本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。
# 使用 記錄 Amazon EFS API 呼叫 AWS CloudTrail
Amazon EFS 已與 服務整合 AWS CloudTrail，此服務提供由 Amazon EFS AWS 中的使用者、角色或服務所採取之動作的記錄。CloudTrail 將 Amazon EFS 的所有 API 呼叫擷取為事件，包括來自 Amazon EFS 主控台的呼叫以及來自對 Amazon EFS API 操作發出的程式碼呼叫。
如果您建立追蹤，就可以將 CloudTrail 事件 (包括 Amazon EFS 的事件) 持續交付到 Amazon S3 儲存貯體。即使您未設定追蹤，依然可以透過 CloudTrail 主控台中的**事件歷史記錄**檢視最新事件。您可以利用 CloudTrail 所收集的資訊來判斷向 Amazon EFS 發出的請求，以及發出請求的 IP 地址、人員、時間和其他詳細資訊。
如需詳細資訊，請參閱*AWS CloudTrail 《 使用者指南*》中的[什麼是 AWS CloudTrail？](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/)。
## CloudTrail 中的 Amazon EFS 資訊
當您建立帳戶 AWS 帳戶 時，您的 上會啟用 CloudTrail。當活動在 Amazon EFS 中發生時，該活動會與**事件歷史記錄**中的其他 AWS 服務事件一起記錄在 CloudTrail 事件中。您可以在 中檢視、搜尋和下載最近的事件 AWS 帳戶。如需詳細資訊，請參閱[使用 CloudTrail 事件歷史記錄](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/view-cloudtrail-events.html)。
若要持續記錄 中的事件 AWS 帳戶，包括 Amazon EFS 的事件，請建立追蹤。線索能讓 CloudTrail 將日誌檔案交付至 Amazon S3 儲存貯體。根據預設，當您在主控台中建立線索時，線索會套用至所有 AWS 區域。線索會記錄 AWS 分割區 AWS 區域 中所有 的事件，並將日誌檔案傳送到您指定的 Amazon S3 儲存貯體。此外，您可以設定其他 AWS 服務，以進一步分析和處理 CloudTrail 日誌中所收集的事件資料。如需詳細資訊，請參閱《*AWS CloudTrail 使用者指南*》中的以下主題：
+ [為 AWS 您的帳戶建立追蹤](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/cloudtrail-create-and-update-a-trail.html)
+ [AWS 服務與 CloudTrail 日誌的整合](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/cloudtrail-aws-service-specific-topics.html#cloudtrail-aws-service-specific-topics-integrations)
+ [設定 CloudTrail 的 Amazon SNS 通知](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/configure-sns-notifications-for-cloudtrail.html)
+ [接收多個區域的 CloudTrail 日誌檔案](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/receive-cloudtrail-log-files-from-multiple-regions.html)及[接收多個帳戶的 CloudTrail 日誌檔案](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/cloudtrail-receive-logs-from-multiple-accounts.html)
CloudTrail [Amazon EFS API](api-reference.md)會記錄所有 Amazon EFS。例如，對 `CreateFileSystem`、`CreateMountTarget` 和 `CreateTags` 作業的呼叫都會在 CloudTrail 日誌檔案中產生項目。
每一筆事件或日誌專案都會包含產生請求者的資訊。身分資訊可協助您判斷下列事項：
+ 請求是使用根使用者還是 AWS Identity and Access Management (IAM) 使用者登入資料提出。
+ 提出該請求時，是否使用了特定角色或聯合身分使用者的暫時安全憑證。
+ 請求是否由其他 AWS 服務提出。
如需詳細資訊，請參閱《AWS CloudTrail 使用者指南》**中的 [CloudTrail userIdentity 元素](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/cloudtrail-event-reference-user-identity.html)。
## 了解 Amazon EFS 日誌檔案項目
*追蹤*是一種組態，能讓事件以日誌檔案的形式交付到您指定的 Amazon S3 儲存貯體。CloudTrail 日誌檔案包含一或多個日誌專案。一個*事件*為任何來源提出的單一請求，並包含請求動作、請求的日期和時間、請求參數等資訊。CloudTrail 日誌檔並非依公有 API 呼叫的堆疊追蹤排序，因此不會以任何特定順序出現。
下列範例顯示的 CloudTrail 日誌項目，示範從主控台建立之檔案系統標籤時的 `CreateTags` 操作。
```
{
"eventVersion": "1.06",
"userIdentity": {
"type": "Root",
"principalId": "111122223333",
"arn": "arn:aws:iam::111122223333:root",
"accountId": "111122223333",
"accessKeyId": "AKIAIOSFODNN7EXAMPLE",
"sessionContext": {
"attributes": {
"mfaAuthenticated": "false",
"creationDate": "2017-03-01T18:02:37Z"
}
}
},
"eventTime": "2017-03-01T19:25:47Z",
"eventSource": "elasticfilesystem.amazonaws.com",
"eventName": "CreateTags",
"awsRegion": "us-west-2",
"sourceIPAddress": "192.0.2.0",
"userAgent": "console.amazonaws.com",
"requestParameters": {
"fileSystemId": "fs-00112233",
"tags": [{
"key": "TagName",
"value": "AnotherNewTag"
}
]
},
"responseElements": null,
"requestID": "dEXAMPLE-feb4-11e6-85f0-736EXAMPLE75",
"eventID": "eEXAMPLE-2d32-4619-bd00-657EXAMPLEe4",
"eventType": "AwsApiCall",
"apiVersion": "2015-02-01",
"recipientAccountId": "111122223333"
}
```
下列範例顯示的 CloudTrail 日誌項目，示範從主控台刪除之檔案系統標籤時的 `DeleteTags` 動作。
```
{
"eventVersion": "1.06",
"userIdentity": {
"type": "Root",
"principalId": "111122223333",
"arn": "arn:aws:iam::111122223333:root",
"accountId": "111122223333",
"accessKeyId": "AKIAIOSFODNN7EXAMPLE",
"sessionContext": {
"attributes": {
"mfaAuthenticated": "false",
"creationDate": "2017-03-01T18:02:37Z"
}
}
},
"eventTime": "2017-03-01T19:25:47Z",
"eventSource": "elasticfilesystem.amazonaws.com",
"eventName": "DeleteTags",
"awsRegion": "us-west-2",
"sourceIPAddress": "192.0.2.0",
"userAgent": "console.amazonaws.com",
"requestParameters": {
"fileSystemId": "fs-00112233",
"tagKeys": []
},
"responseElements": null,
"requestID": "dEXAMPLE-feb4-11e6-85f0-736EXAMPLE75",
"eventID": "eEXAMPLE-2d32-4619-bd00-657EXAMPLEe4",
"eventType": "AwsApiCall",
"apiVersion": "2015-02-01",
"recipientAccountId": "111122223333"
}
```
### EFS 服務連結角色的日誌項目
Amazon EFS 服務連結角色會對 AWS 資源進行 API 呼叫。對於由 EFS 服務連結角色進行的呼叫，您將看到搭配 `username: AWSServiceRoleForAmazonElasticFileSystem` 的 CloudTrail 日誌項目。如需 EFS 和服務連結角色的詳細資訊，請參閱 [使用 Amazon EFS 的服務連結角色](using-service-linked-roles.md)。
下列範例顯示的 CloudTrail 日誌項目，是示範 Amazon EFS 建立 AWSServiceRoleForAmazonElasticFileSystem 服務連結角色時的 `CreateServiceLinkedRole` 動作。
```
{
"eventVersion": "1.05",
"userIdentity": {
"type": "IAMUser",
"principalId": "111122223333",
"arn": "arn:aws:iam::111122223333:user/user1",
"accountId": "111122223333",
"accessKeyId": "A111122223333",
"userName": "user1",
"sessionContext": {
"attributes": {
"mfaAuthenticated": "false",
"creationDate": "2019-10-23T22:45:41Z"
}
},
"invokedBy": "elasticfilesystem.amazonaws.com”
},
"eventTime": "2019-10-23T22:45:41Z",
"eventSource": "iam.amazonaws.com",
"eventName": "CreateServiceLinkedRole",
"awsRegion": "us-east-1",
"sourceIPAddress": "192.0.2.0",
"userAgent": "user_agent",
"requestParameters": {
"aWSServiceName": "elasticfilesystem.amazonaws.com”
},
"responseElements": {
"role": {
"assumeRolePolicyDocument": "111122223333-10-111122223333Statement111122223333Action111122223333AssumeRole111122223333Effect%22%3A%20%22Allow%22%2C%20%22Principal%22%3A%20%7B%22Service%22%3A%20%5B%22 elasticfilesystem.amazonaws.com%22%5D%7D%7D%5D%7D",
"arn": "arn:aws:iam::111122223333:role/aws-service-role/elasticfilesystem.amazonaws.com/AWSServiceRoleForAmazonElasticFileSystem",
"roleId": "111122223333",
"createDate": "Oct 23, 2019 10:45:41 PM",
"roleName": "AWSServiceRoleForAmazonElasticFileSystem",
"path": "/aws-service-role/elasticfilesystem.amazonaws.com/“
}
},
"requestID": "11111111-2222-3333-4444-abcdef123456",
"eventID": "11111111-2222-3333-4444-abcdef123456",
"eventType": "AwsApiCall",
"recipientAccountId": "111122223333"
}
```
下列範例顯示 CloudTrail 日誌項目，示範 `AWSServiceRoleForAmazonElasticFileSystem`服務連結角色所採取`CreateNetworkInterface`的動作，如 中所述`sessionContext`。
```
{
"eventVersion": "1.05",
"userIdentity": {
"type": "AssumedRole",
"principalId": "AIDACKCEVSQ6C2EXAMPLE",
"arn": "arn:aws:sts::0123456789ab:assumed-role/AWSServiceRoleForAmazonElasticFileSystem/0123456789ab",
"accountId": "0123456789ab",
"sessionContext": {
"sessionIssuer": {
"type": "Role",
"principalId": "AIDACKCEVSQ6C2EXAMPLE",
"arn": "arn:aws:iam::0123456789ab:role/aws-service-role/elasticfilesystem.amazonaws.com/AWSServiceRoleForAmazonElasticFileSystem",
"accountId": "0123456789ab",
"userName": "AWSServiceRoleForAmazonElasticFileSystem"
},
"webIdFederationData": {},
"attributes": {
"mfaAuthenticated": "false",
"creationDate": "2019-10-23T22:50:05Z"
}
},
"invokedBy": "AWS Internal"
},
"eventTime": "20You 19-10-23T22:50:05Z",
"eventSource": "ec2.amazonaws.com",
"eventName": "CreateNetworkInterface",
"awsRegion": "us-east-1",
"sourceIPAddress": "elasticfilesystem.amazonaws.com”,
"userAgent": "elasticfilesystem.amazonaws.com",
"requestParameters": {
"subnetId": "subnet-71e2f83a",
"description": "EFS mount target for fs-1234567 (fsmt-1234567)",
"groupSet": {},
"privateIpAddressesSet": {}
},
"responseElements": {
"requestId": "0708e4ad-03f6-4802-b4ce-4ba987d94b8d",
"networkInterface": {
"networkInterfaceId": "eni-0123456789abcdef0",
"subnetId": "subnet-12345678",
"vpcId": "vpc-01234567",
"availabilityZone": "us-east-1b",
"description": "EFS mount target for fs-1234567 (fsmt-1234567)",
"ownerId": "666051418590",
"requesterId": "0123456789ab",
"requesterManaged": true,
"status": "pending",
"macAddress": "00:bb:ee:ff:aa:cc",
"privateIpAddress": "192.0.2.0",
"privateDnsName": "ip-192-0-2-0.ec2.internal",
"sourceDestCheck": true,
"groupSet": {
"items": [
{
"groupId": "sg-c16d65b6",
"groupName": "default"
}
]
},
"privateIpAddressesSet": {
"item": [
{
"privateIpAddress": "192.0.2.0",
"primary": true
}
]
},
"tagSet": {}
}
},
"requestID": "11112222-3333-4444-5555-666666777777",
"eventID": "aaaabbbb-1111-2222-3333-444444555555",
"eventType": "AwsApiCall",
"recipientAccountId": "111122223333"
}
```
### EFS 身分驗證的日誌項目
NFS 用戶端的 Amazon EFS 授權會發出 `NewClientConnection` 和 `UpdateClientConnection` CloudTrail 事件。在初始連線之後和重新連線之後立即授權連連線時，就會發出 `NewClientConnection` 事件。系統重新授權鏈接且已更改允許的動作時，將發出 `UpdateClientConnection`。允許的動作新清單不包含 `ClientMount` 時，也會發出該事件。如需 EFS 授權的詳細資訊，請參閱 [使用 IAM 控制檔案系統的存取](iam-access-control-nfs-efs.md)。
以下範例顯示展示 `NewClientConnection` 事件的 CloudTrail 日誌項目。
```
{
"eventVersion": "1.05",
"userIdentity": {
"type": "AssumedRole",
"principalId": "AIDACKCEVSQ6C2EXAMPLE",
"arn": "arn:aws:sts::0123456789ab:assumed-role/abcdef0123456789",
"accountId": "0123456789ab",
"accessKeyId": "AKIAIOSFODNN7EXAMPLE ",
"sessionContext": {
"sessionIssuer": {
"type": "Role",
"principalId": "AIDACKCEVSQ6C2EXAMPLE",
"arn": "arn:aws:iam::0123456789ab:role/us-east-2",
"accountId": "0123456789ab",
"userName": "username"
},
"webIdFederationData": {},
"attributes": {
"mfaAuthenticated": "false",
"creationDate": "2019-12-23T17:50:16Z"
},
"ec2RoleDelivery": "1.0"
}
},
"eventTime": "2019-12-23T18:02:12Z",
"eventSource": "elasticfilesystem.amazonaws.com",
"eventName": "NewClientConnection",
"awsRegion": "us-east-2",
"sourceIPAddress": "AWS Internal",
"userAgent": "elasticfilesystem",
"requestParameters": null,
"responseElements": null,
"eventID": "27859ac9-053c-4112-aee3-f3429719d460",
"readOnly": true,
"resources": [
{
"accountId": "0123456789ab",
"type": "AWS::EFS::FileSystem",
"ARN": "arn:aws:elasticfilesystem:us-east-2:0123456789ab:file-system/fs-01234567"
},
{
"accountId": "0123456789ab",
"type": "AWS::EFS::AccessPoint",
"ARN": "arn:aws:elasticfilesystem:us-east-2:0123456789ab:access-point/fsap-0123456789abcdef0"
}
],
"eventType": "AwsServiceEvent",
"recipientAccountId": "0123456789ab",
"serviceEventDetails": {
"permissions": {
"ClientRootAccess": true,
"ClientMount": true,
"ClientWrite": true
},
"sourceIpAddress": "10.7.3.72"
}
}
```
## 靜態加密檔案系統的 Amazon EFS 日誌檔案項目
Amazon EFS 提供下列檔案系統的選項：使用靜態加密、傳輸中加密或兩者。如需詳細資訊，請參閱[Amazon EFS 的資料加密](encryption.md)。
Amazon EFS 會在提出 AWS KMS API 請求以產生資料金鑰和解密 Amazon EFS 資料時傳送[加密內容](https://docs.aws.amazon.com/kms/latest/developerguide/concepts.html#encrypt_context)。檔案系統 ID 是靜態加密之所有檔案系統的加密內容。在 CloudTrail 日誌項目的 `requestParameters` 欄位中，加密內容類似下列内容：
```
"EncryptionContextEquals": {}
"aws:elasticfilesystem:filesystem:id" : "{{fs-4EXAMPLE}}"
```