通过添加资源标签键和 IAM 全局条件键来丰富 CloudTrail 事件

在创建或更新事件数据存储时，您可以通过添加资源标签键、主体标签键和 IAM 全局条件键来丰富 CloudTrail 管理事件和数据事件。这使您可以根据业务环境（例如，成本分配和财务管理、运营和数据安全要求）对 CloudTrail 事件进行分类、搜索和分析。您可以通过在 CloudTrail Lake 中运行查询来分析事件。您也可以选择联合事件数据存储并在 Amazon Athena 中运行查询。您可以使用 CloudTrail 控制台、AWS CLI 和 SDK 将资源标签键和 IAM 全局条件键添加到事件数据存储中。

当您向丰富事件添加资源标签键时，CloudTrail 会将与 API 调用中涉及的资源关联的选定标签键包含在内。

当您将 IAM 全局条件键添加到事件数据存储时，CloudTrail 会包含有关授权过程中评估的所选条件键的信息，包括有关主体、会话和请求本身的更多详细信息。

在您添加资源标签键或 IAM 条件键后，CloudTrail 会在 CloudTrail 事件中包含一个 eventContext 字段，该字段提供 API 操作的选定上下文信息。

在某些例外情况下，事件不包括 eventContext 字段，包括：

AWS 服务 支持资源标签

所有 AWS 服务 支持资源标签。有关更多信息，请参阅 Services that support the AWS Resource Groups Tagging API。

CloudTrail 中丰富事件的资源标签更新

配置为这样做时，CloudTrail 会捕获有关资源标签的信息，并使用它们在丰富事件中提供信息。在使用资源标签时，在某些情况下，系统请求事件时可能无法准确反映资源标签。在标准操作期间，创建资源时应用的标签始终存在，并且不会出现延迟或延迟极少。但是，预计以下服务的资源标签更改在 CloudTrail 事件中的显示会发生延迟：

服务中断也可能导致资源标签信息更新出现延迟。如果出现服务中断延迟，后续 CloudTrail 事件将包含 addendum 字段，其中包含有关资源标签更改的信息。这些额外信息将按规定用于提供丰富的 CloudTrail 事件。

AWS 服务 支持 IAM 全局条件键

以下 AWS 服务 对丰富事件支持 IAM 全局条件键：

丰富事件支持的 IAM 全局条件键

下表列出了 CloudTrail 丰富事件支持的 IAM 全局条件键以及示例值：

事件示例

在以下示例中，eventContext 字段包含值为 false 的 IAM 全局条件键 aws:ViaAWSService，这表示 API 调用不是由 AWS 服务进行的。

{
    "eventVersion": "1.11",
    "userIdentity": {
        "type": "AssumedRole",
        "principalId": "ASIAIOSFODNN7EXAMPLE",
        "arn": "arn:aws:sts::123456789012:assumed-role/admin",
        "accountId": "123456789012",
        "accessKeyId": "ASIAIOSFODNN7EXAMPLE",
        "sessionContext": {
            "sessionIssuer": {
                "type": "Role",
                "principalId": "ASIAIOSFODNN7EXAMPLE",
                "arn": "arn:aws:iam::123456789012:role/admin",
                "accountId": "123456789012",
                "userName": "admin"
            },
            "attributes": {
                "creationDate": "2025-01-22T22:05:56Z",
                "mfaAuthenticated": "false"
            }
        }
    },
    "eventTime": "2025-01-22T22:06:16Z",
    "eventSource": "cloudtrail.amazonaws.com",
    "eventName": "GetTrailStatus",
    "awsRegion": "us-east-1",
    "sourceIPAddress": "192.168.0.0",
    "userAgent": "Mozilla/5.0 (Macintosh; Intel Mac OS X 10.15; rv:133.0) Gecko/20100101 Firefox/133.0",
    "requestParameters": {
        "name": "arn:aws:cloudtrail:us-east-1:123456789012:trail/myTrail"
    },
    "responseElements": null,
    "requestID": "d09c4dd2-5698-412b-be7a-example1a23",
    "eventID": "9cb5f426-7806-46e5-9729-exampled135d",
    "readOnly": true,
    "eventType": "AwsApiCall",
    "managementEvent": true,
    "recipientAccountId": "123456789012",
    "eventCategory": "Management",
    "tlsDetails": {
        "tlsVersion": "TLSv1.3",
        "cipherSuite": "TLS_AES_128_GCM_SHA256",
        "clientProvidedHostHeader": "cloudtrail.us-east-1.amazonaws.com"
    },
    "sessionCredentialFromConsole": "true",
    "eventContext": {
        "requestContext": {
            "aws:ViaAWSService": "false"
        },
        "tagContext": {}
    }
}