Eventos do CloudTrail Histórico de eventos Trilhas Trilhas da organização CloudTrail Lake e armazenamentos de dados de eventos CloudTrail Insights Tags AWS Security Token Service e o CloudTrail Eventos de serviços globais

Conceitos do CloudTrail

Esta seção resume os conceitos básicos relacionados ao CloudTrail.

Conceitos:

Eventos do CloudTrail
Histórico de eventos
Trilhas
Trilhas da organização
CloudTrail Lake e armazenamentos de dados de eventos
CloudTrail Insights
Tags
AWS Security Token Service e o CloudTrail
Eventos de serviços globais

Eventos do CloudTrail

Um evento do CloudTrail é o registro de uma atividade em uma contada AWS. Esta atividade pode ser uma ação tomada por uma identidade do IAM que possa ser monitorada pelo CloudTrail. Os eventos do CloudTrail fornecem um histórico de atividades de contas da API e não API feitas por meio do Console de gerenciamento da AWS, das SDKs da AWS, das ferramentas de linha de comando e de outros serviços da AWS.

Os arquivos de log do CloudTrail não são um rastreamento de pilha ordenada de chamadas de API públicas, portanto não são exibidos em uma ordem específica.

O CloudTrail registra quatro tipos de eventos:

Eventos de gerenciamento
Eventos de dados
Eventos de atividade de rede
Eventos do Insights

Todos os tipos de eventos usam o mesmo formato de log JSON do CloudTrail.

Por padrão, as trilhas e os armazenamentos de dados de eventos registram eventos de gerenciamento, mas não eventos de dados ou do Insights.

Para obter informações sobre como integrar os Serviços da AWS ao CloudTrail, consulte AWSTópicos de serviço da para o CloudTrail.

Eventos de gerenciamento

Os eventos de gerenciamento fornecem informações sobre operações de gerenciamento executadas em recursos na sua conta da AWS. Elas também são conhecidas como operações de plano de controle.

Exemplos de eventos de gerenciamento incluem:

Configuração da segurança (por exemplo, operações de API do AWS Identity and Access Management AttachRolePolicy).
Registro de dispositivos (por exemplo, operações de API CreateDefaultVpc do Amazon EC2).
Configuração de regras para roteamento de dados (por exemplo, operações de API CreateSubnet do Amazon EC2).
Configuração de registro (por exemplo, operações de API do AWS CloudTrail CreateTrail).

Os eventos de gerenciamento também podem incluir eventos que não são de API que ocorrem na sua conta. Por exemplo, quando um usuário faz login na sua conta, o CloudTrail registra o evento ConsoleLogin. Para obter mais informações, consulte Eventos que não são da API capturados pelo CloudTrail.

Por padrão, as trilhas do CloudTrail e os armazenamentos de dados de eventos do CloudTrail Lake registram eventos de gerenciamento. Para obter mais informações sobre como registrar eventos de gerenciamento em log, consulte Log de eventos de gerenciamento.

Eventos de dados

Os eventos de dados fornecem informações sobre as operações aplicadas a um recurso ou realizadas em um recurso. Elas também são conhecidas como operações de plano de dados. Eventos de dados geralmente são atividades de alto volume.

Exemplos de eventos de dados incluem:

Atividade de APIs no nível de objeto do Amazon S3 (por exemplo, as operações de API GetObject, DeleteObject e PutObject) em objetos em buckets do S3.
Atividade de execução da função AWS Lambda (a API Invoke).
Atividade de PutAuditEvents do CloudTrail em um canal do CloudTrail Lake que é usado para registrar em log eventos externos à AWS.
Operações da API Publish e PublishBatch do Amazon SNS em tópicos.

A tabela a seguir mostra os tipos de recursos disponíveis para trilhas e datastores de eventos. A coluna Tipo de recurso (console) mostra a seleção apropriada no console. A coluna valor do resources.type mostra o valor de resources.type que você especificaria para incluir eventos de dados desse tipo em sua trilha ou no armazenamento de dados de eventos usando a AWS CLI ou as APIs do CloudTrail.

Para trilhas, é possível usar seletores de eventos básicos ou avançados para registrar eventos de dados em objetos do Amazon S3 de uso geral, funções do Lambda e tabelas do DynamoDB (mostradas nas três primeiras linhas da tabela). Você pode usar apenas seletores de eventos avançados para registrar em log os tipos de recursos mostrados nas demais linhas.

Para armazenamentos de dados de eventos, é possível usar somente seletores de eventos avançados para incluir eventos de dados.

Eventos de dados compatíveis com o AWS CloudTrail

AWS service (Serviço da AWS)	Descrição	Tipo de recurso (console)	valor resources.type
Amazon RDS	Atividade da API do Amazon RDS em um cluster de banco de dados.	API de dados do RDS: cluster de banco de dados	`AWS::RDS::DBCluster`
Amazon S3	Atividade de APIs no nível de objeto do Amazon S3 (por exemplo, as operações de API `GetObject`, `DeleteObject` e `PutObject`) em objetos em buckets de uso geral.	S3	`AWS::S3::Object`
Amazon S3	Atividade da API do Amazon S3 em pontos de acesso.	Ponto de acesso do S	`AWS::S3::AccessPoint`
Amazon S3	Atividade da API no nível de objeto do Amazon S3 (por exemplo, as operações de API `GetObject`, `DeleteObject` e `PutObject`) em objetos em buckets de diretório.	S3 Express	`AWS::S3Express::Object`
Amazon S3	Atividade da API em pontos de acesso do Amazon S3 Object Lambda, como chamadas para `CompleteMultipartUpload` e `GetObject`.	S3 Object Lambda	`AWS::S3ObjectLambda::AccessPoint`
Amazon S3	Atividade da API do Amazon FSx em volumes.	Volume do FSx	`AWS::FSx::Volume`
Tabelas do Amazon S3	Atividade da API do Amazon S3 em tabelas.	Tabela do S3	`AWS::S3Tables::Table`
Tabelas do Amazon S3	Atividade da API do Amazon S3 em buckets de tabelas.	Bucket de tabela do S3	`AWS::S3Tables::TableBucket`
Vetores do Amazon S3	Atividade da API do Amazon S3 em buckets vetoriais.	Bucket vetorial do S3	`AWS::S3Vectors::VectorBucket`
Vetores do Amazon S3	Atividade da API do Amazon S3 em índices vetoriais.	Índice vetorial do S3	`AWS::S3Vectors::Index`
Amazon S3 on Outposts	Atividade da API em nível de objeto do Amazon S3 on Outposts.	S3 Outposts	`AWS::S3Outposts::Object`
Amazon SNS	Operações da API `Publish` do Amazon SNS em endpoints da plataforma.	Endpoint da plataforma SNS	`AWS::SNS::PlatformEndpoint`
Amazon SNS	Operações da API `Publish` e `PublishBatch` do Amazon SNS em tópicos.	Tópico do SNS	`AWS::SNS::Topic`
Amazon SQS	Atividade da API do Amazon SQS em mensagens.	SQS	`AWS::SQS::Queue`
Cadeia de Suprimentos AWS	Atividade da API da Cadeia de Suprimentos AWS em uma instância.	Cadeia de suprimentos	`AWS::SCN::Instance`
Amazon SWF	Atividade da API do Amazon SWF em domínios.	Domínio do SWF	`AWS::SWF::Domain`
AWS AppConfig	Atividade da API do AWS AppConfig para operações de configuração, como chamadas para `StartConfigurationSession` e `GetLatestConfiguration`.	AWS AppConfig	`AWS::AppConfig::Configuration`
AWS AppSync	Atividade da API do AWS AppSync nas APIs GraphQL do AppSync.	GraphQL do AppSync	`AWS::AppSync::GraphQLApi`
Amazon Aurora DSQL	Atividade da API do Amazon Aurora DSQL em recursos de cluster.	Amazon Aurora DSQL	`AWS::DSQL::Cluster`
AWS B2B Data Interchange	Atividade da API B2B Data Interchange para operações do Transformer, como chamadas para `GetTransformerJob` e `StartTransformerJob`.	B2B Data Interchange	`AWS::B2BI::Transformer`
AWS Backup	Atividade da API Search Data do AWS Backup em trabalhos de pesquisa.	AWS Backup APIs Search Data do	`AWS::Backup::SearchJob`
Amazon Bedrock	Atividade da API do Amazon Bedrock em um alias de agente.	Alias de agente do Bedrock	`AWS::Bedrock::AgentAlias`
Amazon Bedrock	Atividade da API do Amazon Bedrock em invocações assíncronas.	Invocação assíncrona do Bedrock	`AWS::Bedrock::AsyncInvoke`
Amazon Bedrock	Atividade da API do Amazon Bedrock em um alias de fluxo.	Alias de fluxo do Bedrock	`AWS::Bedrock::FlowAlias`
Amazon Bedrock	Atividade da API do Amazon Bedrock em barreiras de proteção.	Barreira de proteção do Bedrock	`AWS::Bedrock::Guardrail`
Amazon Bedrock	Atividade da API do Amazon Bedrock em agentes em linha.	Invoke Inline-Agent do Bedrock	`AWS::Bedrock::InlineAgent`
Amazon Bedrock	Atividade da API do Amazon Bedrock em uma base de conhecimento.	Base de conhecimento do Bedrock	`AWS::Bedrock::KnowledgeBase`
Amazon Bedrock	Atividade da API do Amazon Bedrock em modelos.	Modelo do Bedrock	`AWS::Bedrock::Model`
Amazon Bedrock	Atividade da API do Amazon Bedrock em prompts.	Prompt do Bedrock	`AWS::Bedrock::PromptVersion`
Amazon Bedrock	Atividade da API do Amazon Bedrock em sessões.	Sessão do Bedrock	`AWS::Bedrock::Session`
Amazon Bedrock	Atividade da API do Amazon Bedrock em execuções de fluxo.	Execução do fluxo do Bedrock	`AWS::Bedrock::FlowExecution`
Amazon Bedrock	Atividade da API do Amazon Bedrock em uma política de raciocínio automatizado.	Política de raciocínio automatizado do Bedrock	`AWS::Bedrock::AutomatedReasoningPolicy`
Amazon Bedrock	Atividade da API do Amazon Bedrock em uma versão da política de raciocínio automatizado.	Versão da política de raciocínio automatizado do Bedrock	`AWS::Bedrock::AutomatedReasoningPolicyVersion`
Amazon Bedrock	Atividade da API do projeto de automação de dados do Amazon Bedrock.	Projeto de automação de dados do Bedrock	`AWS::Bedrock::DataAutomationProject`
Amazon Bedrock	Atividade da API de invocação de automação de dados do Bedrock.	Invocação de automação de dados do Bedrock	`AWS::Bedrock::DataAutomationInvocation`
Amazon Bedrock	Atividade da API do perfil de automação de dados Amazon Bedrock.	Perfil de automação de dados Amazon Bedrock	`AWS::Bedrock::DataAutomationProfile`
Amazon Bedrock	Atividade da API de esquema do Amazon Bedrock.	Esquema do Bedrock	`AWS::Bedrock::Blueprint`
Amazon Bedrock	Atividade da API do Code-Interpreter do Amazon Bedrock.	Code-Interpreter do Bedrock-AgentCore	`AWS::BedrockAgentCore::CodeInterpreter`
Amazon Bedrock	Atividade da API do navegador do Amazon Bedrock.	Navegador do Bedrock-AgentCore	`AWS::BedrockAgentCore::Browser`
Amazon Bedrock	Atividade da API do Amazon Bedrock Workload Identity.	Workload Identity do Bedrock-AgentCore	`AWS::BedrockAgentCore::WorkloadIdentity`
Amazon Bedrock	Atividade da API do Workload Identity Directory do Amazon Bedrock.	Workload Identity Directory do Bedrock-AgentCore	`AWS::BedrockAgentCore::WorkloadIdentityDirectory`
Amazon Bedrock	Atividade da API Amazon Bedrock Token Vault.	Token Vault do Bedrock-AgentCore	`AWS::BedrockAgentCore::TokenVault`
Amazon Bedrock	Atividade da API do CredentialProvider de APIKey do Amazon Bedrock.	CredentialProvider de APIKey do Bedrock-AgentCore	`AWS::BedrockAgentCore::APIKeyCredentialProvider`
Amazon Bedrock	Atividade da API do Amazon Bedrock Runtime.	Bedrock AgentCore Runtime	`AWS::BedrockAgentCore::Runtime`
Amazon Bedrock	Atividade da API do Amazon Bedrock Runtime-Endpoint.	Runtime-Endpoint do Bedrock-AgentCore	`AWS::BedrockAgentCore::RuntimeEndpoint`
Amazon Bedrock	Atividade da API do Amazon Bedrock Gateway.	Bedrock AgentCore Gateway	`AWS::BedrockAgentCore::Gateway`
Amazon Bedrock	Atividade da API Amazon Bedrock Memory.	Bedrock-AgentCore Memory	`AWS::BedrockAgentCore::Memory`
Amazon Bedrock	Atividade da API do CredentialProvider de Oauth2 do Amazon Bedrock.	CredentialProvider do Oauth2 do Bedrock-AgentCore	`AWS::BedrockAgentCore::OAuth2CredentialProvider`
Amazon Bedrock	Atividade da API do Browser-Custom do Amazon Bedrock.	Browser-Custom do Bedrock-AgentCore	`AWS::BedrockAgentCore::BrowserCustom`
Amazon Bedrock	Atividade da API Code-Interpreter-Custom do Amazon Bedrock.	Code-Interpreter-Custom do Bedrock-AgentCore	`AWS::BedrockAgentCore::CodeInterpreterCustom`
Amazon Bedrock	Atividade da API do Amazon Bedrock Tool.	Bedrock Tool	`AWS::Bedrock::Tool`
AWS Cloud Map	Atividade da API AWS Cloud Map em um namespace.	AWS Cloud Map Namespace do	`AWS::ServiceDiscovery::Namespace`
AWS Cloud Map	Atividade da API AWS Cloud Map em um serviço.	AWS Cloud Map Serviço da	`AWS::ServiceDiscovery::Service`
Amazon CloudFront	Atividade da API do CloudFront em um KeyValueStore.	CloudFront KeyValueStore	`AWS::CloudFront::KeyValueStore`
AWS CloudTrail	Atividade de `PutAuditEvents` do CloudTrail em um canal do CloudTrail Lake que é usado para registrar em log eventos externos à AWS.	Canal do CloudTrail	`AWS::CloudTrail::Channel`
Amazon CloudWatch	Atividade da API do Amazon CloudWatch em métricas.	Métrica do CloudWatch	`AWS::CloudWatch::Metric`
Network Flow Monitor do Amazon CloudWatch	Atividade da API do Network Flow Monitor do Amazon CloudWatch em monitores.	Monitor do Network Flow Monitor	`AWS::NetworkFlowMonitor::Monitor`
Network Flow Monitor do Amazon CloudWatch	Atividade da API do Network Flow Monitor do Amazon CloudWatch em escopos.	Escopo do Network Flow Monitor	`AWS::NetworkFlowMonitor::Scope`
Amazon CloudWatch RUM	Atividade da API do Amazon CloudWatch RUM em monitores de aplicativos.	Monitor de aplicativos do RUM	`AWS::RUM::AppMonitor`
Amazon CodeGuru Profiler	Atividade da API CodeGuru Profiler em grupos de perfilamento.	Grupo de perfilamento do CodeGuru Profiler	`AWS::CodeGuruProfiler::ProfilingGroup`
Amazon CodeWhisperer	Atividade da API do Amazon CodeWhisperer em uma personalização.	Personalização do CodeWhisperer	`AWS::CodeWhisperer::Customization`
Amazon CodeWhisperer	Atividade da API do Amazon CodeWhisperer em um perfil.	CodeWhisperer	`AWS::CodeWhisperer::Profile`
Amazon Cognito	Atividade da API do Amazon Cognito em bancos de identidades do Amazon Cognito.	Bancos de identidades do Cognito	`AWS::Cognito::IdentityPool`
AWS Data Exchange	Atividade da API do AWS Data Exchange em ativos.	Ativo do Data Exchange	`AWS::DataExchange::Asset`
Amazon Data Firehose	Atividade da API do fluxo de entrega do Amazon Data Firehose.	Amazon Data Firehose	`AWS::KinesisFirehose::DeliveryStream`
AWS Deadline Cloud	Deadline Cloud Atividade da API do em frotas.	Deadline Cloud Frota do	`AWS::Deadline::Fleet`
AWS Deadline Cloud	Deadline Cloud Atividade da API do em trabalhos.	Deadline Cloud Trabalho do	`AWS::Deadline::Job`
AWS Deadline Cloud	Deadline Cloud Atividade da API do em filas.	Deadline Cloud Fila do	`AWS::Deadline::Queue`
AWS Deadline Cloud	Deadline Cloud Atividade da API do em operadores.	Deadline Cloud Operador do	`AWS::Deadline::Worker`
Amazon DynamoDB	Atividade de API do Amazon DynamoDB no nível de objeto em tabelas (por exemplo, operações de API `PutItem`, `DeleteItem` e `UpdateItem`). nota Para tabelas com fluxos habilitados, o campo `resources` no evento de dados contém `AWS::DynamoDB::Stream` e `AWS::DynamoDB::Table`. Se você especificar `AWS::DynamoDB::Table` como `resources.type`, ele registrará os eventos da tabela do DynamoDB e dos fluxos do DynamoDB por padrão. Para excluir eventos de fluxos, adicione um filtro no campo `eventName`.	DynamoDB do	`AWS::DynamoDB::Table`
Amazon DynamoDB	Atividade de API do Amazon DynamoDB em fluxos.	DynamoDB Streams	`AWS::DynamoDB::Stream`
Amazon Elastic Block Store	APIs diretas do Amazon Elastic Block Store (EBS), como `PutSnapshotBlock`, `GetSnapshotBlock` e `ListChangedBlocks` nos snapshots do Amazon EBS.	APIs diretas do Amazon EBS	`AWS::EC2::Snapshot`
Amazon Elastic Compute Cloud	Atividade da API do endpoint do Amazon EC2 Instance Connect.	Endpoint do EC2 Instance Connect	`AWS::EC2::InstanceConnectEndpoint`
Amazon Elastic Container Service	Atividade da API do Elastic Container Service em uma instância de contêiner.	instância de contêiner do ecs	`AWS::ECS::ContainerInstance`
Serviço Amazon Elastic Kubernetes	Atividade da API do Amazon Elastic Kubernetes Service em painéis.	Painel do Amazon Elastic Kubernetes Service	`AWS::EKS::Dashboard`
Amazon EMR	Atividade da API do Amazon EMR em um espaço de trabalho de log de gravação antecipada.	Espaço de trabalho de log de gravação antecipada do EMR	`AWS::EMRWAL::Workspace`
SMS de mensagens dos usuários finais da AWS	Atividade da API de SMS de mensagens dos usuários finais da AWS em identidades de origem.	Identidade de origem de voz por SMS	`AWS::SMSVoice::OriginationIdentity`
SMS de mensagens dos usuários finais da AWS	Atividade da API do AWS End User Messaging SMS em mensagens.	Mensagem de voz do SMS	`AWS::SMSVoice::Message`
Mensagens sociais dos usuários finais da AWS	Atividade da API de mensagens sociais dos usuários finais da AWS em IDs de número de telefone.	ID do número de telefone das mensagens sociais	`AWS::SocialMessaging::PhoneNumberId`
Mensagens sociais dos usuários finais da AWS	Atividade da API do AWS End User Messaging Social e IDs do Waba.	ID do Waba de Social-Messaging	`AWS::SocialMessaging::WabaId`
Amazon FinSpace	Amazon FinSpace Atividade de API do em ambientes.	FinSpace	`AWS::FinSpace::Environment`
Amazon GameLift Streams	Atividade da API de transmissão contínua do Amazon GameLift Streams em aplicações.	Aplicação do GameLift Streams	`AWS::GameLiftStreams::Application`
Amazon GameLift Streams	Atividade da API de transmissão contínua do Amazon GameLift Streams em grupos de fluxos..	Grupo de fluxos do GameLift Streams	`AWS::GameLiftStreams::StreamGroup`
AWS Glue	Atividade de API do AWS Glue em tabelas criadas pelo Lake Formation.	Lake Formation	`AWS::Glue::Table`
Amazon GuardDuty	Atividade da API do Amazon GuardDuty para um detector.	Detector do GuardDuty	`AWS::GuardDuty::Detector`
AWS HealthImaging	Atividade da API do AWS HealthImaging em armazenamentos de dados.	Armazenamento de dados de MedicalImaging	`AWS::MedicalImaging::Datastore`
AWS HealthImaging	Atividade da API do conjunto de imagens do AWS HealthImaging.	Conjunto de imagens do MedicalImaging	`AWS::MedicalImaging::Imageset`
AWS IoT	Atividade da API de AWS IoT em certificados.	Certificado de IoT	`AWS::IoT::Certificate`
AWS IoT	Atividade da API de AWS IoT em coisas.	Coisa da IoT	`AWS::IoT::Thing`
AWS IoT Greengrass Version 2	Atividade da API do Greengrass de um dispositivo principal do Greengrass em uma versão de componente. nota O Greengrass não registra eventos de acesso negado.	Versão do componente de IoT do Greengrass	`AWS::GreengrassV2::ComponentVersion`
AWS IoT Greengrass Version 2	Atividade da API do Greengrass de um dispositivo principal do Greengrass em uma implantação. nota O Greengrass não registra eventos de acesso negado.	Implantação do IoT Greengrass	`AWS::GreengrassV2::Deployment`
AWS IoT SiteWise	Atividade da API do IoT SiteWise em ativos.	Ativo do IoT SiteWise	`AWS::IoTSiteWise::Asset`
AWS IoT SiteWise	Atividade da API do IoT SiteWise em séries temporais.	Séries temporais do IoT SiteWise	`AWS::IoTSiteWise::TimeSeries`
AWS IoT SiteWiseAssistente do	Atividade da API do Sitewise Assistant em conversas.	Conversa do Sitewise Assistant	`AWS::SitewiseAssistant::Conversation`
AWS IoT TwinMaker	Atividade da API do IoT TwinMaker em uma entidade.	Entidade do IoT TwinMaker	`AWS::IoTTwinMaker::Entity`
AWS IoT TwinMaker	Atividade da API do IoT TwinMaker em um espaço de trabalho.	Espaço de trabalho do IoT TwinMaker	`AWS::IoTTwinMaker::Workspace`
Amazon Kendra Intelligent Ranking	Atividade da API do Amazon Kendra Intelligent Ranking em planos de execução de reclassificação.	Kendra Ranking	`AWS::KendraRanking::ExecutionPlan`
Amazon Keyspaces (para Apache Cassandra)	Atividade da API do Amazon Keyspaces em uma tabela.	Tabela do Cassandra	`AWS::Cassandra::Table`
Amazon Keyspaces (para Apache Cassandra)	Atividade da API do Amazon Keyspaces (para Apache Cassandra) em fluxos do Cassandra CDC.	Fluxos do Cassandra CDC	`AWS::Cassandra::Stream`
Amazon Kinesis Data Streams	Atividade da API do Kinesis Data Streams em fluxos.	Fluxo do Kinesis	`AWS::Kinesis::Stream`
Amazon Kinesis Data Streams	Atividade da API do Kinesis Data Streams em consumidores de fluxo.	Consumidor do fluxo do Kinesis	`AWS::Kinesis::StreamConsumer`
Amazon Kinesis Video Streams	Atividade da API do Kinesis Video Streams, como chamadas para `GetMedia` e `PutMedia`.	Fluxo de vídeo do Kinesis	`AWS::KinesisVideo::Stream`
Amazon Kinesis Video Streams	Atividade da API do canal de sinalização de vídeo do Kinesis Video Streams.	Canal de sinalização de vídeo do Kinesis	`AWS::KinesisVideo::SignalingChannel`
AWS Lambda	Atividade de execução da função AWS Lambda (a API `Invoke`).	Lambda	`AWS::Lambda::Function`
Amazon Location Maps	Atividade da API do Amazon Location Maps.	Mapas geográficos	`AWS::GeoMaps::Provider`
Amazon Location Places	Atividade da API do Amazon Location Places.	Locais geográficos	`AWS::GeoPlaces::Provider`
Amazon Location Routes	Atividade da API do Amazon Location Routes.	Rotas geográficas	`AWS::GeoRoutes::Provider`
Amazon Machine Learning	Atividade da API do Machine Learning em modelos de ML.	MIModel do Maching Learning	`AWS::MachineLearning::MlModel`
Amazon Managed Blockchain	Atividade da API do Amazon Managed Blockchain em uma rede.	Rede do Managed Blockchain	`AWS::ManagedBlockchain::Network`
Amazon Managed Blockchain	Chamadas de JSON-RPC do Amazon Managed Blockchain em nós Ethereum, como `eth_getBalance` ou `eth_getBlockByNumber`.	Managed Blockchain	`AWS::ManagedBlockchain::Node`
Amazon Managed Blockchain Query	Atividade da API do Amazon Managed Blockchain Query.	Managed Blockchain Query	`AWS::ManagedBlockchainQuery::QueryAPI`
Amazon Managed Workflows for Apache Airflow	Atividade da API do Amazon MWAA em ambientes.	Managed Apache Airflow	`AWS::MWAA::Environment`
Gráfico do Amazon Neptune	Atividades da API de dados, por exemplo, consultas, algoritmos ou pesquisa vetorial, em um gráfico do Neptune.	Gráfico do Neptune	`AWS::NeptuneGraph::Graph`
Amazon One Enterprise	Atividade da API do Amazon One Enterprise em um UKey.	Amazon One UKey	`AWS::One::UKey`
Amazon One Enterprise	Atividade da API do Amazon One Enterprise sobre usuários.	Usuário do Amazon One	`AWS::One::User`
AWS Payment Cryptography	Atividade da API do AWS Payment Cryptography em aliases.	Alias de criptografia de pagamento	`AWS::PaymentCryptography::Alias`
AWS Payment Cryptography	Atividade da API do AWS Payment Cryptography em chaves.	Chave de criptografia de pagamento	`AWS::PaymentCryptography::Key`
Amazon Pinpoint	Atividade da API do Amazon Pinpoint em aplicações móveis de segmentação.	Aplicações de segmentação em dispositivos móveis	`AWS::Pinpoint::App`
CA Privada da AWS	Atividade da API do CA Privada da AWS Connector para Active Directory.	CA Privada da AWS Connector para Active Directory	`AWS::PCAConnectorAD::Connector`
CA Privada da AWS	Conector do CA Privada da AWS para atividade da API do SCEP.	CA Privada da AWS Conector para SCEP da	`AWS::PCAConnectorSCEP::Connector`
Amazon Q Apps	Atividade da API de dados no Amazon Q Apps.	Amazon Q Apps	`AWS::QApps::QApp`
Amazon Q Apps	Atividade da API de dados em sessões do Amazon Q Apps.	Sessão do Amazon Q App	`AWS::QApps::QAppSession`
Amazon Q Business	Atividade da API do Amazon Q Business em uma aplicação.	Aplicação do Amazon Q Business	`AWS::QBusiness::Application`
Amazon Q Business	Atividade da API do Amazon Q Business em uma fonte de dados.	Fonte de dados do Amazon Q Business	`AWS::QBusiness::DataSource`
Amazon Q Business	Atividade da API do Amazon Q Business em um índice.	Índice do Amazon Q Business	`AWS::QBusiness::Index`
Amazon Q Business	Atividade da API do Amazon Q Business em uma experiência na web.	Experiência na web do Amazon Q Business	`AWS::QBusiness::WebExperience`
Amazon Q Business	Atividade da API da integração do Amazon Q Business.	Integração do Amazon Q Business	`AWS::QBusiness::Integration`
Amazon Q Developer	Atividade da API do Amazon Q Developer em uma integração.	Integração do Q Developer	`AWS::QDeveloper::Integration`
Amazon Q Developer	Atividade da API do Amazon Q Developer em investigações operacionais.	Grupo de investigação de AIOps	`AWS::AIOps::InvestigationGroup`
Amazon Quick Suite	Atividade da API do Amazon Quick Suite em um conector de ação.	Ações do AWS QuickSuite	`AWS::Quicksight::ActionConnector`
Amazon Quick Suite	Atividade da API Amazon Quick Suite Flow.	AWS::QuickSight::Flow	`AWS::QuickSight::Flow`
Amazon Quick Suite	Atividade da API Amazon Quick Suite FlowSession.	AWS::QuickSight::FlowSession	`AWS::QuickSight::FlowSession`
Amazon SageMaker AI	Atividade de `InvokeEndpointWithResponseStream` do Amazon SageMaker AI em endpoints.	Endpoint do SageMaker AI	`AWS::SageMaker::Endpoint`
Amazon SageMaker AI	Atividade de API do Amazon SageMaker AI em arquivo de atributos.	Arquivo de atributos do SageMaker AI	`AWS::SageMaker::FeatureGroup`
Amazon SageMaker AI	Atividade da API do Amazon SageMaker AI em componentes de avaliação de experimento.	Componente de avaliação de experimento de métricas do SageMaker AI	`AWS::SageMaker::ExperimentTrialComponent`
Amazon SageMaker AI	Atividade da API do Amazon SageMaker AI MLFlow.	SageMaker MLflow	`AWS::SageMaker::MlflowTrackingServer`
AWS Signer	Atividade da API do Signer em trabalhos de assinatura.	Trabalho de assinatura do Signer	`AWS::Signer::SigningJob`
AWS Signer	Atividade da API do Signer em perfis de assinatura.	Perfil de assinatura do Signer	`AWS::Signer::SigningProfile`
Amazon Simple Email Service	Atividade da API do Amazon Simple Email Service (Amazon SES) em conjuntos de configuração.	Conjunto de configuração do SES	`AWS::SES::ConfigurationSet`
Amazon Simple Email Service	Atividade da API do Amazon Simple Email Service (Amazon SES) em identidades de e-mail.	Identidade do SES	`AWS::SES::EmailIdentity`
Amazon Simple Email Service	Atividade da API do Amazon Simple Email Service (Amazon SES) em modelos.	Modelo do SES	`AWS::SES::Template`
Amazon SimpleDB	Atividade da API do Amazon SimpleDB em domínios.	Domínio do SimpleDB	`AWS::SDB::Domain`
AWS Step Functions	Atividade da API do Step Functions em atividades.	Funções de Etapa	`AWS::StepFunctions::Activity`
AWS Step Functions	Atividade da API do Step Functions em máquinas de estado.	Máquina de estado do Step Functions	`AWS::StepFunctions::StateMachine`
AWS Systems Manager	Atividade da API do Systems Manager em canais de controle.	Systems Manager	`AWS::SSMMessages::ControlChannel`
AWS Systems Manager	Atividade da API do Systems Manager em avaliações de impacto.	Avaliação de impacto do SSM	`AWS::SSM::ExecutionPreview`
AWS Systems Manager	Atividade da API do Systems Manager em nós gerenciados.	Nó gerenciado pelo Systems Manager	`AWS::SSM::ManagedNode`
Amazon Timestream	Atividade da API `Query` do Amazon Timestream em bancos de dados.	Banco de dados do Timestream	`AWS::Timestream::Database`
Amazon Timestream	Atividade da API Amazon Timestream em endpoints regionais.	Endpoint regional do Timestream	`AWS::Timestream::RegionalEndpoint`
Amazon Timestream	Atividade da API `Query` do Amazon Timestream em tabelas.	Tabela do Timestream	`AWS::Timestream::Table`
Amazon Verified Permissions	Atividade da API do Amazon Verified Permissions em um repositório de políticas.	Amazon Verified Permissions	`AWS::VerifiedPermissions::PolicyStore`
Amazon WorkSpaces Thin Client	Atividade da API Thin Client do WorkSpaces em um dispositivo.	Dispositivo Thin Client	`AWS::ThinClient::Device`
Amazon WorkSpaces Thin Client	Atividade da API Thin Client do WorkSpaces em um ambiente.	Ambiente Thin Client	`AWS::ThinClient::Environment`
AWS X-Ray	Atividade da API do X-Ray em rastreamentos.	Rastreamento do X-Ray	`AWS::XRay::Trace`

Eventos de dados não são registrados em log por padrão quando você cria uma trilha ou um armazenamento de dados de eventos. Para registrar eventos de dados do CloudTrail, é necessário adicionar explicitamente cada tipo de recurso para os quais você deseja coletar atividade. Para obter mais informações sobre log de eventos de dados, consulte Eventos de dados de log.

Há cobranças adicionais para o registro de eventos de dados. Para obter o preço do CloudTrail, consulte a Preços do AWS CloudTrail.

Eventos de atividade de rede

Os eventos de atividade de rede do CloudTrail permitem que proprietários de endpoints da VPC gravem chamadas de API da AWS feitas usando seus endpoints da VPC de uma VPC privada para o AWS service (Serviço da AWS). Os eventos de atividade de rede fornecem visibilidade nas operações de recurso executadas dentro de uma VPC.

Você pode registrar eventos de atividade de rede para os seguintes serviços:

AWS AppConfig
AWS App Mesh
Amazon Athena
AWS B2B Data Interchange
AWS Backup gateway
Amazon Bedrock
Gerenciamento de Faturamento e Custos
AWS Calculadora de Preços
AWS Cost Explorer
AWS API Cloud Control
AWS CloudHSM
AWS Cloud Map
AWS CloudFormation
AWS CloudTrail
Amazon CloudWatch
CloudWatch Application Signals
AWS CodeDeploy
Amazon Comprehend Medical
AWS Config
Exportações de dados da AWS
Amazon Data Firehose
AWS Directory Service
Amazon DynamoDB
Amazon EC2
Amazon Elastic Container Service
Amazon Elastic File System
Elastic Load Balancing
Amazon EventBridge
Agendador do Amazon EventBridge
Amazon Fraud Detector
Nível gratuito da AWS
Amazon FSx
AWS Glue
AWS HealthLake
AWS IoT FleetWise
AWS IoT Secure Tunneling
Faturamento da AWS
Amazon Keyspaces (para Apache Cassandra)
AWS KMS
AWS Lake Formation
AWS Lambda
AWS License Manager
Amazon Lookout for Equipment
Amazon Lookout for Vision
Amazon Personalize
Amazon Q Business
Amazon Rekognition
Amazon Relational Database Service
Amazon S3

nota
Os pontos de acesso multirregionais do Amazon S3 não são compatíveis.
Amazon SageMaker AI
AWS Secrets Manager
Amazon Simple Notification Service
Amazon Simple Queue Service
Amazon Simple Workflow Service
AWS Storage Gateway
AWS Systems Manager Incident Manager
Amazon Textract
Amazon Transcribe
Amazon Translate
AWS Transform
Amazon Verified Permissions
Amazon WorkMail

Eventos de atividade de rede não são registrados em log por padrão quando você cria uma trilha ou um armazenamento de dados de eventos. Para registrar eventos de atividade de rede do CloudTrail, é preciso definir claramente a fonte de eventos para a qual você deseja coletar atividade. Para obter mais informações, consulte Registrar em log os eventos de atividade de rede.

Cobranças adicionais são aplicáveis ao registro em log dos eventos de atividade de rede. Para obter o preço do CloudTrail, consulte Preços do AWS CloudTrail.

Eventos do Insights

Eventos do CloudTrail Insights capturam uma taxa de chamadas à API ou uma atividade de taxa de erros de API incomum em sua conta da AWS analisando a atividade de gerenciamento do CloudTrail. Os eventos do Insights fornecem informações relevantes, como a API associada, a hora do incidente e estatísticas, que ajudam a entender e agir com relação à atividade incomum. Ao contrário de outros tipos de eventos capturados em uma trilha ou em um armazenamento de eventos do CloudTrail, os eventos do Insights são registrados em log somente quando o CloudTrail detecta alterações no log de uso ou de taxa de erros da API da conta que diferem significativamente dos padrões de uso típicos da conta. Para obter mais informações, consulte Trabalhar com o CloudTrail Insights.

Exemplos de atividades que podem gerar eventos do Insights incluem:

Sua conta geralmente registra em log no máximo 20 chamadas de API do deleteBucket Amazon S3 por minuto, mas sua conta começa a registrar em log uma média de 100 chamadas de API deleteBucket por minuto. Um evento do Insights é registrado em log no início da atividade incomum e outro evento do Insights é registrado em log para marcar o fim da atividade incomum.
Sua conta geralmente registra em log 20 chamadas por minutos para a API do AuthorizeSecurityGroupIngress Amazon EC2, mas sua conta começa a registrar em log zero chamada para AuthorizeSecurityGroupIngress. Um evento do Insights é registrado em log no início da atividade incomum, e dez minutos depois, quando a atividade incomum termina, outro evento do Insights é registrado em log para marcar o fim da atividade incomum.
Sua conta normalmente registra menos de um AccessDeniedException erro em um período de sete dias no AWS Identity and Access Management API, DeleteInstanceProfile. Sua conta começa a registrar uma média de 12 AccessDeniedException erros por minuto na DeleteInstanceProfile chamada de API. Um evento do Insights é registrado no início da atividade incomum e outro evento do Insights é registrado para marcar o fim da atividade incomum.

Esses exemplos são fornecidos somente para fins ilustrativos. Seus resultados podem variar dependendo do seu caso de uso.

Para registrar eventos do Cloudtrail Insights, é necessário habilitar explicitamente os eventos do Insights em uma trilha ou em um armazenamento de dados de eventos novo ou existente. Para obter mais informações sobre a criação de uma trilha, consulte Criar uma trilha com o console do CloudTrail. Para obter mais informações sobre como criar um armazenamento de dados de eventos, consulte Criar um armazenamento de dados de eventos para eventos do Insights com o console.

Cobranças adicionais são aplicáveis aos eventos do Insights. Você será cobrado separadamente se ativar o Insights tanto para trilhas quanto para armazenamentos de dados de eventos. Para obter mais informações, consulte Preços do AWS CloudTrail.

Histórico de eventos

O histórico de eventos do CloudTrail fornece um registro visualizável, pesquisável, baixável e imutável dos últimos 90 dias de eventos do CloudTrail em uma Região da AWS. Você pode usar esse histórico para ter visibilidade das ações realizadas na sua conta AWS em Console de gerenciamento da AWS, nas AWS SDKs, nas ferramentas de linha de comando e em outros serviços AWS. Você pode personalizar a visualização do histórico de eventos no console do CloudTrail selecionando quais colunas são exibidas. Para obter mais informações, consulte Trabalhar com o histórico de eventos do CloudTrail.

Trilhas

Uma trilha é uma configuração que possibilita a entrega de eventos do CloudTrail a um bucket do S3, com entrega opcional ao CloudWatch Logs e ao Amazon EventBridge. Você pode usar uma trilha para escolher os eventos do CloudTrail que você quer enviar, criptografar os seus arquivos de log de eventos do CloudTrail com uma chave do AWS KMS e configurar as notificações do Amazon SNS para entrega de arquivos de log. Para obter mais informações sobre como criar e gerenciar uma trilha, consulte Criar uma trilha para a sua Conta da AWS.

Trilhas de várias regiões e de região única

Você pode criar trilhas de várias regiões e de uma única região para sua Conta da AWS.

Trilhas de várias regiões: Quando você cria uma trilha multirregional, o CloudTrail registra os eventos de todas as Regiões da AWS que estão habilitadas na sua Conta da AWS e entrega os arquivos de log de eventos do CloudTrail a um bucket do S3 que você especifica. A prática recomendada é criar uma trilha multirregional porque ela captura atividade em todas as regiões habilitadas. Todas as trilhas criadas usando o console do CloudTrail são multirregionais. Você pode converter uma trilha de região única em uma trilha de várias regiões usando a AWS CLI. Para ter mais informações, consulte Noções básica sobre trilhas multirregionais e regiões opcionais, Criar uma trilha com o console e Converter uma trilha multirregional em uma trilha de região única.
Trilhas de região única: Quando você cria uma trilha de única região, o CloudTrail registra os eventos somente nessa região. Desse modo, ele fornece os arquivos de log de eventos do CloudTrail para um bucket do Amazon S3 especificado por você. Só é possível criar uma trilha de região única usando a AWS CLI. Se você criar trilhas individuais adicionais, poderá fazer com que elas forneçam arquivos de log do CloudTrail ao mesmo bucket do S3 ou a buckets separados. Essa é a opção padrão quando você cria uma trilha usando AWS CLI ou a API do CloudTrail. Para obter mais informações, consulte Criar, atualizar e gerenciar trilhas com a AWS CLI.

nota

Para os dois tipos de trilhas, é possível especificar um bucket do Amazon S3 de qualquer região.

Uma trilha de várias regiões tem as seguintes vantagens:

As definições de configuração da trilha se aplicam de maneira consistente a todas as Regiões da AWS habilitadas.
Você recebe eventos do CloudTrail de todas as Regiões da AWS em um único bucket do Amazon S3 e, opcionalmente, em um grupo de logs do CloudWatch Logs.
Você gerencia a configuração da trilha para todas as Regiões da AWS em um só lugar.

Criar uma trilha multirregional tem os seguintes efeitos:

O CloudTrail entrega os arquivos de log de atividades da conta de todas as Regiões da AWS habilitadas ao bucket do Amazon S3 especificado e, opcionalmente, a um grupo de logs do CloudWatch Logs.
Se você configurou um tópico do Amazon SNS para a trilha, as notificações do SNS sobre as entregas de arquivos de log em todas as Regiões da AWS habilitadas serão enviadas a esse tópico do SNS.
Você pode ver a trilha multirregional em todas as Regiões da AWS habilitadas, mas apenas pode modificá-la na região original em que ela foi criada.

Independentemente de uma trilha ser de várias regiões ou de uma única região, os eventos enviados para o Amazon EventBridge serão recebidos no barramento de eventos de cada região, em vez de em um único barramento de eventos.

Várias trilhas por região

Se você tiver grupos de usuários diferentes, porém relacionados, como desenvolvedores, equipe de segurança e auditores de TI, poderá criar várias trilhas por região. Isso permite que cada grupo receba sua própria cópia dos arquivos de log.

O CloudTrail oferece suporte a cinco trilhas por região. Um trilha de várias regiões conta como uma trilha por região.

O exemplo a seguir é de uma região com cinco trilhas:

Você duas trilhas na região Oeste dos EUA (Norte da Califórnia) que se aplicam somente a essa região.
Você cria mais duas trilhas de várias regiões na região Oeste dos EUA (Norte da Califórnia).
Você cria outra trilha de várias regiões na região Ásia-Pacífico (Sydney). Esta trilha também existe como uma trilha na região Oeste dos EUA (Norte da Califórnia).

Você pode visualizar uma lista de trilhas em uma Região da AWS na página Trilhas do console do CloudTrail. Para obter mais informações, consulte Atualizar uma trilha com o console do CloudTrail. Para obter o preço do CloudTrail, consulte a Preços do AWS CloudTrail.

Trilhas da organização

Uma trilha da organização é uma configuração que permite a entrega de eventos do CloudTrail na conta de gerenciamento e todas as contas-membro em uma organização do AWS Organizations no mesmo bucket do Amazon S3, CloudWatch Logs e Amazon EventBridge. Criar uma trilha da organização ajuda você a definir uma estratégia de registro de eventos uniforme para sua organização.

Todas as trilhas da organização criadas usando o console são trilhas de organização de várias regiões que registram eventos de logs das Regiões da AWS habilitadas em cada conta-membro da organização. Para registrar eventos de logs em todas as partições da AWS em sua organização, crie uma trilha de organização de várias regiões em cada partição. Você pode criar uma trilha de região única ou uma trilha da organização de várias regiões usando a AWS CLI. Ao criar uma trilha de região única, você registrará atividades somente na Região da AWS da trilha (também chamada de região de Origem).

Embora a maioria das Regiões da AWS estejam habilitadas por padrão na sua Conta da AWS, você deve habilitar determinadas regiões manualmente (também chamadas de regiões de adesão). Para obter informações sobre quais regiões estão habilitadas por padrão, consulte Considerações antes de habilitar ou desabilitar regiões no Guia de referência da AWS Gerenciamento de contas. Para obter a lista de regiões compatíveis com o CloudTrail, consulte Regiões compatíveis do CloudTrail.

Ao criar uma trilha da organização, uma cópia da trilha com o nome atribuído a ela é criada nas contas-membro que pertencem à sua organização.

Se a trilha da organização for de região única e a região de origem da trilha não for uma região opcional, uma cópia da trilha será criada na região de origem da trilha da organização em cada conta de membro.
Se a trilha da organização for de região única e a região de origem da trilha for uma região de opcional, uma cópia da trilha será criada na região de origem da trilha da organização nas contas de membros que habilitaram essa região.
Se a trilha da organização for multirregional e a região de origem da trilha não for uma região opcional, uma cópia da trilha será criada em cada Região da AWS habilitada em cada conta de membro. Quando uma conta-membro habilita uma região de adesão, uma cópia da trilha de várias regiões é criada na região selecionada para a conta-membro após a conclusão da ativação dessa região.
Se a trilha da organização for multirregional e a região de origem for uma região opcional, as contas de membros não enviarão atividades à trilha da organização, a menos que tenham optado pela Região da AWS onde a trilha de várias regiões foi criada. Por exemplo, se você criar uma trilha de várias regiões e escolher a região Europa (Espanha) como a região de Origem da trilha, somente as contas-membro que habilitaram a região Europa (Espanha) para sua conta enviarão a atividade da conta para a trilha da organização.

nota

O CloudTrail cria trilhas de organização nas contas-membro, mesmo que a validação de um recurso falhe. Exemplos de falhas de validação incluem:

uma política de bucket do Amazon S3 incorreta
uma política de tópico do Amazon SNS incorreta
incapacidade de entregar a um grupo de logs do CloudWatch Logs
permissões insuficientes para criptografar usando uma chave do KMS

Uma conta-membro com permissões do CloudTrail pode ver qualquer falha de validação em uma trilha da organização visualizando a página de detalhes da trilha no console do CloudTrail ou executando o comando get-trail-status da AWS CLI.

Os usuários com permissões do CloudTrail em contas de membros poderão ver as trilhas da organização (incluindo o ARN da trilha) quando fizerem login no console do CloudTrail de suas contas da AWS ou quando executarem comandos da AWS CLI, como describe-trails (embora contas dezembro devam usar o ARN para a trilha da organização, e não o nome, ao usar a AWS CLI). No entanto, os usuários de contas-membro não terão permissões suficientes para excluir trilhas da organização, ativar ou desativar o registro em log, alterar quais tipos de eventos são registrados ou alterar a trilha da organização. Para obter mais informações sobre o AWS Organizations, consulte Terminologia e conceitos da organização. Para obter mais informações sobre como criar e trabalhar com trilhas da organização, consulte Criar uma trilha para uma organização.

CloudTrail Lake e armazenamentos de dados de eventos

O CloudTrail Lake permite que sejam executadas consultas minuciosas baseadas em SQL em seus eventos, e registra em log eventos de fontes de fora da AWS, inclusive de suas próprias aplicações, e de parceiros integrados ao CloudTrail. Você não precisa ter uma trilha configurada em sua conta para usar o CloudTrail Lake.

Os eventos são agregados em armazenamentos de dados de eventos, que são coleções imutáveis de eventos com base nos critérios que você seleciona aplicando seletores de eventos avançados. Você pode manter os dados do evento em um armazenamento de dados de eventos por até 3.653 dias (cerca de 10 anos) se escolher a opção de preço de retenção extensível de um ano ou até 2.557 dias (cerca de 7 anos) se escolher a opção de preço de retenção por sete anos. Você pode salvar consultas do Lake para uso futuro e visualizar resultados de consultas por até sete dias. Também é possível salvar resultados de consultas em um bucket do S3. O CloudTrail Lake também pode armazenar eventos de uma organização no AWS Organizations em um armazenamento de dados de eventos ou eventos de várias regiões e contas. O CloudTrail Lake faz parte de uma solução de auditoria que ajuda você a realizar investigações de segurança e solução de problemas. Para obter mais informações, consulte Trabalhar com o AWS CloudTrail Lake e Conceitos e terminologia do CloudTrail Lake.

CloudTrail Insights

O CloudTrail Insights ajuda os usuários da AWS a identificar e a responder a volumes incomuns de chamadas de API ou erros registrados em chamadas de API analisando continuamente os eventos de gerenciamento do CloudTrail. Um evento do Insights é um registro de níveis incomuns de write atividade da API de gerenciamento ou níveis incomuns de erros retornados na atividade da API de gerenciamento. Por padrão, as trilhas e os armazenamentos de dados de eventos não registram em log eventos do CloudTrail Insights. No console, é possível optar por registrar em log eventos do Insights ao criar ou atualizar uma trilha ou um armazenamento de dados de eventos. Ao usar a API do CloudTrail, é possível registrar em log eventos do Insights editando as configurações de uma trilha ou de um armazenamento de dados de eventos existente com a API PutInsightSelectors. Há cobranças adicionais para o registro em log de eventos do CloudTrail Insights. Você será cobrado separadamente se ativar o Insights tanto para trilhas quanto para armazenamentos de dados de eventos. Para obter mais informações, consulte Trabalhar com o CloudTrail Insights e Definição de preço do AWS CloudTrail.

AWS Security Token Service e o CloudTrail

O AWS Security Token Service (AWS STS) é um serviço que tem um endpoint global e também oferece suporte a endpoints específicos da região. Endpoint é um URL que é o ponto de entrada para solicitações de web service. Por exemplo, https://cloudtrail.us-west-2.amazonaws.com é o ponto de entrada regional do Oeste dos EUA (Oregon) para o serviço AWS CloudTrail. Os endpoints regionais ajudam a reduzir a latência em suas aplicações.

Quando você usa um endpoint específico de uma região AWS STS, a trilha nessa região fornece apenas os eventos do AWS STS que ocorrem nessa região. Por exemplo, se você estiver usando o endpoint sts.us-west-2.amazonaws.com, a trilha em us-west-2 fornece apenas os eventos AWS STS originados em us-west-2. Para obter mais informações sobre os endpoints regionais do AWS STS, consulte Habilitar e desabilitar o AWS STS em uma região da AWS no Guia do usuário do IAM.

Para obter uma lista completa de endpoints regionais da AWS, consulte Regiões e endpoints da AWS na Referência geral da AWS. Para ver detalhes sobre os eventos do endpoint global AWS STS, consulte Eventos de serviços globais.

Eventos de serviços globais

Importante

Desde 22 de novembro de 2021, o AWS CloudTrail alterou a forma como as trilhas capturam eventos de serviços globais. Agora, os eventos criados pelo Amazon CloudFront, AWS Identity and Access Management e AWS STS são registrados na região em que foram criados, região Leste dos EUA (Norte da Virgínia), us-east-1. Isso torna o tratamento dedicado pelo CloudTrail a esses serviços compatível com o de outros produtos globais da AWS. Para continuar recebendo eventos de serviços globais fora do Leste dos EUA (Norte da Virgínia), certifique-se de converter as trilhas de região única que usam eventos de serviços globais fora do Leste dos EUA (Norte da Virgínia) para trilhas de várias regiões. Para obter mais informações sobre como capturar eventos de serviços globais, consulte Como habilitar e desabilitar o registro de eventos de serviços globais que aparece adiante nesta seção.

Por outro lado, o Histórico de eventos no console do CloudTrail e o comando aws cloudtrail lookup-events mostrarão esses eventos na Região da AWS em que eles ocorreram.

Para a maioria dos serviços, os eventos são registrados na região em que a ação ocorreu. Para serviços globais, como AWS Identity and Access Management (IAM), AWS STS e Amazon CloudFront, os eventos são fornecidos a qualquer trilha que inclua serviços globais.

Para a maioria dos serviços globais, os eventos são registrados como ocorridos em uma região Leste dos EUA (Norte da Virgínia), mas alguns eventos de serviço globais são registrados como ocorridos em outras regiões, como a região Leste dos EUA (Ohio) ou a região Oeste dos EUA (Oregon).

Para evitar o recebimento de eventos de serviços globais duplicados, lembre-se do seguinte:

Os eventos de serviços globais são fornecidos por padrão para trilhas criadas por meio do console CloudTrail. Os eventos resumo são fornecidos ao bucket da trilha.
Se você tiver várias trilhas de região única, considere a possibilidade de configurar suas trilhas para que os eventos de serviços globais sejam fornecidos somente em uma das trilhas. Para obter mais informações, consulte Como habilitar e desabilitar o registro de eventos de serviços globais.
Se você converter uma trilha multirregional em uma trilha de região única, o registro em log de eventos de serviço global será desativado automaticamente para essa trilha. Do mesmo modo, se você converter uma trilha de região única em uma trilha multirregional , o registro em log de eventos de serviço global será ativado automaticamente para essa trilha.

Para obter mais informações sobre como alterar o registro de eventos de serviços globais de uma trilha, consulte Como habilitar e desabilitar o registro de eventos de serviços globais.

Exemplo:

Crie uma trilha no console do CloudTrail. Por padrão, essa trilha registra eventos de serviços globais.
Você tem várias trilhas de região única.
Não é necessário incluir serviços globais para as trilhas de região única. Os eventos de serviços globais são fornecidos à primeira trilha. Para obter mais informações, consulte Criar, atualizar e gerenciar trilhas com a AWS CLI.

nota

Quando você cria ou atualiza uma trilha com AWS CLI, os SDKs AWS ou a API do CloudTrail, é possível especificar se deseja incluir ou excluir os eventos de serviços globais para as trilhas. Não é possível configurar o registro de eventos de serviços globais pelo console CloudTrail.

Atenção O Javascript está desativado ou não está disponível no seu navegador.

Para usar a documentação da AWS, o Javascript deve estar ativado. Consulte as páginas de Ajuda do navegador para obter instruções.

Convenções do documento

Como o CloudTrail funciona

Regiões com suporte