为什么我无法通过搜索 CloudTrail 事件日志找到创建 EBS 卷的用户名？

简短描述

对于 CloudTrail 事件日志，CreateVolume 字段不适用于您在 Amazon Elastic Compute Cloud (Amazon EC2) 启动期间创建的 Amazon EBS 卷。

要找到创建 EBS 卷的用户名，请先确定该 EBS 卷的创建方式。然后，完成以下任务之一：

• 对于手动创建的 EBS 卷，使用卷 ID 查看 CreateVolume 的 CloudTrail 事件日志。
• 对于在 Amazon EC2 启动期间创建的 EBS 卷，使用 EC2 实例 ID 查看 RunInstances 的 CloudTrail 事件日志。

有关详细信息，请参阅使用控制台查看最近的管理事件。

**注意：**此解决方法仅适用于您在激活 AWS Config 和 CloudTrail 之后创建的 EBS 卷。

解决方法

确定 EBS 卷的创建方式

完成以下步骤：

1. 打开 Amazon EC2 控制台。
2. 在导航窗格中的 Elastic Block Store 下，选择 Volumes（卷）。
3. 复制您的 EBS 卷的 Volume ID（卷 ID）。
4. 打开 AWS Config 控制台，然后选择 Resources（资源）。
5. 在 Resource type（资源类型）下，选择 AWS EC2 Volume（AWS EC2 卷）。
6. 在 Resource identifier（资源标识符）下，输入 Volume ID（卷 ID）。
7. 选择 Resource Timeline（资源时间表）。
8. 在 Events（事件）下，展开 Configuration Change（配置更改）。然后，选择 View full record（查看完整记录）。
9. 展开 Relationships（关系），然后复制 EC2 Instance ID（EC2 实例 ID）。
   **注意：**如果您没有看到 EC2 实例 ID，则表明您手动创建了 EBS 卷。

找到创建 EBS 卷的用户名

手动创建的 EBS 卷

完成以下步骤：

1. 打开 CloudTrail 控制台。
2. 在导航窗格中，选择 Event history（事件历史记录）。
3. 在 Filter（筛选条件）下，选择 Resource name（资源名称）。
4. 在 Enter resource name（输入资源名称）下，输入您的 EBS 卷的卷 ID，然后按下您设备上的 Enter。
5. 选择 Event（事件），以展开并显示完整的事件记录。记下 Amazon Resource Name (ARN)（Amazon 资源名称 (ARN)）和 userName，以识别创建 EBS 卷的用户。

在 Amazon EC2 启动期间创建的 EBS 卷

完成以下步骤：

1. 打开 CloudTrail 控制台。
2. 在导航窗格中，选择 Event history（事件历史记录）。
3. 在 Filter（筛选条件）下，选择 Resource name（资源名称）。
4. 在 Enter resource name（输入资源名称）下，输入 EC2 instance ID（EC2 实例 ID）。然后，按下您设备上的 Enter。
5. 选择 Event（事件），以展开并显示完整的事件记录。记下 ARN 和 userName，以识别启动 EC2 实例的用户。

**注意：**如果将 DeleteonTermination 属性设置为 false，则无法删除 EBS 卷。有关详细信息，请参阅实例终止时保留数据。