了解组织事件数据存储 - AWS CloudTrail
创建组织事件数据存储将账户级事件数据存储应用于组织授权管理员的默认资源策略其他资源

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

了解组织事件数据存储

如果您在中创建了组织 AWS Organizations，则可以创建一个组织事件数据存储，用于记录该组织 AWS 账户 中所有人的所有事件。组织事件数据存储可以应用于所有 AWS 区域区域或当前区域。您不能使用组织事件数据存储从 AWS之外收集事件。

您可以通过使用管理账户或委派管理员账户来创建组织事件数据存储。委托管理员创建组织事件数据存储时，组织事件数据存储存在于组织的管理账户中。之所以采用这种方法，是因为管理账户保留对所有组织资源的所有权。

组织的管理账户可以更新账户级事件数据存储以将其应用于组织。

在将组织事件数据存储指定为应用于某个组织时，它将自动应用于该组织中的所有成员账户。成员账户无法查看组织事件数据存储，也无法对其进行修改或删除。默认情况下，成员账户无权访问组织事件数据存储，也不能对组织事件数据存储进行查询。

下表显示了 AWS Organizations 组织内管理账户和委派管理员账户的权能。

功能 管理账户 委托管理员账户

注册或移除委托管理员账户。

是

没有

为事件或 AWS Config 配置项目创建组织 AWS CloudTrail 事件数据存储。

是

是

在组织事件数据存储上启用 Insights。

是

没有

更新组织事件数据存储。

是

是1

在组织事件数据存储上启动和停止事件摄取。

是

是

在组织事件数据存储上启用 Lake 查询联合身份验证。2

是

是

在组织事件数据存储上禁用 Lake 查询联合身份验证。

是

是

删除组织事件数据存储。

是

是

将跟踪事件复制到事件数据存储。

是

没有

对组织事件数据存储运行查询。

是

是

查看组织事件数据存储的托管仪表板。

是

没有

为组织事件数据存储启用亮点仪表板。

是

没有

为查询组织事件数据存储的自定义仪表板创建微件。

是

没有

1只有管​​理账户可以将组织事件数据存储转换为账户级事件数据存储，或者将账户级事件数据存储转换为组织事件数据存储。因为组织事件数据存储仅存在于管理账户中，所以不允许委托管理员执行这些操作。当组织事件数据存储转换为账户级事件数据存储时，只有管理账户才能访问事件数据存储。同理，只有管理账户中的账户级事件数据存储才能转换为组织事件数据存储。

2只有一个委托管理员账户或管理账户才能在组织事件数据存储上启用联合身份验证。其他委托管理员账户可以使用 Lake Formation 数据共享功能查询和共享信息。任何委托管理员账户以及组织的管理账户都可以禁用联合身份验证。

创建组织事件数据存储

组织的管理帐户或委托管理员帐户可以创建组织事件数据存储以收集 CloudTrail 事件（管理事件、数据事件）或 AWS Config 配置项目。

注意

只有组织的管理账户可以将跟踪事件复制到事件数据存储。

CloudTrail console
使用控制台创建组织事件数据存储

  1. 按照为事件创建事件数据存储过程中的步骤，为 CloudTrail 管理 CloudTrail 事件或数据事件创建组织事件数据存储。

    或者

    按照为配置项目创建事件数据存储过程中的步骤为 AWS Config 配置项目创建组织事件数据存储。 AWS Config

  2. 在选择事件页面上，选择为我组织中的所有账户启用。

AWS CLI

要创建组织事件数据存储，请运行 create-event-data-store 命令并包括 --organization-enabled 选项。

以下示例 AWS CLI create-event-data-store命令创建了一个收集所有管理事件的组织事件数据存储。由于默认情况下会 CloudTrail 记录管理事件，因此如果您的事件数据存储正在记录所有管理事件并且未收集任何数据事件，则无需指定高级事件选择器。

aws cloudtrail create-event-data-store --name org-management-eds --organization-enabled

以下为响应示例。

{
    "EventDataStoreArn": "arn:aws:cloudtrail:us-east-1:123456789012:eventdatastore/EXAMPLE6-d493-4914-9182-e52a7934b207",
    "Name": "org-management-eds",
    "Status": "CREATED",
    "AdvancedEventSelectors": [
        {
            "Name": "Default management events",
            "FieldSelectors": [
                {
                    "Field": "eventCategory",
                    "Equals": [
                        "Management"
                    ]
                }
            ]
        }
    ],
    "MultiRegionEnabled": true,
    "OrganizationEnabled": true,
    "BillingMode": "EXTENDABLE_RETENTION_PRICING",
    "RetentionPeriod": 366,
    "TerminationProtectionEnabled": true,
    "CreatedTimestamp": "2023-11-16T15:30:50.689000+00:00",
    "UpdatedTimestamp": "2023-11-16T15:30:50.851000+00:00"
}

下一个示例 AWS CLI create-event-data-store命令创建一个名为的组织事件数据存储config-items-org-eds，用于收集 AWS Config 配置项目。要收集配置项目，请在高级事件选择器中指定 eventCategory 字段等于 ConfigurationItem。

aws cloudtrail create-event-data-store --name config-items-org-eds \
--organization-enabled \
--advanced-event-selectors '[
    {
        "Name": "Select AWS Config configuration items",
        "FieldSelectors": [
            { "Field": "eventCategory", "Equals": ["ConfigurationItem"] }
        ]
    }
]'

将账户级事件数据存储应用于组织

组织的管理账户可以转换账户级事件数据存储以将其应用于组织。

CloudTrail console
使用控制台更新账户级事件数据存储

  1. 登录 AWS Management Console 并打开 CloudTrail 控制台，网址为https://console.aws.amazon.com/cloudtrail/。

  2. 在导航窗格中，在 Lake 下，选择事件数据存储。

  3. 选择要更新的事件数据存储。此操作会打开事件数据存储的详细信息页面。

  4. 在 General details（一般详细信息）中，选择 Edit（编辑）。

  5. 选择为我组织中的所有账户启用。

  6. 选择保存更改。

有关更新事件数据存储的其他信息，请参阅 使用控制台更新事件数据存储。

AWS CLI

要更新账户级事件数据存储以将其应用于组织，请运行update-event-data-store命令并添加选项。--organization-enabled

aws cloudtrail update-event-data-store --region us-east-1 \
--organization-enabled \
--event-data-store arn:aws:cloudtrail:us-east-1:123456789012:eventdatastore/EXAMPLE-f852-4e8f-8bd1-bcf6cEXAMPLE

授权管理员的默认资源策略

CloudTrail 自动生成以组织事件数据存储命DelegatedAdminResourcePolicy名的资源策略，该策略列出了允许委派管理员帐户对组织事件数据存储执行的操作。中的DelegatedAdminResourcePolicy权限来自中委派的管理员权限 AWS Organizations。

的DelegatedAdminResourcePolicy目的是确保委派的管理员帐户可以代表组织管理组织事件数据存储，并且在将基于资源的策略附加到允许或拒绝委托人对组织事件数据存储执行操作的组织事件数据存储时，不会被无意中拒绝访问组织事件数据存储。

CloudTrail 与为DelegatedAdminResourcePolicy组织事件数据存储提供的任何基于资源的策略一起进行评估。只有在提供的基于资源的策略中包含明确拒绝委派管理员账户对组织事件数据存储执行本来可以执行的操作的声明时，才会拒绝委派管理员账户的访问权限。

在以下DelegatedAdminResourcePolicy情况下，本政策会自动更新：

  • 管理账户将组织事件数据存储转换为账户级事件数据存储，或者将账户级事件数据存储转换为组织事件数据存储。

  • 组织发生了变化。例如，管理账户注册或删除 CloudTrail 委派管理员账户。

您可以在 CloudTrail 控制台的 up-to-date委派管理员资源策略部分查看策略，也可以通过运行 AWS CLI get-resource-policy命令并传递组织事件数据存储的 ARN 来查看策略。

以下示例在组织事件数据存储上运行该get-resource-policy命令。

aws cloudtrail get-resource-policy --resource-arn arn:aws:cloudtrail:us-east-1:888888888888:eventdatastore/example6-d493-4914-9182-e52a7934b207

以下示例输出显示了提供的基于资源的策略以及为委派的管理员账户333333333333和DelegatedAdminResourcePolicy111111111111生成的策略。

{
  "ResourceArn": "arn:aws:cloudtrail:us-east-1:888888888888:eventdatastore/example6-d493-4914-9182-e52a7934b207",
  "ResourcePolicy": {
    "Version": "2012-10-17",		 	 	 
    "Statement": [{
      "Sid": "EdsPolicyA",
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::666666666666:root"
      },
      "Action": [
        "cloudtrail:geteventdatastore",
        "cloudtrail:startquery",
        "cloudtrail:describequery",
        "cloudtrail:cancelquery",
        "cloudtrail:generatequery",
        "cloudtrail:generatequeryresultssummary"
      ],
      "Resource": "arn:aws:cloudtrail:us-east-1:888888888888:eventdatastore/example6-d493-4914-9182-e52a7934b207"
    }]
  },
  "DelegatedAdminResourcePolicy": {
    "Version": "2012-10-17",		 	 	 
    "Statement": [{
      "Sid": "Organization-EventDataStore-Auto-Generated-Delegated-Admin-Statement",
      "Effect": "Allow",
      "Principal": {
        "AWS": ["333333333333", "111111111111"]
      },
      "Action": [
        "cloudtrail:AddTags",
        "cloudtrail:CancelQuery",
        "cloudtrail:CreateEventDataStore",
        "cloudtrail:DeleteEventDataStore",
        "cloudtrail:DescribeQuery",
        "cloudtrail:DisableFederation",
        "cloudtrail:EnableFederation",
        "cloudtrail:GenerateQuery",
        "cloudtrail:GenerateQueryResultsSummary",
        "cloudtrail:GetEventConfiguration",
        "cloudtrail:GetEventDataStore",
        "cloudtrail:GetInsightSelectors",
        "cloudtrail:GetQueryResults",
        "cloudtrail:ListEventDataStores",
        "cloudtrail:ListQueries",
        "cloudtrail:ListTags",
        "cloudtrail:RemoveTags",
        "cloudtrail:RestoreEventDataStore",
        "cloudtrail:UpdateEventDataStore",
        "cloudtrail:StartEventDataStoreIngestion",
        "cloudtrail:StartQuery",
        "cloudtrail:StopEventDataStoreIngestion",
        "cloudtrail:UpdateEventDataStore"
      ],
      "Resource": "arn:aws:cloudtrail:us-east-1:888888888888:eventdatastore/example6-d493-4914-9182-e52a7934b207"
    }]
  }
}

其他资源