问题标签 [amazon-cloudtrail]

我目前正在使用日志收集产品，并希望能够从 AWS 中提取我的 CloudTrail 日志。我开始使用 boto3 客户端来查找 CloudTrail 中的事件。当我直接从命令行运行脚本时，我让脚本正常工作，但是一旦我尝试将它放入 cron 以随着时间的推移自动提取日志，它就停止收集日志！

以下是脚本中提取日志的基本内容示例：

我对其进行了更多研究并进行了一些测试，以确认目标文件的权限正确，并且脚本可以在从 root 的 crontab 运行时写入它们，但我仍然没有从 boto cloudtrail 客户端返回日志，除非我手动运行它。

我还检查以确保从 /root/.aws/config 正确读取默认区域并且看起来是这样，因为如果我移动它，我会看到 cron 电子邮件显示堆栈跟踪而不是我拥有的成功消息内置。

我希望有人已经遇到过这个问题，这是一个快速简单的答案！

编辑：通过实例的 IAM 角色允许对 cloudtrail 日志的权限，是的，任务安排在根的 crontab 下。

这是电子邮件输出：

我们可以看到读取事务正在打破 dynamodb 阈值。我想看看是什么查询使这种高利用率。我正在寻找一些报告，如甲骨文中的 AWR。有什么建议么

我有一个 AWS ElasticTranscoder 设置，它在接收到作业后，会为每个作业（'Progressing'、'Error'、'Warning'等）生成状态事件消息到 SNS。SNS 连接到我的消费者服务使用的 SQS 队列。

我想记录作业的状态，即当作业出错时，我希望记录 ElasticTranscoder 发送的事件消息。有没有办法使用 Cloudtrail 做到这一点？还是应该在我的消费者消费消息时发生？

在 AWS 中构建了一个运行在 RHEL 7.2 上的 ELK 服务器。计划是让它从 S3 存储桶中摄取 cloudtrail 日志，然后在 kibana 前端执行魔法，但它不起作用，我已经失去了几天的生命试图解决它，因此我为什么要寻求一些帮助. 我可以从我的 logstash.log 中看到它正在读取 S3 存储桶中的文件，但仅此而已。似乎没有其他事情发生。

我的设置：

root@elk conf.d]# 猫 *

我不知道应该如何在 logstash 输出中定义索引，但我可以在 kibana 前端搜索它并选择 3 个时间范围选项之一，但不知道这意味着什么。我应该有 sniffing = true 吗？我应该定义动作 => 创建吗？我应该在 logstash 输入和输出中都定义 cloudtrail 编解码器吗？

谁能告诉我“插件未在命名空间中定义，检查插件文件”是什么意思？即使安装了所有必需的插件，在我看来它也找不到插件（我认为）

这是我手动启动logstash时的输出......但这对我来说意义不大......

当logstash.log一直说method =>“list_new_files”时是什么意思，这是否意味着它正忙于重新读取S3存储桶（每次logstash停止/启动）？

我知道这是很多问题，但我想在将这个设置扔进垃圾箱之前我会尝试寻求一些帮助。

谢谢

我正在尝试使用 Go SDK 创建一个 cloudtrail。按照 AWS 文档成功连接 AWS 没有任何问题。

我按照以下步骤创建跟踪

Step1 - 创建 S3 存储桶，以便所有跟踪日志文件都可以放在此存储桶中。

CreateS3Bucket：代码

成功响应：

第 2 步 - 创建 CloudTrail

CreateCloudTrail： 代码

回复

谁能告诉我我在哪里做错了。创建 Trail 时我需要指定什么 S3 策略

非常感谢任何帮助/建议

参考： https ://docs.aws.amazon.com/sdk-for-go/api/service/cloudtrail/#CloudTrail.CreateTrail

https://docs.aws.amazon.com/sdk-for-go/api/service/s3/#S3.CreateBucket

我们有大量的 EC2 实例在 AWS 中运行了大约 1 年。现在我们正在尝试根据我们启动实例所使用的用户名对未使用的实例执行清理活动。

我尝试从 S3 Bucket 下载 cloudtrail 日志并尝试过滤用户名和“RunInstances”事件，以便我可以找到启动实例的用户以及实例详细信息。

以下是我用来将所有 cloudtrail 日志下载到单个文件夹中的脚本，解压缩它们并通过“RunInstances”事件过滤实例并给出实例计数。

我需要帮助从每个带有“RunInstances”事件的日志中检索用户名并停止实例。

我的脚本：

无论如何我可以在不下载 zip 文件并直接从 s3 存储桶本身获取信息的情况下做到这一点吗？因为这需要很多时间，因为我们有大约 100 万个日志文件。

我需要一种方法来使用任何编程语言或脚本来解决这个问题。

谢谢你的支持。

可以使用以下解决方案，但想知道是否有更好的方法。

工作解决方案

• CustomerA（Cloudtrails）---> CustomerA（Cloudwatch）--> Master（S3 Bucket）--> Master（Lambda）--> Master（Kinesis）

尝试了以下，但无法让这些工作（这些可能吗？）

• CustomerA( Cloudtrails ) --> CustomerA ( Cloudwatch ) --> Master ( Lambda )

• CustomerA( Cloudtrails ) --> CustomerA ( Cloudwatch ) --> Master (
  Kinesis )

我想在网站上注册免费试用，但正如我所见，他们想要我一张信用卡，不幸的是我没有信用卡（因为我的国家的条件无法获得它），还有没有不用信用卡怎么注册？

我有 4 个 aws 帐户，出于安全目的，我想将所有日志集中到一个帐户中。

这意味着将来自帐户 prod、dev 和 perf 的 cloudwatch 日志收集到一个名为 logs 的帐户中。理想情况下，它们最终会出现在帐户日志中的 cloudwatch 中，因此我可以使用 ELK 轻松处理它们。

我在这里读到了它：

http://docs.aws.amazon.com/AmazonCloudWatch/latest/logs/CrossAccountSubscriptions.html

但我找不到关于如何简单地设置整个堆栈的教程。

任何建议，将不胜感激。

我正在尝试创建一个将启用 CloudTrail 的 CloudFormation 脚本，并为用户提供一个选项来创建一个新的 S3 存储桶并使用它，或者使用当前现有的 S3 存储桶。我是 AWS 的新手，所以我有点迷茫。这是我采取和修改的一些代码，到目前为止没有添加条件等。

}