问题标签 [amazon-cloudtrail]

我需要帮助才能通过 REST API 从 AWS CloudTrail 获取日志。我怎样才能获得这个 REST API？我将在我的 python 代码中使用 restAPI。

我让 Athena 能够使用 Terraform 查询 Cloudtrail s3 日志。为此，我需要在 Glue Catalog 中创建数据库和表。我正在关注这个链接。

在 Terraform 中，我正在使用aws_glue_catalog_table resource. 如何在 terraform 文件中定义类型为 struct 和 Array 的列？

我尝试定义以下方式但没有奏效。

当我运行terraform init它会引发以下错误： Error: Error parsing test.tf: At 33:27: illegal char

我正在尝试创建一个亚马逊 cloudWatch 规则，该规则在将对象上传到存储桶时触发。我知道要做到这一点，我需要在 PutObject 事件上触发，但最好我能说这需要在存储桶上启用对象级别的日志记录。我将使用大量存储桶并希望能够自动化该过程，并且由于大多数系统是如何使用 boto3 设置的，这似乎是最有意义的。那么如何使用 boto3 打开对象级日志记录呢？

到目前为止，我能找到的唯一 AWS 官方资源是：如何使用 AWS CloudTrail 数据事件为 S3 存储桶启用对象级日志记录？

其中解释了如何通过 GUI 启用对象级日志记录。我还查看了boto3 库文档

根据我的理解，两者最终都没有帮助。

我的主要目标是通过 boto3 启用对象级日志记录，如果可以的话。

我试图找出 AD 用户的使用情况，通过 AssumeRoleWithSAML 使用 AWS，遵循这个墨水，https: //aws.amazon.com/blogs/security/how-to-easily-identify-your-federated-users-by -使用-aws-cloudtrail/。

但是，我在 Cloudtrails 中根本看不到 AssumeRoleWithSAML 事件，尽管我可以清楚地看到该用户的活动。我一直到 7 月初在 cloudtrail 中查找 AssumeRoleWithSaml 并没有看到任何事件。

我错过了什么吗？这个事件的 Bcos 没有到来，我无法关联该用户在 AWS 中所做的事情。

谢谢阿米特

如何使用 CloudTrail 或 CloudWatch 等 AWS 服务来检查哪个用户执行了事件DeleteObject？

我可以使用 S3 事件向 SNS 发送删除事件，以通知电子邮件地址特定文件已从 S3 存储桶中删除，但该消息不包含执行此操作的用户名。

我可以使用 CloudTrail 将与 S3 存储桶相关的所有事件记录到另一个存储桶，但我进行了测试，它记录了许多详细信息，并且只有事件PutObject而不是DeleteObject.

有什么简单的方法可以监控 S3 存储桶以找出哪个用户删除了哪个文件？

8 月 19 日更新

按照沃尔特在下面的回答，我能够记录该DeleteObject事件。但是，我只能获取 . 的文件名 ( requestParameters.key ) PutObject，而不能获取DeleteObjects.

看起来其他人也有同样的问题，AWS 正在解决这个问题：https ://forums.aws.amazon.com/thread.jspa?messageID=799831

我正在创建一个 cloudformation 堆栈，其中模板创建 Cloud Trail，然后创建 S3 存储桶并将所有日志推送到 S3 存储桶。

我已尝试创建 Cloud trail、s3 存储桶并尝试将 s3 存储桶策略附加到存储桶

无效条件类型：StringsEquals（服务：Amazon S3；状态代码：400；错误代码：MalformedPolicy；请求 ID：F7439B111E82A3FA；S3 扩展请求 ID：IGU1L7BB77WcrhPtmydd5j6viQdMK0vqA3Qo4RTS209FAvjT3q6wBIsyabdt5B7pBFvdr2MT+sM=）

我已将 AWS CloudTrail 设置为通过跟踪将日志发送到 CloudWatch。我现在如何控制从 CloudTrail 发送到 CloudWatch 的日志类型？

例如，如果我只想让与“EC2 实例”相关的日志从 CloudTrail 传输到 CloudWatch，该怎么办？

如何使用 logstash 忽略旧文件并仅从 S3 推送最新的日志文件。我们正在使用 logstash 将 cloudtaril 日志从 s3 推送到 elasticsearch。Cloudtrail 日志采用以下格式

/AWSLogs/CloudTrail/xxxAccount Numberxxxx/aws-region/year(YYYY)/Month(MM)/day(DD)/

我只需要提取最新数据（例如当月的数据），因为整个存储桶都有大量 TB 的数据，而 Logstash 无法扩展那么多数据。有没有办法做到这一点？

在 AWS S3 中，您可以访问控制台并将“对象级日志记录”添加到存储桶。您创建或选择预先存在的跟踪并选择读取和写入日志类型。

现在我正在通过 Yaml CloudFormation 创建存储桶，并希望向这些存储桶添加一个预先存在的跟踪（或创建一个新跟踪）。我怎么做？我找不到任何例子。

AWS CloudTrail Events 具有一项功能，可在 AWS 账户中自动打开审计跟踪并将数据保留几天。由于某些合规性，希望关闭此功能。

1. 有什么办法可以关闭它吗？
2. 是否有任何 API 可以删除日志？