如何在 CloudTrail 中的資料事件和管理事件之間選擇？

解決方法

何時選擇資料事件

CloudTrail 資料事件會顯示針對 AWS 帳戶中的資源或資源內進行的操作。由於資料事件屬於高傳輸量性質，每天可能會產生數百萬筆日誌項目。

請使用資料事件，追蹤和稽核針對資源的操作。例如：

• 追蹤針對 Amazon Simple Storage Service (Amazon S3) 物件的 API 操作，例如 GetObject、DeleteObject 與 PutObject。
• 監控 AWS Lambda 函式調用。
• 稽核針對資料表項目的 Amazon DynamoDB 操作，例如 PutItem、DeleteItem 與 UpdateItem。
• 追蹤 Amazon Elastic Block Store (Amazon EBS) 的 API 活動，例如 PutSnapshotBlock 與 GetSnapshotBlock。
• 監控使用者集區上的 Amazon Cognito API 活動。
• 追蹤針對 Amazon Simple Notification Service (Amazon SNS) 主題的 API 操作，例如 Publish 與 PublishBatch。

根據預設，軌跡不會記錄資料事件，且資料事件不會顯示在 CloudTrail 事件歷史記錄中。若要啟用資料事件記錄，請將支援的資源或資源類型新增至軌跡中。若要檢視資料事件，請查看您的 CloudTrail 日誌檔案。

注意： 由於資料事件數量龐大，啟用資料事件記錄需支付額外費用。如需更多資訊，請參閱 AWS CloudTrail 定價。

何時選擇管理事件

CloudTrail 管理事件會顯示針對 AWS 帳戶中的資源進行的操作。這些屬於帳戶層級的動作，可用於建立、修改或刪除 AWS 資源。

請使用管理事件來追蹤與稽核帳戶層級的操作。例如：

• 建立 Amazon S3 儲存貯體。
• 建立和管理 AWS Identity and Access Management (IAM) 資源。
• 註冊裝置。
• 設定路由表規則。
• 設定記錄。

根據預設，CloudTrail 會記錄跨 AWS 服務的管理事件。您可以使用 CloudTrail 事件歷史記錄或 LookupEvents API 存取和下載最近 90 天的管理事件。

注意： 您可以建立軌跡，即可在 90 天的保留期過後，將一份管理事件副本儲存在 Amazon S3 中。儲存額外管理事件副本可能會產生費用。如需更多資訊，請參閱 AWS CloudTrail 定價。