Pourquoi les actions d'API au niveau des objets Amazon S3 n'apparaissent-elles pas dans mon historique d’événements CloudTrail ?

Brève description

Les actions d'API au niveau des objets Amazon S3 sont des événements de données CloudTrail. Par défaut, les journaux de suivi n'enregistrent pas les événements de données, et les événements de données ne sont pas visibles dans l'historique des événements CloudTrail.

Pour afficher les actions d'API Amazon S3 au niveau des objets après avoir activé la journalisation des événements de données, vous devez interroger vos journaux CloudTrail.

Pour interroger les journaux CloudTrail concernant les actions d'API au niveau des objets, utilisez l'une des méthodes suivantes :

• Modèles de filtre des journaux Amazon CloudWatch
• Requêtes Amazon Athena

Pour plus d'informations, consultez la section Journalisation des appels d'API Amazon S3 à l'aide d'AWS CloudTrail.

Remarque : Si vous configurez d'autres sources de données pour le même compartiment S3 que votre journal de suivi, les journaux sont combinés aux événements CloudTrail.

Résolution

Utiliser les modèles de filtre de journaux CloudWatch pour afficher les actions d'API au niveau des objets

Pour rechercher des actions d'API au niveau des objets dans vos journaux CloudWatch, suivez les instructions de la section Rechercher dans les données de journaux à l'aide de modèles de filtre.

Par exemple, utilisez la syntaxe suivante pour rechercher toutes les actions d’API DeleteBucket :

{$.eventName = "DeleteBucket"}

Utiliser les requêtes Athena pour afficher les actions d'API au niveau des objets

Avant de pouvoir utiliser Athena pour interroger vos journaux CloudTrail, vous devez configurer un journal pour écrire les journaux dans un compartiment Amazon S3. Les journaux CloudTrail peuvent être interrogés pendant une période maximale de 90 jours. Pour interroger les journaux, suivez les instructions de la section Comment puis-je créer automatiquement des tables dans Amazon Athena pour effectuer des recherches dans les journaux AWS CloudTrail ?

Par exemple, exécutez la requête suivante pour rechercher toutes les actions d’API GetBucketAcl dans vos journaux :

SELECT *  
  FROM example-cloudtrail-log  
 WHERE eventname = 'GetBucketAcl';

Remarque : Remplacez example-cloudtrail-log par le nom de votre journal CloudTrail.

Pour plus d'informations, consultez la section Comprendre les journaux CloudTrail et les tables Athena.

Informations connexes

Suivi CloudTrail à l'aide des appels d'API SOAP Amazon S3

Comment puis-je utiliser Amazon Athena pour analyser les journaux d’accès à mon serveur Amazon S3 ?

Analyser la sécurité, la conformité et l'activité opérationnelle à l'aide d'AWS CloudTrail et Amazon Athena