本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

# 使用主控台將追蹤事件複製到新的事件資料存放區
<a name="scenario-lake-import"></a>

本演練說明如何將追蹤事件複製到新的 CloudTrail Lake 事件資料存放區，以進行歷史分析。如需有關複製追蹤事件的詳細資訊，請參閱 [將追蹤事件複製到事件資料存放區](cloudtrail-copy-trail-to-lake-eds.md)。

**若要將追蹤事件複製到新的事件資料存放區**

1. 登入 AWS 管理主控台 ，並在 https：//[https://console.aws.amazon.com/cloudtrail/](https://console.aws.amazon.com/cloudtrail/) 開啟 CloudTrail 主控台。

1.  在導覽窗格中，選擇 **Lake** 下方的**事件資料存放區**。

1. 選擇 **Create event data store** (建立事件資料存放區)。

1. 在**設定事件資料存放區**頁面上，請在**一般詳細資訊**中為您的事件資料存放區提供一個名稱，例如 *my-management-events-eds*。根據最佳實務，請使用可快速識別事件資料存放區目的的名稱。如需有關 CloudTrail 命名要求的資訊，請參閱 [CloudTrail 資源、S3 儲存貯體和 KMS 金鑰的命名需求](cloudtrail-trail-naming-requirements.md)。

1. 選擇您想用於事件資料存放區的**定價選項**。此定價選項將決定擷取和儲存事件的成本，以及事件資料存放區的預設和最長保留期。如需詳細資訊，請參閱 [AWS CloudTrail 定價](https://aws.amazon.com/cloudtrail/pricing/)和 [管理 CloudTrail Lake 成本](cloudtrail-lake-manage-costs.md)。

   以下為可用的選項：
   + **一年可延長保留定價** – 如果您預期每月擷取的事件資料少於 25 TB，並需要長達 10 年的彈性保留期，則建議使用此選項。前 366 天 (預設保留期) 的儲存已包含在擷取定價中，無須額外付費。在 366 天之後，延長保留將依用量計費定價。此為預設選項。
     + **預設保留期：**366 天
     + **最長保留期：**3,653 天
   + **七年保留定價** – 如果您預期每月擷取的事件資料超過 25 TB，並需要長達 7 年的彈性保留期，則建議使用此選項。保留已包含在擷取定價中，無須額外付費。
     + **預設保留期：**2,557 天
     + **最長保留期：**2,557 天

1. 指定事件資料存放區的保留期。**一年可延長保留定價**選項的保留期可介於 7 天到 3,653 天 (約 10 年) 之間；或是**七年保留定價**選項，則可介於 7 天到 2,557 天 (約七年) 之間。

    CloudTrail Lake 會透過檢查事件的 `eventTime` 是否在指定保留期以內，決定是否要保留該事件。例如，如果您指定的保留期為 90 天，CloudTrail 將移除 `eventTime` 早於 90 天的事件。
**注意**  
如果事件的 `eventTime` 早於指定的保留期，則 CloudTrail 不會複製該事件。  
若要決定適當的保留期，請加總您要複製的最舊事件所經歷的天數與要在事件資料存放區中保留事件的天數 (**保留期** = *最舊事件所經歷天數* \$1 *保留天數*)。例如，如果您要複製的最舊事件為 45 天前的事件，並希望這些事件在事件資料存放區中再保留 45 天，則可以將保留期設為 90 天。

1. (選用) 在**加密**中，選擇您是否想要使用自己的 KMS 金鑰加密事件資料存放區。根據預設，事件資料存放區中的所有事件都會由 CloudTrail 使用為您 AWS 擁有和管理的 KMS 金鑰進行加密。

   若要啟用使用您自己的 KMS 金鑰加密，請選擇**使用我自己的 AWS KMS key**。選擇**新增**以為您 AWS KMS key 建立 ，或選擇**現有**以使用現有的 KMS 金鑰。在 **Enter KMS alias** (輸入 KMS 別名) 中，指定別名，格式為 `alias/`*MyAliasName*。使用您自己的 KMS 金鑰時，您必須編輯您的 KMS 金鑰政策，以允許對 CloudTrail 日誌進行加密和解密。如需詳細資訊，請參閱[設定 CloudTrail 的 AWS KMS 金鑰政策](create-kms-key-policy-for-cloudtrail.md)。CloudTrail 也支援 AWS KMS 多區域金鑰。如需多區域金鑰的詳細資訊，請參閱《AWS Key Management Service 開發人員指南》**中的[使用多區域金鑰](https://docs.aws.amazon.com/kms/latest/developerguide/multi-region-keys-overview.html)。

   使用您自己的 KMS 金鑰會產生加密和解密 AWS KMS 的成本。將事件資料存放區與 KMS 金鑰建立關聯後，就無法移除或變更 KMS 金鑰。
**注意**  
若要啟用組織事件資料存放區的 AWS Key Management Service 加密，您必須使用管理帳戶的現有 KMS 金鑰。

1. (選用) 如果您想使用 Amazon Athena 查詢自己的事件資料，請在 **Lake 查詢聯合**中選擇**啟用**。聯合可讓您在 AWS Glue [Data Catalog](https://docs.aws.amazon.com/glue/latest/dg/components-overview.html#data-catalog-intro) 中檢視與事件資料存放區相關聯的中繼資料，並在 Athena 中對事件資料執行 SQL 查詢。儲存在 AWS Glue Data Catalog 中的資料表中繼資料可讓 Athena 查詢引擎了解如何尋找、讀取和處理您要查詢的資料。如需詳細資訊，請參閱[聯合事件資料存放區](query-federation.md)。

   若要啟用 Lake 查詢聯合，請選擇**啟用**，然後執行下列動作：

   1. 選擇要建立新角色還是使用現有的 IAM 角色。[AWS Lake Formation](https://docs.aws.amazon.com/lake-formation/latest/dg/how-it-works.html) 會使用此角色來管理聯合事件資料存放區的許可。當您使用 CloudTrail 主控台建立新角色時，CloudTrail 會自動建立具有必要許可的角色。如果您選擇現有角色，請確認該角色的政策可提供[必要的最低許可](query-federation.md#query-federation-permissions-role)。

   1. 如果您要建立新角色，請輸入名稱以識別角色。

   1. 如果您要使用現有角色，請選擇想使用的角色。該角色必須存在於您的帳戶中。

1. （選用） 選擇**啟用資源政策**，將資源型政策新增至您的事件資料存放區。資源型政策可讓您控制哪些主體可對您的事件存放區執行動作。例如，您可以新增資源型政策，允許其他帳戶中的根使用者查詢此事件資料存放區並檢視查詢結果。如需範例政策，請參閱 [事件資料存放區的資源型政策範例](security_iam_resource-based-policy-examples.md#security_iam_resource-based-policy-examples-eds)。

   以資源為基礎的政策包含一或多個陳述式。政策中的每個陳述式都會定義允許或拒絕存取事件資料存放區的[委託人](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_principal.html)，以及委託人可以對事件資料存放區資源執行的動作。

   事件資料存放區的資源型政策支援下列動作：
   +  `cloudtrail:StartQuery` 
   +  `cloudtrail:CancelQuery` 
   +  `cloudtrail:ListQueries` 
   +  `cloudtrail:DescribeQuery` 
   +  `cloudtrail:GetQueryResults` 
   +  `cloudtrail:GenerateQuery` 
   +  `cloudtrail:GenerateQueryResultsSummary` 
   +  `cloudtrail:GetEventDataStore` 

   對於[組織事件資料存放區](cloudtrail-lake-organizations.md)，CloudTrail 會建立[預設的資源型政策](cloudtrail-lake-organizations.md#cloudtrail-lake-organizations-eds-rbp)，列出允許委派管理員帳戶在組織事件資料存放區上執行的動作。此政策中的許可衍生自 中的委派管理員許可 AWS Organizations。此政策會在組織事件資料存放區或組織變更後自動更新 （例如，CloudTrail 委派管理員帳戶已註冊或移除）。

1. (選用) 在**標籤**中，新增一或多個自訂標籤 (鍵值組) 至您的事件資料存放區。標籤可協助您識別 CloudTrail 事件資料存放區。例如，您可以附加名稱為 **stage**，值為 **prod** 的標籤。您可以使用標籤來限制對事件資料存放區的存取。您還可以使用標籤來追蹤事件資料存放區的查詢和擷取成本。

   如需有關如何使用標籤追蹤成本的資訊，請參閱 [為 CloudTrail Lake 事件資料存放區建立使用者定義的成本分配標籤](cloudtrail-budgets-tools.md#cloudtrail-lake-manage-costs-tags)。如需有關如何使用 IAM 政策，對以標籤為基礎的事件資料存放區授予存取權的資訊，請參閱 [範例：拒絕以標籤為基礎建立或刪除事件資料存放區的存取權限](security_iam_id-based-policy-examples.md#security_iam_id-based-policy-examples-eds-tags)。如需有關如何在 中使用標籤的資訊 AWS，請參閱[《標記 AWS 資源使用者指南](https://docs.aws.amazon.com/tag-editor/latest/userguide/tagging.html)*》中的標記您的 AWS 資源*。

1.  選擇 **Next** (下一步) 以設定事件資料存放區。

1.  在**選擇事件**頁面上，保留**事件類型**的預設選項。  
![\[選擇事件資料存放區的事件類型\]](http://docs.aws.amazon.com/zh_tw/awscloudtrail/latest/userguide/images/lake-event-type.png)

1. 對於 **CloudTrail 事件**，我們將維持選取**管理事件**，然後選擇**複製追蹤事件**。在此範例中，我們不關心事件類型，因為我們只使用事件資料存放區來分析過往事件，而不會擷取未來事件。

   如果您要建立事件資料存放區來取代現有的追蹤，選擇與追蹤相同的事件選取器，以確保事件資料存放區有相同的事件涵蓋範圍。  
![\[為您的事件資料存放區選擇 CloudTrail 事件類型\]](http://docs.aws.amazon.com/zh_tw/awscloudtrail/latest/userguide/images/cloudtrail-events-copy-trail.png)

1. 如果這是組織事件資料存放區，選擇**針對組織中的所有帳戶啟用**。除非您已在 AWS Organizations中設定帳戶，否則此選項將無法變更。
**注意**  
如果要建立組織事件資料存放區，您必須使用組織的管理帳戶登入，因為只有管理帳戶可以將追蹤事件複製到組織事件資料存放區。

1.  對於**其他設定**，我們將取消選取**擷取事件**，因為在此範例中，我們不希望事件資料存放區擷取任何未來事件，而且我們只對查詢複製的事件感興趣。根據預設，事件資料存放區會收集所有 的事件， AWS 區域 並在建立事件時開始擷取事件。

1. 對於**管理事件**，我們將保留預設設定。

1. 在**複製追蹤事件**區域中，完成下列步驟。

   1. 選擇您要複製的追蹤。在此範例中，我們將選擇名為 *management-events* 的追蹤。

      根據預設，CloudTrail 只會複製包含在 S3 儲存貯體`CloudTrail`字首和`CloudTrail`字首內的字首中的 CloudTrail 事件，而不會檢查其他服務的字首 AWS 。如果您要複製其他字首中包含的 CloudTrail 事件，請選擇 **Enter S3 URI** (輸入 S3 URI)，然後選擇 **Browse S3** (瀏覽 S3) 以瀏覽至字首。如果追蹤的來源 S3 儲存貯體使用 KMS 金鑰進行資料加密，請確保 KMS 金鑰政策允許 CloudTrail 解密資料。如果您的來源 S3 儲存貯體使用多個 KMS 金鑰，則必須更新每個金鑰的政策以允許 CloudTrail 解密儲存貯體中的資料。如需更新 KMS 金鑰政策的詳細資訊，請參閱 [用於解密來源 S3 儲存貯體中資料的 KMS 金鑰政策](cloudtrail-copy-trail-to-lake-eds.md#copy-trail-events-permissions-kms)。

   1. 選擇複製事件的時間範圍。CloudTrail 會在嘗試複製追蹤事件之前檢查字首和日誌檔案名稱，以確認名稱包含介於所選開始日期和結束日期之間的日期。您可以選擇 **Relative range** (相對範圍) 或 **Absolute range** (絕對範圍)。若要避免來源追蹤和目的地事件資料存放區之間發生重複事件，請選擇早於事件資料存放區建立日期的時間範圍。
      + 如果選擇**相對範圍**，您可以選擇複製過去 6 個月、1 年、2 年、7 年或自訂範圍內記錄的事件。CloudTrail 會複製所選時段內記錄的事件。
      + 如果選擇 **Absolute range** (絕對範圍)，您可以選擇特定的開始和結束日期。CloudTrail 會複製所選開始日期和結束日期之間發生的事件。

      在此範例中，我們將選擇**絕對範圍**，並選取整個 5 月。  
![\[選擇事件資料存放區的絕對範圍\]](http://docs.aws.amazon.com/zh_tw/awscloudtrail/latest/userguide/images/absolute-range-example.png)

   1. 對於 **Permissions** (許可)，從下列 IAM 角色選項中選擇。如果您選擇現有的 IAM 角色，請確認 IAM 角色政策提供必要的許可。如需更新 IAM 角色許可的詳細資訊，請參閱[複製追蹤事件的 IAM 許可](cloudtrail-copy-trail-to-lake-eds.md#copy-trail-events-permissions-iam)。
      + 選擇 **Create a new role (recommended)** (建立新角色 (建議使用)) 以建立新的 IAM 角色。對於 **Enter IAM role name** (輸入 IAM 角色名稱)，請輸入角色的名稱。CloudTrail 會自動為此新角色建立必要的許可。
      + 選擇**使用自訂 IAM 角色 ARN**，以使用未列出的自訂 IAM 角色。對於 **Enter IAM role ARN** (輸入 IAM 角色 ARN)，輸入 IAM ARN。
      + 從下拉式清單中選擇現有的 IAM 角色。

      在此範例中，我們將選擇**建立新角色 (建議)**，並命名為 **copy-trail-events**。  
![\[選擇複製 CloudTrail 事件的選項\]](http://docs.aws.amazon.com/zh_tw/awscloudtrail/latest/userguide/images/copy-trail-events.png)

1. 選擇 **Next** (下一步) 以檢閱您的選項。

1. 在 **Review and create** (檢閱和建立) 頁面上，檢閱您的選擇。選擇 **Edit** (編輯) 以對區段進行變更。當您準備建立事件資料存放區時，請選擇 **Create event data store** (建立事件資料存放區)。

1. 新的事件資料存放區出現在**事件資料存放區**頁面上的**事件資料存放區**表格中。  
![\[檢視事件資料存放區\]](http://docs.aws.amazon.com/zh_tw/awscloudtrail/latest/userguide/images/event-data-stores-table.png)

1. 選擇事件資料存放區名稱，以檢視其詳細資訊頁面。詳細資訊頁面顯示您的事件資料存放區的詳細資訊以及複製狀態。事件複製狀態顯示在**事件複製狀態**區域中。

   追蹤事件複製完成時，如果沒有錯誤，則其 **Copy status** (複製狀態) 設定為 **Completed** (完成)；如果發生錯誤，則設定為 **Failed** (失敗)。  
![\[在詳細資訊頁面上檢視事件複製狀態\]](http://docs.aws.amazon.com/zh_tw/awscloudtrail/latest/userguide/images/event-copy-status.png)

1. 若要檢視有關複製的詳細資訊，請在**事件日誌 S3 位置**欄中選擇複製名稱，或者選擇**動作**選單中**檢視詳細資訊**選項。如需檢視追蹤事件複製之詳細資訊，請參閱 [使用 CloudTrail 主控台檢視事件複本詳細資訊](copy-trail-details.md)。  
![\[檢視事件複製詳細資訊\]](http://docs.aws.amazon.com/zh_tw/awscloudtrail/latest/userguide/images/copy-details.png)

1.  **複製失敗**區域會顯示複製追蹤事件時發生的任何錯誤。如果 **Copy status** (複製狀態) 是 **Failed** (失敗)，修正 **Copy failures** (複製失敗) 中顯示的任何錯誤，接著選擇 **Retry copy** (重試複製)。當您重試複製時，CloudTrail 會在發生失敗的位置繼續複製。