記錄使用 VPC 端點的 AWS KMS 請求

AWS CloudTrail 會記錄使用 VPC 端點的所有操作。當請求 AWS KMS 使用 VPC 端點時，VPC 端點 ID 會出現在記錄請求的AWS CloudTrail 日誌項目中。您可以使用端點 ID 稽核 AWS KMS VPC 端點的使用。

不過，您的 CloudTrail 日誌不包含其他帳戶中主體所請求的操作，或對其他帳戶中 KMS 金鑰和別名所請求 AWS KMS 的操作。此外，為了保護您的 VPC，被 VPC 端點政策拒絕，但在其他情況下已允許的請求不會記錄在 中AWS CloudTrail。

例如，此範例日誌項目中會記錄使用 VPC 端點的 GenerateDataKey 請求。vpcEndpointId 欄位出現在日誌項目結尾。

{
  "eventVersion":"1.05",
  "userIdentity": {
    "type": "IAMUser",
    "principalId": "EX_PRINCIPAL_ID",
    "arn": "arn:aws:iam::111122223333:user/Alice",
    "accessKeyId": "EXAMPLE_KEY_ID",
    "accountId": "111122223333",
    "userName": "Alice"
  },
  "eventTime":"2018-01-16T05:46:57Z",
  "eventSource":"kms.amazonaws.com",
  "eventName":"GenerateDataKey",
  "awsRegion":"eu-west-1",
  "sourceIPAddress":"172.01.01.001",
  "userAgent":"aws-cli/1.14.23 Python/2.7.12 Linux/4.9.75-25.55.amzn1.x86_64 botocore/1.8.27",
  "requestParameters":{
    "keyId":"1234abcd-12ab-34cd-56ef-1234567890ab",
    "numberOfBytes":128
  },
  "responseElements":null,
  "requestID":"a9fff0bf-fa80-11e7-a13c-afcabff2f04c",
  "eventID":"77274901-88bc-4e3f-9bb6-acf1c16f6a7c",
  "readOnly":true,
  "resources":[{
    "ARN":"arn:aws:kms:eu-west-1:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab",
    "accountId":"111122223333",
    "type":"AWS::KMS::Key"
  }],
  "eventType":"AwsApiCall",
  "recipientAccountId":"111122223333",
  "vpcEndpointId": "vpce-1234abcdf5678c90a"
}