Log de eventos de gerenciamento

Por padrão, as trilhas e os armazenamentos de dados de eventos registram em log os eventos de gerenciamento e não incluem eventos de dados nem eventos do Insights.

Há cobranças adicionais para eventos de dados ou eventos do Insights. Para obter mais informações, consulte Preços do AWS CloudTrail.

Eventos de gerenciamento

Os eventos de gerenciamento fornecem visibilidade nas operações de gerenciamento executadas em recursos na sua conta da AWS. Também são conhecidas como operações de ambiente de gerenciamento. Exemplos de eventos de gerenciamento incluem:

Os eventos de gerenciamento também podem incluir eventos que não são de API que ocorrem na sua conta. Por exemplo, quando um usuário faz login na sua conta, o CloudTrail registra o evento ConsoleLogin. Para obter mais informações, consulte Eventos que não são da API capturados pelo CloudTrail.

Por padrão, as trilhas e os armazenamentos de dados de eventos são configurados para registrar eventos de gerenciamento em log.

Ler e gravar eventos

Ao configurar a trilha ou o armazenamento de dados de eventos para registrar em log eventos de gerenciamento, é possível especificar se você deseja eventos somente leitura, eventos somente gravação, ou ambos.

Registro de eventos de gerenciamento com o Console de gerenciamento da AWS

Esta seção descreve como atualizar as configurações de evento de gerenciamento para uma trilhas ou um datastore de eventos existente.

Atualizar as configurações de evento de gerenciamento para uma trilha existente

Use o procedimento a seguir para atualizar as configurações de evento de gerenciamento para uma trilha existente.

Atualizar as configurações de evento de gerenciamento para uma datastore de eventos existente

Registro de eventos de gerenciamento com o AWS CLI

É possível configurar suas trilhas ou seus armazenamentos de dados de eventos para registrar eventos de gerenciamento em log usando a AWS CLI.

Exemplos: registrar em log eventos de gerenciamento para trilhas

Para visualizar se a trilha está registrando em log os eventos de gerenciamento, execute o comando get-event-selectors.

aws cloudtrail get-event-selectors --trail-name TrailName

O exemplo a seguir retorna as configurações padrão de uma trilha. Por padrão, as trilhas registram em log todos os eventos de gerenciamento, registram em log eventos de todas as origens de evento e não registram em log eventos de dados.

{
    "TrailARN": "arn:aws:cloudtrail:us-east-1:111122223333:trail/TrailName",
    "AdvancedEventSelectors": [
        {
            "Name": "Management events selector",
            "FieldSelectors": [
                {
                    "Field": "eventCategory",
                    "Equals": [
                        "Management"
                    ]
                }
            ]
        }
    ]
}

Você pode usar seletores de eventos básicos ou avançados para registrar eventos de gerenciamento. Não é possível aplicar seletores de eventos e seletores de eventos avançados a uma trilha. Se você aplicar seletores de eventos avançados a uma trilha, todos os seletores de eventos básicos existentes serão substituídos. As seções a seguir fornecem exemplos de como registrar eventos de gerenciamento usando seletores de eventos básicos e avançados.

Exemplos: registrar em log eventos de gerenciamento de trilhas usando seletores de eventos avançados

O exemplo a seguir cria um seletor de eventos para uma trilha chamada TrailName a fim de incluir eventos de gerenciamento somente leitura e somente gravação (omitindo o seletor readOnly), mas excluir eventos do AWS Key Management Service (AWS KMS). Como os eventos do AWS KMS são tratados como eventos de gerenciamento e pode haver um alto volume deles, eles podem ter um impacto substancial na fatura do CloudTrail, caso você tenha mais de uma trilha que capture eventos de gerenciamento.

Se você optar por não registrar eventos de gerenciamento, os eventos do AWS KMS não serão registrados e você não pode alterar as configurações de log de eventos AWS KMS.

Para começar a registrar eventos do AWS KMS para uma trilha novamente, remova o seletor eventSource e execute o comando novamente.

aws cloudtrail put-event-selectors --trail-name TrailName \
--advanced-event-selectors '
[
  {
    "Name": "Log all management events except KMS events",
    "FieldSelectors": [
      { "Field": "eventCategory", "Equals": ["Management"] },
      { "Field": "eventSource", "NotEquals": ["kms.amazonaws.com"] }
    ]
  }
]'

O exemplo retorna os seletores de eventos avançados configurados para a trilha.

{
  "AdvancedEventSelectors": [
    {
      "Name": "Log all management events except KMS events",
      "FieldSelectors": [
        {
          "Field": "eventCategory", 
          "Equals": [ "Management" ]
        },
        {
          "Field": "eventSource", 
          "NotEquals": [ "kms.amazonaws.com" ]
        }
      ]
    }
  ],
  "TrailARN": "arn:aws:cloudtrail:us-east-2:123456789012:trail/TrailName"
}

Para começar a registrar eventos excluídos para uma trilha novamente, remova o seletor eventSource e execute o comando novamente.

aws cloudtrail put-event-selectors --trail-name TrailName \
--advanced-event-selectors '
[
  {
    "Name": "Log all management events",
    "FieldSelectors": [
      { "Field": "eventCategory", "Equals": ["Management"] }
    ]
  }
]'

O exemplo a seguir cria um seletor de eventos avançado para uma trilha chamada TrailName a fim de incluir eventos de gerenciamento somente leitura e somente gravação (omitindo o seletor readOnly), mas excluir eventos de gerenciamento da API de dados do Amazon RDS. Para excluir eventos de gerenciamento da API de dados do Amazon RDS, especifique a fonte do evento da API de dados do Amazon RDS no valor da string para o campo eventSource: rdsdata.amazonaws.com.

Se você optar por não registrar eventos de gerenciamento, os eventos de gerenciamento da API de dados do Amazon RDS não serão registrados em log e você não poderá alterar as configurações de registro em log de eventos da API de dados do Amazon RDS.

Para começar a registrar em log os eventos de gerenciamento da API de dados do Amazon RDS em uma trilha novamente, remova o seletor eventSource e execute o comando novamente.

aws cloudtrail put-event-selectors --trail-name TrailName \
--advanced-event-selectors '
[
  {
    "Name": "Log all management events except Amazon RDS Data API management events",
    "FieldSelectors": [
      { "Field": "eventCategory", "Equals": ["Management"] },
      { "Field": "eventSource", "NotEquals": ["rdsdata.amazonaws.com"] }
    ]
  }
]'

O exemplo retorna os seletores de eventos avançados configurados para a trilha.

{
  "AdvancedEventSelectors": [
    {
      "Name": "Log all management events except Amazon RDS Data API management events",
      "FieldSelectors": [
        {
          "Field": "eventCategory", 
          "Equals": [ "Management" ]
        },
        {
          "Field": "eventSource", 
          "NotEquals": [ "rdsdata.amazonaws.com" ]
        }
      ]
    }
  ],
  "TrailARN": "arn:aws:cloudtrail:us-east-2:123456789012:trail/TrailName"
}

Para começar a registrar eventos excluídos para uma trilha novamente, remova o seletor eventSource e execute o comando novamente.

aws cloudtrail put-event-selectors --trail-name TrailName \
--advanced-event-selectors '
[
  {
    "Name": "Log all management events",
    "FieldSelectors": [
      { "Field": "eventCategory", "Equals": ["Management"] }
    ]
  }
]'

Exemplos: registrar em log eventos de gerenciamento de trilhas usando seletores de eventos avançados

Para configurar a trilha para registrar em log eventos de gerenciamento, execute o comando put-event-selectors. O exemplo a seguir mostra como configurar a trilha para incluir todos os eventos de gerenciamento para dois objetos do S3. Você pode especificar seletores de eventos de 1 a 5 para uma trilha. Você pode especificar recursos de dados de 1 a 250 para uma trilha.

aws cloudtrail put-event-selectors --trail-name TrailName --event-selectors '[{ "ReadWriteType": "All", "IncludeManagementEvents":true, "DataResources": [{ "Type": "AWS::S3::Object", "Values": ["arn:aws:s3:::amzn-s3-demo-bucket/prefix", "arn:aws:s3:::amzn-s3-demo-bucket2/prefix2"] }] }]'

O exemplo a seguir retorna o seletor de evento configurado para a trilha.

{
    "TrailARN": "arn:aws:cloudtrail:us-east-1:111122223333:trail/TrailName",
    "EventSelectors": [
        {
            "ReadWriteType": "All",
            "IncludeManagementEvents": true,
            "DataResources": [
                {
                    "Type": "AWS::S3::Object",
                    "Values": [
                        "arn:aws:s3:::amzn-s3-demo-bucket/prefix",
                        "arn:aws:s3:::amzn-s3-demo-bucket2/prefix2",
                    ]  
                }
            ],
            "ExcludeManagementEventSources": []
        }
    ]
}

Para excluir eventos do AWS Key Management Service (AWS KMS) dos logs de uma trilha, execute o comando put-event-selectors e adicione o atributo ExcludeManagementEventSources com um valor de kms.amazonaws.com. O exemplo a seguir cria um seletor de eventos para uma trilha chamada TrailName a fim de incluir eventos de gerenciamento somente leitura e somente gravação, mas excluir eventos do AWS KMS. Como o AWS KMS pode gerar um alto volume de eventos, o usuário deste exemplo pode querer limitar os eventos para gerenciar o custo de uma trilha.

aws cloudtrail put-event-selectors --trail-name TrailName --event-selectors '[{"ReadWriteType": "All","ExcludeManagementEventSources": ["kms.amazonaws.com"],"IncludeManagementEvents": true}]'

O exemplo a seguir retorna o seletor de eventos configurado para a trilha:

{
    "TrailARN": "arn:aws:cloudtrail:us-east-1:111122223333:trail/TrailName",
    "EventSelectors": [
        {
            "ReadWriteType": "All",
            "IncludeManagementEvents": true,
            "DataResources": [],
            "ExcludeManagementEventSources": [
                "kms.amazonaws.com"
            ]
        }
    ]
}

Para excluir eventos de gerenciamento da API de dados do Amazon RDS dos logs de uma trilha, execute o comando put-event-selectors e adicione o atributo ExcludeManagementEventSources com um valor de rdsdata.amazonaws.com. O exemplo a seguir cria um seletor de eventos para uma trilha chamada TrailName a fim de incluir eventos de gerenciamento somente leitura e somente gravação, mas excluir eventos de gerenciamento da API de dados do Amazon RDS. Como a API de dados do Amazon RDS pode gerar um alto volume de eventos de gerenciamento, o usuário, neste exemplo, pode querer limitar os eventos para gerenciar o custo de uma trilha.

{
    "TrailARN": "arn:aws:cloudtrail:us-east-1:111122223333:trail/TrailName",
    "EventSelectors": [
        {
            "ReadWriteType": "All",
            "IncludeManagementEvents": true,
            "DataResources": [],
            "ExcludeManagementEventSources": [
                "rdsdata.amazonaws.com"
            ]
        }
    ]
}

Para iniciar o registro em log do AWS KMS ou eventos de gerenciamento da API de dados do Amazon RDS em uma trilha novamente, transmita uma string vazia como o valor de ExcludeManagementEventSources, conforme mostrado no comando a seguir.

aws cloudtrail put-event-selectors --trail-name TrailName --event-selectors '[{"ReadWriteType": "All","ExcludeManagementEventSources": [],"IncludeManagementEvents": true}]'

Para registrar eventos relevantes do AWS KMS em uma trilha, como Disable, Delete e ScheduleKey, mas excluir eventos de alto volume do AWS KMS, como Encrypt, Decrypt e GenerateDataKey, registre em log eventos de gerenciamento somente gravação e mantenha a configuração padrão para registrar em log eventos do AWS KMS, conforme mostrado no exemplo a seguir.

aws cloudtrail put-event-selectors --trail-name TrailName --event-selectors '[{"ReadWriteType": "WriteOnly","ExcludeManagementEventSources": [],"IncludeManagementEvents": true}]'

Exemplos: registrar em log eventos de gerenciamento para armazenamentos de dados de eventos

Você registra em log eventos de gerenciamento para datastores de eventos configurando seletores de eventos avançados.

Os seguintes campos avançados do seletor de eventos são compatíveis com o registro em log de eventos de gerenciamento em datastore de eventos:

Para verificar se o armazenamento de dados de eventos inclui eventos de gerenciamento, execute o comando get-event-data-store.

aws cloudtrail get-event-data-store
--event-data-store arn:aws:cloudtrail:us-east-1:12345678910:eventdatastore/EXAMPLE-f852-4e8f-8bd1-bcf6cEXAMPLE

O seguinte é um exemplo de resposta. A criação e os horários da última atualização estão no formato timestamp.

{
    "EventDataStoreArn": "arn:aws:cloudtrail:us-east-1:12345678910:eventdatastore/EXAMPLE-f852-4e8f-8bd1-bcf6cEXAMPLE",
    "Name": "myManagementEvents",
    "Status": "ENABLED",
    "AdvancedEventSelectors": [
        {
            "Name": "Management events selector",
            "FieldSelectors": [
                {
                    "Field": "eventCategory",
                    "Equals": [
                        "Management"
                    ]
                }
            ]
        }
    ],
    "MultiRegionEnabled": true,
    "OrganizationEnabled": false,
    "BillingMode": "FIXED_RETENTION_PRICING",
    "RetentionPeriod": 2557,
    "TerminationProtectionEnabled": true,
    "CreatedTimestamp": "2023-02-04T15:56:27.418000+00:00",
    "UpdatedTimestamp": "2023-02-04T15:56:27.544000+00:00"
}

Para criar um armazenamento de dados de eventos que inclua todos os eventos de gerenciamento, execute o comando create-event-data-store. Não é necessário especificar nenhum seletor de eventos avançado para incluir todos os eventos de gerenciamento.

aws cloudtrail create-event-data-store
--name my-event-data-store
--retention-period 90\

O seguinte é um exemplo de resposta.

{
    "EventDataStoreArn": "arn:aws:cloudtrail:us-east-1:12345678910:eventdatastore/EXAMPLE-f852-4e8f-8bd1-bcf6cEXAMPLE",
    "Name": "my-event-data-store",
    "Status": "CREATED",
    "AdvancedEventSelectors": [
        {
            "Name": "Default management events",
            "FieldSelectors": [
                {
                    "Field": "eventCategory",
                    "Equals": [
                        "Management"
                    ]
                }
            ]
        }
    ],
    "MultiRegionEnabled": true,
    "OrganizationEnabled": false,
    "BillingMode": "EXTENDABLE_RETENTION_PRICING",
    "RetentionPeriod": 90,
    "TerminationProtectionEnabled": true,
    "CreatedTimestamp": "2023-11-13T16:41:57.224000+00:00",
    "UpdatedTimestamp": "2023-11-13T16:41:57.357000+00:00"
}

Exemplo: excluir eventos de gerenciamento do AWS KMS

Para criar um armazenamento de dados de eventos que exclua eventos do AWS Key Management Service (AWS KMS), execute o comando create-event-data-store e especifique que eventSource não seja igual a kms.amazonaws.com. O exemplo a seguir cria um armazenamento de dados de eventos que inclui eventos de gerenciamento somente leitura e somente gravação, mas exclui eventos do AWS KMS.

aws cloudtrail create-event-data-store --name event-data-store-name --retention-period 90 --advanced-event-selectors '[
    {
        "Name": "Management events selector",
        "FieldSelectors": [
            {"Field": "eventCategory","Equals": ["Management"]},
            {"Field": "eventSource","NotEquals": ["kms.amazonaws.com"]}
        ]
    }
]'

O seguinte é um exemplo de resposta.

{
    "EventDataStoreArn": "arn:aws:cloudtrail:us-east-1:12345678910:eventdatastore/EXAMPLE-f852-4e8f-8bd1-bcf6cEXAMPLE",
    "Name": "event-data-store-name",
    "Status": "CREATED",
    "AdvancedEventSelectors": [
        {
            "Name": "Management events selector",
            "FieldSelectors": [
                {
                    "Field": "eventCategory",
                    "Equals": [
                        "Management"
                    ]
                },
                {
                    "Field": "eventSource",
                    "NotEquals": [
                        "kms.amazonaws.com"
                    ]
                }
            ]
        }
    ],
    "MultiRegionEnabled": true,
    "OrganizationEnabled": false,
    "BillingMode": "EXTENDABLE_RETENTION_PRICING",
    "RetentionPeriod": 90,
    "TerminationProtectionEnabled": true,
    "CreatedTimestamp": "2023-11-13T17:02:02.067000+00:00",
    "UpdatedTimestamp": "2023-11-13T17:02:02.241000+00:00"
}

Exemplo: excluir eventos de gerenciamento do Amazon RDS

Para criar um armazenamento de dados de eventos que exclua eventos de gerenciamento da API de dados do Amazon RDS, execute o comando create-event-data-store e especifique que eventSource não seja igual a rdsdata.amazonaws.com. O exemplo a seguir cria um armazenamento de dados de eventos que inclui eventos de gerenciamento somente leitura e somente gravação, mas exclui eventos da API de dados do Amazon RDS.

aws cloudtrail create-event-data-store --name event-data-store-name --retention-period 90 --advanced-event-selectors '[
    {
        "Name": "Management events selector",
        "FieldSelectors": [
            {"Field": "eventCategory","Equals": ["Management"]},
            {"Field": "eventSource","NotEquals": ["rdsdata.amazonaws.com"]}
        ]
    }
]'

O seguinte é um exemplo de resposta.

{
    "EventDataStoreArn": "arn:aws:cloudtrail:us-east-1:12345678910:eventdatastore/EXAMPLE-f852-4e8f-8bd1-bcf6cEXAMPLE",
    "Name": "my-event-data-store",
    "Status": "CREATED",
    "AdvancedEventSelectors": [
        {
            "Name": "Management events selector",
            "FieldSelectors": [
                {
                    "Field": "eventCategory",
                    "Equals": [
                        "Management"
                    ]
                },
                {
                    "Field": "eventSource",
                    "NotEquals": [
                        "rdsdata.amazonaws.com"
                    ]
                }
            ]
        }
    ],
    "MultiRegionEnabled": true,
    "OrganizationEnabled": false,
    "BillingMode": "EXTENDABLE_RETENTION_PRICING",
    "RetentionPeriod": 90,
    "TerminationProtectionEnabled": true,
    "CreatedTimestamp": "2023-11-13T17:02:02.067000+00:00",
    "UpdatedTimestamp": "2023-11-13T17:02:02.241000+00:00"
}

Exemplo: excluir eventos de AWS service (Serviço da AWS) e eventos de sessões do Console de gerenciamento da AWS

O exemplo a seguir cria um datastore de eventos que registra em log eventos de gerenciamento, mas exclui eventos de AWS service (Serviço da AWS) e eventos originários de sessões do Console de gerenciamento da AWS.

aws cloudtrail create-event-data-store --name event-data-store-name --advanced-event-selectors '[
    {
        "Name": "Exclude AWS service (Serviço da AWS) and console events",
        "FieldSelectors": [
            {"Field": "eventCategory","Equals": ["Management"]},
            {"Field": "eventType","NotEquals": ["AwsServiceEvent"]},
            {"Field": "sessionCredentialFromConsole","NotEquals": ["true"]}
        ]
    }
]'

O seguinte é um exemplo de resposta.

{
    "EventDataStoreArn": "arn:aws:cloudtrail:us-east-1:12345678910:eventdatastore/EXAMPLE-f852-4e8f-8bd1-bcf6cEXAMPLE",
    "Name": "event-data-store-name",
    "Status": "CREATED",
    "AdvancedEventSelectors": [
        {
            "Name": "Exclude AWS service (Serviço da AWS) and console events",
            "FieldSelectors": [
                {
                    "Field": "eventCategory",
                    "Equals": [
                        "Management"
                    ]
                },
                {
                    "Field": "eventType",
                    "NotEquals": [
                        "AwsServiceEvent"
                    ]
                },
                {
                    "Field": "sessionCredentialFromConsole",
                    "NotEquals": [
                        "true"
                    ]
                }
            ]
        }
    ],
    "MultiRegionEnabled": true,
    "OrganizationEnabled": false,
    "BillingMode": "EXTENDABLE_RETENTION_PRICING",
    "RetentionPeriod": 366,
    "TerminationProtectionEnabled": true,
    "CreatedTimestamp": "2024-11-13T17:02:02.067000+00:00",
    "UpdatedTimestamp": "2024-11-13T17:02:02.241000+00:00"
}

Exemplo: excluir eventos de gerenciamento para uma identidade do IAM específica

O exemplo a seguir cria um datastore de eventos que registra eventos de gerenciamento, mas exclui eventos gerados pelo userIdentity bucket-scanner-role.

aws cloudtrail create-event-data-store --name event-data-store-name --advanced-event-selectors '[
    {
        "Name": "Exclude events generated by bucket-scanner-role userIdentity",
        "FieldSelectors": [
            {"Field": "eventCategory","Equals": ["Management"]},
            {"Field": "userIdentity.arn","NotStartsWith": ["arn:aws:sts::123456789012:assumed-role/bucket-scanner-role"]}
        ]
    }
]'

O seguinte é um exemplo de resposta.

{
    "EventDataStoreArn": "arn:aws:cloudtrail:us-east-1:123456789012:eventdatastore/EXAMPLE-f852-4e8f-8bd1-bcf6cEXAMPLE",
    "Name": "event-data-store-name",
    "Status": "CREATED",
    "AdvancedEventSelectors": [
        {
            "Name": "Exclude events generated by bucket-scanner-role userIdentity",
            "FieldSelectors": [
                {
                    "Field": "eventCategory",
                    "Equals": [
                        "Management"
                    ]
                },
                {
                    "Field": "userIdentity.arn",
                    "NotStartsWith": [
                        "arn:aws:sts::123456789012:assumed-role/bucket-scanner-role"
                    ]
                }
            ]
        }
    ],
    "MultiRegionEnabled": true,
    "OrganizationEnabled": false,
    "BillingMode": "EXTENDABLE_RETENTION_PRICING",
    "RetentionPeriod": 366,
    "TerminationProtectionEnabled": true,
    "CreatedTimestamp": "2024-11-13T17:02:02.067000+00:00",
    "UpdatedTimestamp": "2024-11-13T17:02:02.241000+00:00"
}

Registro em log de eventos de gerenciamento com os SDKs da AWS

Use a operação GetEventSelectors para ver se a trilha está registrando em log eventos de gerenciamento para uma trilha. É possível configurar as trilhas para registrar em log eventos de gerenciamento com a operação PutEventSelectors. Para obter mais informações, consulte a AWS CloudTrail Referência da API do.

Execute a operação GetEventDatastore para ver se seu armazenamento de dados de eventos inclui eventos de gerenciamento. Você pode configurar seus armazenamentos de dados de eventos para incluir eventos de gerenciamento executando as operações CreateEventDataStore ou UpdateEventDatastore. Para obter mais informações, consulte a Criar, atualizar e gerenciar armazenamentos de dados de eventos com a AWS CLI e a Referência da API doAWS CloudTrail.