Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.
Amazon CloudTrail S3-Ereignisse
Wichtig
Amazon S3 wendet jetzt serverseitige Verschlüsselung mit von Amazon S3 verwalteten Schlüsseln (SSE-S3) als Basisverschlüsselungsstufe für jeden Bucket in Amazon S3 an. Ab dem 5. Januar 2023 werden alle neuen Objekt-Uploads auf Amazon S3 ohne zusätzliche Kosten und ohne Auswirkungen auf die Leistung automatisch verschlüsselt. Der automatische Verschlüsselungsstatus für die Standardverschlüsselungskonfiguration des S3-Buckets und für das Hochladen neuer Objekte ist in CloudTrail Logs, S3 Inventory, S3 Storage Lens, der Amazon S3-Konsole und als zusätzlicher Amazon S3-API-Antwort-Header in den SDKs AWS CLI und AWS verfügbar. Weitere Informationen finden Sie unter Häufig gestellte Fragen zur Standardverschlüsselung.
Dieser Abschnitt enthält Informationen zu den Ereignissen, bei denen sich S3 protokolliert. CloudTrail
Amazon S3-Datenereignisse in CloudTrail
Datenereignisse liefern Informationen über die Ressourcenoperationen, die auf oder in einer Ressource ausgeführt werden (z. B. Lesen oder Schreiben in ein Amazon-S3-Objekt). Sie werden auch als Vorgänge auf Datenebene bezeichnet. Datenereignisse sind oft Aktivitäten mit hohem Volume. Standardmäßig werden CloudTrail keine Datenereignisse protokolliert. Der CloudTrail Event-Verlauf zeichnet keine Datenereignisse auf.
Für Datenereignisse werden zusätzliche Gebühren fällig. Weitere Informationen zu CloudTrail-Preisen erhalten Sie unter AWS CloudTrail
– Preise
Sie können Datenereignisse für die Amazon S3-Ressourcentypen mithilfe der CloudTrail Konsole oder mithilfe von CloudTrail API-Vorgängen protokollieren. AWS CLI Weitere Informationen zum Protokollieren von Datenereignissen finden Sie unter Protokollieren von Datenereignissen mit dem AWS-Managementkonsole und Protokollieren von Datenereignissen mit dem AWS Command Line Interface im AWS CloudTrail -Benutzerhandbuch.
In der folgenden Tabelle sind die Amazon-S3-Ressourcentypen aufgeführt, für die Sie Datenereignisse protokollieren können. In der Spalte Datenereignistyp (Konsole) wird der Wert angezeigt, den Sie aus der Liste der Datenereignistypen auf der CloudTrail Konsole auswählen können. In der Wertespalte resources.type wird der resources.type Wert angezeigt, den Sie bei der Konfiguration erweiterter Event-Selektoren mithilfe der AWS CLI OR-APIs angeben würden. CloudTrail In der CloudTrail Spalte „Daten-APIs protokolliert unter“ werden die API-Aufrufe angezeigt, bei denen CloudTrail für den Ressourcentyp protokolliert wurde.
| Typ des Datenereignisses (Konsole) | resources.type-Wert | Daten-APIs, bei denen protokolliert wurde CloudTrail |
|---|---|---|
| S3 |
AWS::S3::Object
|
|
| S3 Express One Zone |
|
|
| S3-Zugangspunkt |
AWS::S3::Access Point
|
|
| S3 Object Lambda |
AWS::S3ObjectLambda::AccessPoint
|
|
| S3-Outposts |
AWS::S3Outposts::Object
|
Sie können erweiterte Event-Selektoren so konfigurieren, dass sie nach den Feldern eventName, readOnly und resources.ARN filtern, sodass nur die Ereignisse protokolliert werden, die für Sie wichtig sind. Weitere Informationen zu diesen Kontingenten finden Sie unter AdvancedFieldSelector in derAWS CloudTrail -API-Referenz.
Amazon S3-Verwaltungsereignisse in CloudTrail
Amazon S3 protokolliert alle Operationen auf der Steuerebene als Verwaltungsereignisse. Weitere Informationen zu S3-API-Operationen finden Sie in der Amazon-S3-API-Referenz.
Wie CloudTrail erfasst Anfragen an Amazon S3
CloudTrail Loggt standardmäßig S3-API-Aufrufe auf Bucket-Ebene, die in den letzten 90 Tagen getätigt wurden, protokolliert jedoch keine Anfragen an Objekte. Bucket-level Aufrufe beinhalten Ereignisse wieCreateBucket, DeleteBucket PutBucketLifecyclePutBucketPolicy, und so weiter. Sie können Ereignisse auf Bucket-Ebene auf der CloudTrail Konsole sehen. Sie können dort jedoch keine Datenereignisse (Amazon S3-Aufrufe auf Objektebene) anzeigen — Sie müssen die Protokolle für sie analysieren oder abfragen. CloudTrail
Wenn Sie Datenaktivitäten mit protokollieren AWS CloudTrail, enthält der Ereignisdatensatz für ein Amazon DeleteObjects S3-Datenereignis sowohl das Ereignis als auch ein DeleteObjects DeleteObject Ereignis für jedes Objekt, das im Rahmen dieses Vorgangs gelöscht wurde. Sie können die zusätzliche Sichtbarkeit gelöschter Objekte aus dem Ereignisdatensatz ausschließen. Weitere Informationen finden Sie unter AWS CLI Protokollieren von Datenereignissen für Trails im AWS CloudTrail -Benutzerhandbuch.
Das InitiateReplication Ereignis ist objectAnnotationCount im additionalEventData Feld enthalten. Dieser Wert gibt die Anzahl der Anmerkungen auf dem Quellobjekt zum Zeitpunkt der Initiierung der Replikation an.
Amazon S3-Aktionen auf Kontoebene, die durch Protokollierung nachverfolgt werden CloudTrail
CloudTrail protokolliert Aktionen auf Kontoebene. Amazon S3-Datensätze werden zusammen mit anderen AWS-Service Datensätzen in eine Protokolldatei geschrieben. CloudTrail bestimmt anhand eines Zeitraums und einer Dateigröße, wann eine neue Datei erstellt und in sie geschrieben werden muss.
In den Tabellen in diesem Abschnitt sind die Amazon S3-Aktionen auf Kontoebene aufgeführt, die für die Protokollierung von unterstützt werden. CloudTrail
Amazon S3-API-Aktionen auf Kontoebene, die durch CloudTrail Protokollierung verfolgt werden, werden als die folgenden Ereignisnamen angezeigt. Die Namen der CloudTrail Ereignisse unterscheiden sich vom Namen der API-Aktion. Zum Beispiel DeletePublicAccessBlock ist DeleteAccountPublicAccessBlock.
Amazon S3-Aktionen auf Bucket-Ebene, die durch Protokollierung verfolgt werden CloudTrail
CloudTrail Protokolliert standardmäßig Aktionen auf Bucket-Ebene für allgemeine Buckets. Amazon S3-Datensätze werden zusammen mit anderen AWS Serviceaufzeichnungen in eine Protokolldatei geschrieben. CloudTrail bestimmt anhand eines Zeitraums und einer Dateigröße, wann eine neue Datei erstellt und in sie geschrieben werden muss.
In diesem Abschnitt werden die Amazon S3-Aktionen auf Bucket-Ebene aufgeführt, die für die Protokollierung von unterstützt werden. CloudTrail
Amazon S3-API-Aktionen auf Bucket-Ebene, die durch CloudTrail Protokollierung verfolgt werden, werden als die folgenden Ereignisnamen angezeigt. In einigen Fällen unterscheidet sich der Name des CloudTrail Ereignisses vom Namen der API-Aktion. Zum Beispiel, PutBucketLifecycleConfiguration ist PutBucketLifecycle.
-
CreateBucketMetadataConfiguration (V2-API-Betrieb)
-
CreateBucketMetadataTableConfiguration (V1-API-Betrieb)
-
DeleteBucketMetadataConfiguration (V2-API-Betrieb)
-
DeleteBucketMetadataTableConfiguration (V1-API-Betrieb)
-
GetBucketMetadataConfiguration (V2-API-Betrieb)
-
GetBucketMetadataTableConfiguration (V1-API-Betrieb)
Zusätzlich zu diesen API-Operationen können Sie auch die Objektebenenaktion OPTIONS-Objekt verwenden. Diese Aktion wird bei der CloudTrail Protokollierung wie eine Aktion auf Bucket-Ebene behandelt, da die Aktion die CORS-Konfiguration eines Buckets überprüft.
Anmerkung
Die HeadBucket API wird als Amazon S3-Datenereignis in unterstützt. CloudTrail
Amazon S3 Express One Zone-Aktionen auf Bucket-Ebene (regionaler API-Endpunkt), die durch Protokollierung nachverfolgt werden CloudTrail
CloudTrail Protokolliert standardmäßig Aktionen auf Bucket-Ebene für Verzeichnis-Buckets als Verwaltungsereignisse. Die eventsource für CloudTrail Verwaltungsereignisse für S3 Express One Zone ist. s3express.amazonaws.com
Die folgenden API-Operationen für regionale Endpunkte werden protokolliert CloudTrail.
Weitere Informationen finden Sie unter Logging with AWS CloudTrail for S3 Express One Zone
Amazon-S3-Aktionen auf Objektebene in kontoübergreifenden Szenarios
Im Folgenden werden spezielle Anwendungsfälle beschrieben, die API-Aufrufe auf Objektebene in kontoübergreifenden Szenarien betreffen und die Art und Weise, wie CloudTrail Protokolle gemeldet werden. CloudTrail übermittelt Protokolle an den Anforderer (das Konto, das den API-Aufruf getätigt hat), außer in einigen Fällen, in denen der Zugriff verweigert wurde, in denen Protokolleinträge redigiert oder weggelassen werden. Bei der Einrichtung von kontoübergreifendem Zugriff sehen Sie sich die Beispiele in diesem Abschnitt an.
Anmerkung
In den Beispielen wird davon ausgegangen, dass die CloudTrail Protokolle entsprechend konfiguriert sind.
Beispiel 1: CloudTrail Übermittelt Protokolle an den Bucket-Besitzer
CloudTrail übermittelt Protokolle an den Bucket-Besitzer, auch wenn der Bucket-Besitzer keine Berechtigungen für denselben Objekt-API-Vorgang hat. Sehen Sie sich das folgende kontenübergreifende Szenario vor:
-
Konto A ist Eigentümer des Buckets.
-
Konto B (Anforderer) versucht, auf ein Objekt in diesem Bucket zuzugreifen.
-
Konto C besitzt das Objekt. Konto C kann dasselbe Konto wie Konto A sein oder auch nicht.
Anmerkung
CloudTrail liefert immer API-Protokolle auf Objektebene an den Anforderer (Konto B). Darüber hinaus werden dieselben Logs CloudTrail auch an den Bucket-Besitzer (Konto A) übermittelt, auch wenn der Bucket-Besitzer nicht Eigentümer des Objekts ist (Konto C) oder über Berechtigungen für dieselben API-Operationen für dieses Objekt verfügt.
Beispiel 2: CloudTrail Vermehrt keine E-Mail-Adressen, die zum Setzen von Objekt-ACLs verwendet werden
Sehen Sie sich das folgende kontenübergreifende Szenario vor:
-
Konto A ist Eigentümer des Buckets.
-
Konto B (Anforderer) sendet eine Anforderung, um eine ACL-Erteilung für ein Objekt unter Verwendung einer E-Mail-Adresse einzurichten. Weitere Informationen über ACLs finden Sie in Zugriffskontrolllisten (ACL) – Übersicht.
Der Anforderer erhält die Protokolle zusammen mit der E-Mail-Information. Der Bucket-Besitzer erhält jedoch — sofern er wie in Beispiel 1 zum Empfang von Protokollen berechtigt ist — das Protokoll, in dem das CloudTrail Ereignis gemeldet wird. Der Bucket-Eigentümer erhält jedoch keine Informationen über die ACL-Konfiguration, insbesondere die E-Mail des Empfängers und die Erteilung. Die einzige Information, die das Protokoll dem Bucket-Eigentümer mitteilt, ist, dass Konto B einen ACL-API-Aufruf vorgenommen hat.
