问题标签 [amazon-cloudtrail]

下图是我想要实现的。简而言之，将 CloudTrail 日志发送到 CloudWatch 日志组，然后对其进行扫描以查找某些事件，最后在发生协同事件时发送电子邮件警报。

我正在关注这个官方文档，其中也有一个示例 CloudFormation 模板：http ://docs.aws.amazon.com/awscloudtrail/latest/userguide/use-cloudformation-template-to-create-cloudwatch-alarms.html

使用上面的 CloudFormation 模板，我已经能够发送电子邮件警报。然而，警报是非常基本的；它不会发送关键信息，例如哪个用户发起了此事件、何时​​发生等。

逻辑思维AWS::Logs::MetricFilter应该传递值AWS::CloudWatch::Alarm，然后将信息发送到该值。我查看了两者的文档MetricFilter和Alarm服务。Dimension更接近我想要的，但还不能从日志中读取信息。

我原以为这是一个常见的用例，并且会有文档。我在这里错过了什么明显的东西吗？这里有人解决了这个问题吗？

AWS::Logs::MetricFilter堵塞：

AWS::CloudWatch::Alarm堵塞

我设置了一个 SNS 通知，以便在 IAM 政策发生变化时向我发送电子邮件。发生更改时，CloudTrail 会向 CloudWatch 发送日志，触发附加到 SNS 主题的警报。此链接中的更多详细信息。

这是我通过邮件收到的示例：

这里唯一相关的信息是AWS Account ID. 有没有办法也包括变化？谁制作的，何时何地？或者可能从 cloudwatch 日志中发送少量信息，例如"eventName"？

我正在研究从 CloudTrail 获取事件并分析它们的 lambda 函数。

我有这个脚本：

我无法摆脱事件的价值userName和arn。我收到此错误：

如何使它工作？什么是正确的方法？

这是json字符串：

是否可以在 7 天之前和激活 CloudTrail 之前恢复我的 AWS 账户的访问登录？

我需要知道 2017 年所有访问我帐户的 IP。

谢谢你。

基于 AWS Docs - 似乎 Config 会告诉您所做的配置更改，而不是实际更改的人。真的吗？如果我们如何找到做出改变的人 - Cloud Trail？

我可以只使用 Cloud Trail，单独使用而不使用 Config，因为它有什么/何时/谁？还是 Config + Cloud Trail 是最佳组合。

我想在 CloudWatch 上创建一个指标过滤器和一个基于它的警报，以通知我有关 S3 事件的信息，特别是当文件或存储桶设置为公共时。这是我用来创建指标的指标过滤器：

{ ($.eventSource = s3.amazonaws.com) && (($.eventName = PutBucketAcl) || ($.eventName = PutObjectAcl)) && (($.requestParameters.AccessControlPolicy.AccessControlList.Grant.Grantee.type = Group) )}

我pattern通过输入以下内容对此进行了测试Custom log data：

我单击了测试模式并收到此消息：

结果在示例日志中的 50 个事件中找到 0 个匹配项。

是metric filter正确的吗？我应该有一个结果，但它没有出现。

对于 AWS Auditor 角色，我们是否需要提供 AWSCloudTrailFullAccess 或足以提供 AWSCloudTrailReadOnlyAccess？

我是 AWS CloudTrail 的新手。我浏览了许多 aws 文档，但无法弄清楚如何在不配置跟踪或不收费的情况下通过程序读取 cloudtrails 过去 7 天的日志。

我想编写一个 java 程序，它将从 aws 读取审计日志并处理这些日志。我知道我们可以创建跟踪，我们可以使用程序从 aws s3 存储桶读取日志，但我不知道如何使用 aws sdk api 读取过去 7 天的日志，就像我们如何在 aws 控制台上获取日志一样（我们可以读取最后 7天审计日志免费。）。

我们可以使用-cloudtrail-processing-library 来完成这项工作，但是这个库的属性/配置文件需要sqs url 作为我没有的参数，而不是我不知道。

请帮助我，以便我可以编写java程序。

问候， 萨钦

之前有没有人将 AWS CloudTrail 数据导入 OMS Log Analytics？由于 CloudTrail 将其数据存储在 S3 存储桶中，我不得不相信有办法做到这一点。

是否可以通过管理控制台在 s3 中上传或删除文件时进行记录？据我所知，CloudTrail 允许通过 API 调用以及一些管理控制台操作（例如登录控制台）对事件进行对象级日志记录。但我不知道如何通过控制台记录上传/删除。谢谢！