMPLE",
        "sessionContext": {
            "sessionIssuer": {
                "type": "Role",
                "principalId": "EXAMPLE_PRINCIPAL_ID",
                "arn": "arn:aws:iam::777777777777:role/EXAMPLE",
                "accountId": "777777777777",
                "userName": "USERNAME_EXAMPLE"
            },
            "attributes": {
                "creationDate": "2024-07-23T16:48:47Z",
                "mfaAuthenticated": "false"
            }
        }
    },
    "eventTime": "2024-07-23T18:23:11Z",
    "eventSource": "rum.amazonaws.com",
    "eventName": "BatchCreateRumMetricDefinitions",
    "awsRegion": "us-east-1",
    "sourceIPAddress": "52.94.133.142",
    "userAgent": "aws-cli/2.13.25 Python/3.11.5 Linux/5.10.219-186.866.amzn2int.x86_64 exe/x86_64.amzn.2 prompt/off command/rum.batch-create-rum-metric-definitions",
    "requestParameters": {
        "Destination": "CloudWatch",
        "MetricDefinitions": [
            {
                "Name": "NavigationToleratedTransaction",
                "Namespace": "AWS/RUM",
                "DimensionKeys": {
                    "metadata.browserName": "BrowserName"
                },
                "EventPattern": "{\"metadata\":{\"browserName\":[\"Chrome\"]},\"event_type\":[\"com.amazon.rum.performance_navigation_event\"],\"event_details\": {\"duration\": [{\"numeric\": [\"<=\",2000,\"<\",8000]}]}}"
            },
            {
                "Name": "HttpErrorCount",
                "DimensionKeys": {
                    "metadata.browserName": "BrowserName",
                    "metadata.countryCode": "CountryCode"
                },
                "EventPattern": "{\"metadata\":{\"browserName\":[\"Chrome\"], \"countryCode\":[\"US\"]},\"event_type\":[\"com.amazon.rum.http_event\"]}"
            }
        ],
        "AppMonitorName": "TestAppMonitor"
    },
    "responseElements": {
        "Errors": [],
        "MetricDefinitions": []
    },
    "requestID": "b14c5eda-f107-48e5-afae-1ac20d0962a8",
    "eventID": "001b55c6-1de1-48c0-a236-31096dffe249",
    "readOnly": false,
    "eventType": "AwsApiCall",
    "managementEvent": true,
    "recipientAccountId": "777777777777",
    "eventCategory": "Management"
}

Eventos do plano de dados do CloudWatch RUM no CloudTrail

O CloudTrail pode capturar atividades de API relacionadas à operação PutRumEvents do plano de dados do CloudWatch RUM.

Eventos de dados, também conhecidos como operações do plano de dados, oferecem insights sobre as operações executadas no recurso ou dentro dele. Eventos de dados geralmente são atividades de alto volume.

Para habilitar o registro em log dos eventos de dados de PutRumEvents nos arquivos do CloudTrail, você precisará habilitar o registro em log da atividade de API do plano de dados no CloudTrail. Para obter mais informações, consulte Logging data events for trails.

Os eventos do plano de dados podem ser filtrados por tipo de recurso. Como há custos adicionais para usar eventos de dados no CloudTrail, a filtragem por recurso permite que você tenha mais controle sobre o que você registra em log e paga.

Ao usar as informações que o CloudTrail coleta, é possível identificar uma solicitação específica para a API PutRumEvents do CloudWatch RUM, o endereço IP do solicitante, a identidade do solicitante e a data e a hora da solicitação. O registro em log da API PutRumEvents usando o CloudTrail ajuda você a viabilizar a auditoria operacional e de risco, a governança e a conformidade da sua conta da AWS.

O exemplo a seguir mostra uma entrada de log do CloudTrail que demonstra a ação PutRumEvents.

{
 "Records": [
     {
         "eventVersion": "1.09",
         "userIdentity": {
             "type": "AssumedRole",
             "principalId": "EXAMPLE_PRINCIPAL_ID",
             "arn": "arn:aws:sts::777777777777:assumed-role/EXAMPLE",
             "accountId": "777777777777",
             "accessKeyId": "AKIAIOSFODNN7EXAMPLE",
             "sessionContext": {
                 "sessionIssuer": {
                     "type": "Role",
                     "principalId": "EXAMPLE_PRINCIPAL_ID",
                     "arn": "arn:aws:iam::777777777777:role/EXAMPLE",
                     "accountId": "777777777777",
                     "userName": "USERNAME_EXAMPLE"
                 },
                 "attributes": {
                     "creationDate": "2024-05-16T20:32:39Z",
                     "mfaAuthenticated": "false"
                 }
             },
             "invokedBy": "AWS Internal"
         },
         "eventTime": "2024-05-16T20:32:42Z",
         "eventSource": "rum.amazonaws.com",
         "eventName": "PutRumEvents",
         "awsRegion": "us-east-1",
         "sourceIPAddress": "AWS Internal",
         "userAgent": "AWS Internal",
         "requestParameters": {
             "id": "73ddbd81-1234-5678-b246-123456789",
             "batchId": "123456-3dd0-4ada-b246-123456789",
             "appMonitorDetails": {
                 "name": "APP-MONITOR-NAME",
                 "id": "123456-3dd0-4ada-b246-123456789",
                 "version": "1.0.0"
             },
             "userDetails": {
                 "userId": "73ddbd81-1111-9999-b246-123456789",
                 "sessionId": "a1b2c3456-15db-4f87-6789-123456789"
             },
             "rumEvents": [
                 {
                     "id": "201f367a-15db-1234-94a4-123456789",
                     "timestamp": "May 16, 2024, 8:32:20 PM",
                     "type": "com.amazon.rum.dom_event",
                     "metadata": "{}",
                     "details": "{}"
                 }
             ]
         },
         "responseElements": null,
         "requestID": "201ed5f3-15db-4f87-94a4-123456789",
         "eventID": "73ddbd81-3dd0-4ada-b246-123456789",
         "readOnly": false,
         "resources": [
             {
                 "accountId": "777777777777",
                 "type": "AWS::RUM::AppMonitor",
                 "ARN": "arn:aws:rum:us-east-1:777777777777:appmonitor/APPMONITOR_NAME_EXAMPLE"
             }
         ],
         "eventType": "AwsApiCall",
         "managementEvent": false,
         "recipientAccountId": "777777777777",
         "eventCategory": "Data"
     }
 ]
}