É possível enriquecer eventos do CloudTrail adicionando chaves de tags de recurso e chaves de condição globais do IAM

Você pode enriquecer eventos de gerenciamento e eventos de dados do CloudTrail adicionando chaves de tag de recursos, chaves de tag de entidade principal e chaves de condição globais do IAM ao criar ou atualizar um datastore de eventos. Isso permite categorizar, pesquisar e analisar eventos do CloudTrail com base no contexto dos negócios, como alocação de custos e gerenciamento financeiro, operações e requisitos de segurança de dados. Você pode analisar eventos executando consultas no CloudTrail Lake. Você também pode optar por federar seu datastore de eventos e executar consultas no Amazon Athena. Você pode adicionar chaves de tag de recursos e chaves de condição globais do IAM a um datastore de eventos usando o console do CloudTrail, a AWS CLI e SDKS.

Se você adicionar chaves de tags de recurso para enriquecer eventos, o CloudTrail incluirá as chaves de tag selecionadas com os recursos envolvidos na chamada de API.

Se você adicionar chaves de condição globais do IAM em um datastore de eventos, o CloudTrail incluirá informações sobre as chaves de condição selecionadas que foram avaliadas durante o processo de autorização, incluindo detalhes adicionais sobre a entidade principal, a sessão e a solicitação em si.

Depois que você adiciona chaves de tag de recursos ou chaves de condição do IAM, o CloudTrail inclui um campo eventContext nos eventos do CloudTrail que fornece as informações contextuais selecionadas para a ação de API.

Há algumas exceções quando o evento não incluirá o campo eventContext, incluindo as seguintes:

Serviços da AWS compatíveis com tags de recurso

Todos os Serviços da AWS são compatíveis com tags de recurso. Para obter mais informações, consulte Serviços compatíveis com o AWS Resource Groups Tagging API.

Atualizações de tags de recurso no CloudTrail para eventos enriquecidos

Quando configurado para tal, o CloudTrail captura informações sobre tags de recurso e as usa para fornecer informações em eventos enriquecidos. Ao trabalhar com tags de recurso, há certas condições nas quais uma tag de recurso pode não ser refletida com precisão no momento da solicitação de eventos do sistema. Durante a operação padrão, as tags aplicadas no momento da criação do recurso estão sempre presentes e sofrerão um atraso mínimo ou nenhum atraso. Porém, espera-se que os seguintes serviços tenham atrasos em alterações de tag de recurso que aparecem nos eventos do CloudTrail:

Interrupções no serviço também podem causar atrasos nas atualizações das informações de tags de recurso. No caso de um atraso por interrupção do serviço, os eventos subsequentes do CloudTrail incluirão um addendum campo com informações sobre a alteração da tag do recurso. Essas informações adicionais serão usadas conforme especificado para fornecer CloudTrailEvents enriquecidos.

Serviços da AWS compatíveis com chaves de condição globais do IAM

Os seguintes Serviços da AWS são compatíveis com as chaves de condição globais do IAM para eventos enriquecidos:

Chaves de condição globais compatíveis com eventos enriquecidos

A tabela a seguir lista as chaves de condição globais do IAM compatíveis com eventos enriquecidos do CloudTrail, com exemplos de valores:

Exemplos de evento

No exemplo a seguir, o campo eventContext inclui a chave de condição global do IAM aws:ViaAWSService com um valor de false, que indica que a chamada de API não foi feita por um AWS service (Serviço da AWS).

{
    "eventVersion": "1.11",
    "userIdentity": {
        "type": "AssumedRole",
        "principalId": "ASIAIOSFODNN7EXAMPLE",
        "arn": "arn:aws:sts::123456789012:assumed-role/admin",
        "accountId": "123456789012",
        "accessKeyId": "ASIAIOSFODNN7EXAMPLE",
        "sessionContext": {
            "sessionIssuer": {
                "type": "Role",
                "principalId": "ASIAIOSFODNN7EXAMPLE",
                "arn": "arn:aws:iam::123456789012:role/admin",
                "accountId": "123456789012",
                "userName": "admin"
            },
            "attributes": {
                "creationDate": "2025-01-22T22:05:56Z",
                "mfaAuthenticated": "false"
            }
        }
    },
    "eventTime": "2025-01-22T22:06:16Z",
    "eventSource": "cloudtrail.amazonaws.com",
    "eventName": "GetTrailStatus",
    "awsRegion": "us-east-1",
    "sourceIPAddress": "192.168.0.0",
    "userAgent": "Mozilla/5.0 (Macintosh; Intel Mac OS X 10.15; rv:133.0) Gecko/20100101 Firefox/133.0",
    "requestParameters": {
        "name": "arn:aws:cloudtrail:us-east-1:123456789012:trail/myTrail"
    },
    "responseElements": null,
    "requestID": "d09c4dd2-5698-412b-be7a-example1a23",
    "eventID": "9cb5f426-7806-46e5-9729-exampled135d",
    "readOnly": true,
    "eventType": "AwsApiCall",
    "managementEvent": true,
    "recipientAccountId": "123456789012",
    "eventCategory": "Management",
    "tlsDetails": {
        "tlsVersion": "TLSv1.3",
        "cipherSuite": "TLS_AES_128_GCM_SHA256",
        "clientProvidedHostHeader": "cloudtrail.us-east-1.amazonaws.com"
    },
    "sessionCredentialFromConsole": "true",
    "eventContext": {
        "requestContext": {
            "aws:ViaAWSService": "false"
        },
        "tagContext": {}
    }
}