O CloudTrail grava conteúdo para eventos de gerenciamento, dados e atividade de rede

A data e a hora em que a solicitação foi concluída no formato de Tempo Universal Coordenado (UTC). O carimbo de data/hora de um evento vem do host local que fornece o endpoint da API de serviço no qual a chamada de API foi feita. Por exemplo, um evento de API CreateBucket executado na região Oeste dos EUA (Oregon) obteria seu carimbo de data/hora do host da AWS executando o endpoint do Amazon S3, s3.us-west-2.amazonaws.com. Em geral, os serviços da AWS usam o NTP (Network Time Protocol, Protocolo de horário de rede) para sincronizar os relógios do sistema.

Desde: 1.0

Opcional: False

A versão do formato do evento de log. A versão atual é 1.11.

O valor de eventVersion é uma versão principal e secundária no formulário major_version.minor_version. Por exemplo, é possível ter um valor eventVersion de 1.10, onde 1 é a versão principal, e10 é a versão secundária.

O CloudTrail incrementará a versão principal se uma alteração for feita na estrutura do evento que não é compatível com as versões anteriores. Isso inclui a remoção de um campo JSON que já existe ou a alteração de como os conteúdos de um campo são representados (por exemplo, um formato de data). O CloudTrail incrementará a versão secundária se uma alteração adicionar novos campos à estrutura do evento. Isso poderá ocorrer se novas informações forem fornecidas para alguns ou todos os eventos existentes ou se novas informações estiverem disponíveis somente para novos tipos de evento. As aplicações podem ignorar novos campos para permanecerem compatíveis com novas versões secundárias da estrutura do evento.

Se o CloudTrail introduzir novos tipos de evento, mas a estrutura do evento não for modificada, a versão do evento não mudará.

Para garantir que suas aplicações possam analisar a estrutura do evento, recomendamos que você faça uma comparação "igual a" no número da versão principal. Para garantir que os campos esperados pela aplicação existam, também recomendamos fazer uma comparação "maior que ou igual a" na versão secundária. Não há zeros à esquerda na versão secundária. É possível interpretar major_version e minor_version como números e executar operações de comparação.

Desde: 1.0

Opcional: False

Informações sobre a identidade do IAM que fez uma solicitação. Para obter mais informações, consulte Elemento userIdentity do CloudTrail.

Desde: 1.0

Opcional: False

O serviço para o qual a solicitação foi feita. Esse nome normalmente é uma forma curta do nome do serviço sem espaços, mais .amazonaws.com. Por exemplo:

Essa convenção tem algumas exceções. Por exemplo, o eventSource do Amazon CloudWatch é monitoring.amazonaws.com.

Desde: 1.0

Opcional: False

A ação solicitada, que é uma das ações na API desse serviço.

Desde: 1.0

Opcional: False

A Região da AWS na qual a solicitação foi feita, como us-east-2. Consulte Regiões compatíveis do CloudTrail.

Desde: 1.0

Opcional: False

O endereço IP do qual a solicitação foi feita. Para ações originadas do console de serviço, o endereço informado é do recurso do cliente subjacente, e não do servidor web do console. Para serviços na AWS, apenas o nome de DNS é exibido.

Desde: 1.0

Opcional: False

O agente por meio do qual a solicitação foi feita, como o Console de gerenciamento da AWS, um serviço da AWS, os SDKs da AWS ou a AWS CLI.

Esse campo tem um tamanho máximo de 1 KB; o conteúdo que exceder esse limite ficará truncado. Para datastores de eventos configurados para ter um tamanho máximo de evento de 1 MB, o conteúdo do campo será truncado apenas se a carga útil do evento exceder 1 MB e o tamanho máximo do campo for excedido.

Veja a seguir exemplos de valores:

Desde: 1.0

Opcional: True

O erro do serviço da AWS se a solicitação retornar um erro. Para obter um exemplo que mostra esse campo, consulte Exemplos de código de erro e log de mensagens.

Esse campo tem um tamanho máximo de 1 KB; o conteúdo que exceder esse limite ficará truncado. Para datastores de eventos configurados para ter um tamanho máximo de evento de 1 MB, o conteúdo do campo será truncado apenas se a carga útil do evento exceder 1 MB e o tamanho máximo do campo for excedido.

Para eventos de atividade de rede, quando há uma violação da política do endpoint da VPC, o código de erro é VpceAccessDenied.

Desde: 1.0

Opcional: True

Se a solicitação retornar um erro, a descrição do erro. Essa mensagem inclui mensagens de falhas de autorização. O CloudTrail captura a mensagem registrada pelo serviço em seu controle de exceções. Para obter um exemplo, consulte Exemplos de código de erro e log de mensagens.

Esse campo tem um tamanho máximo de 1 KB; o conteúdo que exceder esse limite ficará truncado. Para datastores de eventos configurados para ter um tamanho máximo de evento de 1 MB, o conteúdo do campo será truncado apenas se a carga útil do evento exceder 1 MB e o tamanho máximo do campo for excedido.

Para eventos de atividade de rede, quando há uma violação da política do endpoint da VPC, a errorMessage sempre terá a seguinte mensagem: The request was denied due to a VPC endpoint policy. Para obter mais informações sobre eventos de acesso negado para violações da política de endpoints da VPC, consulte Exemplos de mensagens de erro de acesso negado no Guiado usuário do IAM. Para ver um exemplo de evento de atividade de rede mostrando uma violação da política de endpoint da VPC, consulte Eventos de atividade de rede neste guia.

Desde: 1.0

Opcional: True

Os parâmetros, se houver, que foram enviados com a solicitação. Esses parâmetros são registrados na documentação de referência da API do serviço da AWS apropriado. Este campo tem um tamanho máximo de 100 KB. Quando o tamanho do campo excede 100 KB, o conteúdo de requestParameters é omitido. Para datastores de eventos configurados para ter um tamanho máximo de evento de 1 MB, o conteúdo do campo será omitido apenas se a carga útil do evento exceder 1 MB e o tamanho máximo do campo for excedido.

Desde: 1.0

Opcional: False

Os elementos de resposta, se houver, das ações que fazem alterações (criar, atualizar ou excluir ações). Para APIs readOnly, esse campo é null. Se a ação não retorna elementos de resposta, esse campo é null. Os elementos de resposta das ações são registrados na documentação de referência da API do serviço do apropriado AWS service (Serviço da AWS).

Este campo tem um tamanho máximo de 100 KB. Quando o tamanho do campo excede 100 KB, o conteúdo de reponseElements é omitido. Para datastores de eventos configurados para ter um tamanho máximo de evento de 1 MB, o conteúdo do campo será omitido apenas se a carga útil do evento exceder 1 MB e o tamanho máximo do campo for excedido.

O valor responseElements é útil para ajudar você a monitorar uma solicitação com o AWS Support. x-amz-request-id e x-amz-id-2 contêm informações que ajudam você a monitorar solicitações com o Suporte. Esses valores são os mesmos que os retornados pelo serviço na resposta à solicitação que inicia os eventos, para que possam ser usados para corresponder o evento à solicitação.

Desde: 1.0

Opcional: False

Dados adicionais sobre o evento que não faziam parte da solicitação ou resposta. Este campo tem um tamanho máximo de 28 KB. Quando o tamanho do campo excede 28 KB, o conteúdo de additionalEventData é omitido. Para datastores de eventos configurados para ter um tamanho máximo de evento de 1 MB, o conteúdo do campo será omitido apenas se a carga útil do evento exceder 1 MB e o tamanho máximo do campo for excedido.

O conteúdo de additionalEventData é variável. Por exemplo, para eventos de login do Console de gerenciamento da AWS, additionalEventData pode incluir o campo MFAUsed com um valor de Yes se a solicitação foi feita por um usuário-raiz do IAM usando a autenticação multifator (MFA).

Desde: 1.0

Opcional: True

O valor que identifica a solicitação. O serviço que está sendo chamado gera esse valor. Esse campo tem um tamanho máximo de 1 KB; o conteúdo que exceder esse limite ficará truncado. Para datastores de eventos configurados para ter um tamanho máximo de evento de 1 MB, o conteúdo do campo será truncado apenas se a carga útil do evento exceder 1 MB e o tamanho máximo do campo for excedido.

Desde: 1.01

Opcional: True

A GUID gerada pelo CloudTrail para identificar exclusivamente cada evento. Você pode usar esse valor para identificar um único evento. Por exemplo, você pode usar o ID como uma chave primária para recuperar dados de log de um banco de dados que pode ser pesquisado.

Desde: 1.01

Opcional: False

Identifica o tipo de evento que gerou o registro de eventos. Pode ser um dos valores a seguir:

Desde: 1.02

Opcional: False

Identifica a versão da API associada ao valor de AwsApiCall eventType.

Desde: 1.01

Opcional: True

Um valor booliano que identifica se o evento é um evento de gerenciamento. managementEvent será mostrado em um registro de evento se eventVersion for 1.06 ou superior e o tipo de evento for um dos seguintes:

Desde: 1.06

Opcional: True

Identifica se essa operação é somente leitura. Pode ter um dos valores a seguir:

Desde: 1.01

Opcional: True

Uma lista de recursos acessados no evento. O campo pode conter as seguintes informações:

Por exemplo, quando um evento AssumeRole é registrado, o campo resources pode ter esta aparência:

Por exemplo, logs com o campo resources, consulte API de evento do AWS STS no arquivo de log do CloudTrail no Manual do usuário do IAM ou no Registro de chamadas de API do AWS KMS no Guia do desenvolvedor do AWS Key Management Service.

Desde: 1.01

Opcional: True

Representa o ID da conta que recebeu esse evento. O recipientAccountID pode ser diferente do Elemento userIdentity do CloudTrail accountId. Isso pode ocorrer no acesso a recursos entre contas. Por exemplo, se uma chave do KMS, também conhecida como uma AWS KMS key, foi usada por uma conta separada para chamar a API de criptografia, os valores accountId e recipientAccountID serão os mesmos para o evento entregue à conta que fez a chamada, mas os valores serão diferentes para o evento entregue à conta proprietária da chave do KMS.

Desde: 1.02

Opcional: True

Identifica o evento de serviço, incluindo o que acionou o evento e o resultado. Para obter mais informações, consulte AWS service (Serviço da AWS)Eventos do . Este campo tem um tamanho máximo de 100 KB. Quando o tamanho do campo excede 100 KB, o conteúdo de serviceEventDetails é omitido. Para datastores de eventos configurados para ter um tamanho máximo de evento de 1 MB, o conteúdo do campo será omitido apenas se a carga útil do evento exceder 1 MB e o tamanho máximo do campo for excedido.

Desde: 1.05

Opcional: True

A GUID gerada pelo CloudTrail para identificar de maneira exclusiva eventos do CloudTrail da mesma ação da AWS que é enviada a várias contas da AWS.

Por exemplo, quando uma conta usar uma chave do KMS, também conhecida como AWS KMS key, que pertence a outra conta, a conta que usou e possui a chave do KMS receberá eventos do CloudTrail separados para a mesma ação. Cada evento do CloudTrail fornecido para essa ação da AWS compartilha o mesmo sharedEventID, mas também tem um eventID e um recipientAccountID exclusivos.

Para obter mais informações, consulte Exemplo de sharedEventID.

Desde: 1.03

Opcional: True

Identifica o endpoint da VPC em que as solicitações foram feitas a partir de uma VPC para outro serviço da AWS, como o Amazon EC2.

Desde: 1.04

Opcional: True

Identifica o ID da Conta da AWS do proprietário do endpoint da VPC para o endpoint correspondente pelo qual uma solicitação foi enviada.

Desde: 1.09

Opcional: True

Exibe a categoria do evento. A categoria do evento é usada em chamadas de LookupEvents para filtrar com base em eventos de gerenciamento.

Desde: 1.07

Opcional: False

Se uma entrega de evento estiver atrasada ou informações adicionais sobre um evento existente se tornarem disponíveis após o evento ser registrado, um campo de adendo mostrará informações sobre o motivo do atraso do evento. Se as informações estiverem ausentes de um evento existente, o campo de adendo incluirá as informações ausentes e um motivo pelo qual elas estavam ausentes. O conteúdo inclui o seguinte:

Desde: 1.08

Opcional: True

String com um valor de true ou false que mostra se um evento se originou ou não de uma sessão do Console de gerenciamento da AWS. Este campo não é mostrado a menos que o valor seja true, o que significa que o cliente que foi usado para fazer a chamada de API era um proxy ou um cliente externo. Se um cliente proxy foi usado, campo do evento tlsDetails não é mostrado.

Desde: 1.08

Opcional: True

O campo está presente apenas em eventos enriquecidos para datastores de eventos configurados para incluir chaves de tags de recurso, chaves de tags de entidade principal e chaves de condição globais do IAM. Para obter mais informações, consulte É possível enriquecer eventos do CloudTrail adicionando chaves de tags de recurso e chaves de condição globais do IAM.

O conteúdo inclui o seguinte:

Desde: 1.11

Opcional: True

Mostra informações sobre dispositivos de borda que são alvos de uma solicitação. No momento, os eventos do dispositivo S3 Outposts incluem este campo. Esse campo tem um tamanho máximo de 28 KB; o conteúdo que exceder esse limite ficará truncado. Para datastores de eventos configurados para ter um tamanho máximo de evento de 1 MB, o conteúdo do campo será truncado apenas se a carga útil do evento exceder 1 MB e o tamanho máximo do campo for excedido.

Desde: 1.08

Opcional: True

Mostra informações sobre a versão do Transport Layer Security (TLS), conjuntos de cifras e o FQDN do nome de host fornecido pelo cliente usado na chamada de API de serviço, que é normalmente o FQDN do endpoint do serviço. O CloudTrail ainda registra detalhes parciais do TLS se as informações esperadas estiverem ausentes ou vazias. Por exemplo, se a versão do TLS e o conjunto de cifras estiverem presentes, mas o cabeçalho do HOST estiver vazio, os detalhes do TLS disponíveis ainda serão registrados no evento CloudTrail.

Desde: 1.08

Opcional: True