Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich. # Protokollierung von Netzwerkaktivitätsereignissen CloudTrail Netzwerkaktivitätsereignisse ermöglichen es VPC-Endpunktbesitzern, AWS API-Aufrufe aufzuzeichnen, die mit ihren VPC-Endpunkten von einer privaten VPC an die getätigt wurden. AWS-Service Netzwerkaktivitätsereignisse bieten Einblick in die Ressourcenoperationen, die in einer VPC ausgeführt werden. Durch die Protokollierung von Netzwerkaktivitätsereignissen können VPC-Endpunktbesitzer beispielsweise erkennen, wenn Anmeldeinformationen von außerhalb ihrer Organisation versuchen, auf ihre VPC-Endpunkte zuzugreifen. Sie können Netzwerkaktivitätsereignisse für die folgenden Dienste protokollieren: + AWS AppConfig + AWS App Mesh + Amazon Athena + AWS B2B Data Interchange + AWS Backup gateway + Amazon Bedrock + Billing and Cost Management + AWS Pricing Calculator + AWS Cost Explorer + AWS -Cloud-Control- API + AWS CloudHSM + AWS Cloud Map + AWS CloudFormation + AWS CloudTrail + Amazon CloudWatch + CloudWatch Anwendungssignale + AWS CodeDeploy + Amazon Comprehend Medical + AWS Config + AWS Data Exports + Amazon Data Firehose + AWS Directory Service + Amazon DynamoDB + Amazon EC2 + Amazon Elastic Container Service + Amazon Elastic File System + Elastic Load Balancing + Amazon EventBridge + Amazon EventBridge Scheduler + Amazon Fraud Detector + Kostenloses AWS-Kontingent + Amazon FSx + AWS Glue + AWS HealthLake + AWS IoT FleetWise + AWS IoT Secure Tunneling + AWS Invoicing + Amazon Keyspaces (für Apache Cassandra) + AWS KMS + AWS Lake Formation + AWS Lambda + AWS License Manager + Amazon Lookout für Equipment + Amazon Lookout für Vision + Amazon Personalize + Amazon Q Business + Amazon Rekognition + Amazon Relational Database Service + Amazon S3 **Anmerkung** Amazon S3 [Multiregion Access Points](https://docs.aws.amazon.com/AmazonS3/latest/userguide/MultiRegionAccessPointRequests.html) werden nicht unterstützt. + Amazon SageMaker KI + AWS Secrets Manager + Amazon Simple Notification Service + Amazon Simple Queue Service + Amazon Simple Workflow Service + AWS Storage Gateway + AWS Systems Manager Incident Manager + Amazon Textract + Amazon Transcribe + Amazon Translate + AWS Transform + Amazon Verified Permissions + Amazon WorkMail Sie können sowohl Trails als auch Event-Datenspeicher so konfigurieren, dass Netzwerkaktivitätsereignisse protokolliert werden. Standardmäßig protokollieren Datenspeicher für Pfade und Ereignisse keine Netzwerkaktivitätsereignisse. Für Netzwerkaktivitätsereignisse fallen zusätzliche Gebühren an. Weitere Informationen finden Sie unter [AWS CloudTrail  – Preise](https://aws.amazon.com/cloudtrail/pricing/). **Contents** + [Erweiterte Felder zur Ereignisauswahl für Netzwerkaktivitätsereignisse](#logging-network-events) + [Protokollieren von Netzwerkaktivitätsereignissen mit dem AWS-Managementkonsole](#creating-network-event-selectors-with-the-console) + [Aktualisieren Sie einen vorhandenen Trail, um Netzwerkaktivitätsereignisse zu protokollieren](#log-network-events-trail-console) + [Aktualisieren Sie einen vorhandenen Ereignisdatenspeicher, um Netzwerkaktivitätsereignisse zu protokollieren](#log-network-events-lake-console) + [Protokollieren von Netzwerkaktivitätsereignissen mit dem AWS Command Line Interface](#creating-network-event-selectors-with-the-AWS-CLI) + [Beispiele: Protokollierung von Netzwerkaktivitätsereignissen für Wanderwege](#logging-network-events-CLI-trail-examples) + [Beispiel: Protokollieren Sie Netzwerkaktivitätsereignisse für CloudTrail Operationen](#logging-network-events-CLI-trail-all-ct) + [Beispiel: `VpceAccessDenied` Ereignisse protokollieren für AWS KMS](#logging-network-events-CLI-trail-kms) + [Beispiel: `VpceAccessDenied` Ereignisse für Amazon S3 protokollieren](#logging-network-events-CLI-trail-s3) + [Beispiel: `VpceAccessDenied` EC2-Ereignisse über einen bestimmten VPC-Endpunkt protokollieren](#logging-network-events-CLI-trail-ec2) + [Beispiel: Protokollieren Sie alle Verwaltungsereignisse und Netzwerkaktivitätsereignisse für mehrere Ereignisquellen](#logging-network-events-CLI-trail-multiple) + [Beispiele: Protokollierung von Netzwerkaktivitätsereignissen für Ereignisdatenspeicher](#logging-network-events-CLI-eds-examples) + [Beispiel: Protokollieren Sie alle Netzwerkaktivitätsereignisse für CloudTrail Operationen](#creating-network-events-eds-CLI-ct) + [Beispiel: `VpceAccessDenied` Ereignisse protokollieren für AWS KMS](#creating-network-events-eds-CLI-kms) + [Beispiel: `VpceAccessDenied` EC2-Ereignisse über einen bestimmten VPC-Endpunkt protokollieren](#creating-network-events-eds-CLI-ec2) + [Beispiel: `VpceAccessDenied` Ereignisse für Amazon S3 protokollieren](#creating-network-events-eds-CLI-s3) + [Beispiel: Protokollieren Sie alle Verwaltungsereignisse und Netzwerkaktivitätsereignisse für mehrere Ereignisquellen](#creating-network-events-eds-CLI-multiple) + [Protokollieren von Ereignissen mit dem AWS SDKs](#logging-network-events-with-the-AWS-SDKs) ## Erweiterte Felder zur Ereignisauswahl für Netzwerkaktivitätsereignisse Sie konfigurieren erweiterte Ereignisauswahlfunktionen zur Protokollierung von Netzwerkaktivitätsereignissen, indem Sie die Ereignisquelle angeben, für die Sie Aktivitäten protokollieren möchten. Sie können erweiterte Ereignisauswahlmöglichkeiten mit der AWS SDKs AWS CLI, oder CloudTrail -Konsole konfigurieren. Die folgenden Felder für die erweiterte Ereignisauswahl sind erforderlich, um Netzwerkaktivitätsereignisse zu protokollieren: + `eventCategory`— Um Netzwerkaktivitätsereignisse zu protokollieren, muss der Wert sein`NetworkActivity`. `eventCategory`kann nur den `Equals` Operator verwenden. + `eventSource`— Die Ereignisquelle, für die Sie Netzwerkaktivitätsereignisse protokollieren möchten. `eventSource`kann nur den `Equals` Operator verwenden. Wenn Sie Netzwerkaktivitätsereignisse für mehrere Ereignisquellen protokollieren möchten, müssen Sie für jede Ereignisquelle eine separate Feldauswahl erstellen. Gültige Werte sind: + `aco-automation.amazonaws.com` + `appconfig.amazonaws.com` + `application-signals.amazonaws.com` + `appmesh.amazonaws.com` + `athena.amazonaws.com` + `b2bi.amazonaws.com` + `backup-gateway.amazonaws.com` + `bcm-data-exports.amazonaws.com` + `bcm-pricing-calculator.amazonaws.com` + `bedrock-agentcore.amazonaws.com` + `bedrock.amazonaws.com` + `billing.amazonaws.com` + `cassandra.amazonaws.com` + `ce.amazonaws.com` + `cloudcontrolapi.amazonaws.com` + `cloudformation.amazonaws.com` + `cloudhsm.amazonaws.com` + `cloudoptimization.amazonaws.com` + `cloudtrail.amazonaws.com` + `codedeploy.amazonaws.com` + `comprehend.amazonaws.com` + `comprehendmedical.amazonaws.com` + `config.amazonaws.com` + `ds.amazonaws.com` + `dynamodb.amazonaws.com` + `ec2.amazonaws.com` + `ecs.amazonaws.com` + `elasticfilesystem.amazonaws.com` + `elasticloadbalancing.amazonaws.com` + `events.amazonaws.com` + `firehose.amazonaws.com` + `frauddetector.amazonaws.com` + `freetier.amazonaws.com` + `fsx.amazonaws.com` + `glue.amazonaws.com` + `healthlake.amazonaws.com` + `invoicing.amazonaws.com` + `iot.amazonaws.com` + `iotfleetwise.amazonaws.com` + `iotsecuredtunneling.amazonaws.com` + `kms.amazonaws.com` + `lakeformation.amazonaws.com` + `lambda.amazonaws.com` + `license-manager.amazonaws.com` + `lookoutequipment.amazonaws.com` + `lookoutvision.amazonaws.com` + `monitoring.amazonaws.com` + `nova-act.amazonaws.com` + `personalize.amazonaws.com` + `qbusiness.amazonaws.com` + `rds.amazonaws.com` + `rekognition.amazonaws.com` + `rolesanywhere.amazonaws.com` + `s3.amazonaws.com` + `sagemaker.amazonaws.com` + `scheduler.amazonaws.com` + `secretsmanager.amazonaws.com` + `servicediscovery.amazonaws.com` + `sns.amazonaws.com` + `sqs.amazonaws.com` + `ssm-contacts.amazonaws.com` + `ssm.amazonaws.com` + `storagegateway.amazonaws.com` + `swf.amazonaws.com` + `textract.amazonaws.com` + `transcribe.amazonaws.com` + `transcribestreaming.amazonaws.com` + `transform-agents.amazonaws.com` + `transform-custom.amazonaws.com` + `transform.amazonaws.com` + `translate.amazonaws.com` + `user-subscriptions.amazonaws.com` + `verifiedpermissions.amazonaws.com` + `voiceid.amazonaws.com` + `workmail.amazonaws.com` + `workmailmessageflow.amazonaws.com` Die folgenden Felder für die erweiterte Ereignisauswahl sind optional: + `eventName`— Die angeforderte Aktion, nach der Sie filtern möchten. Zum Beispiel, `CreateKey` oder`ListKeys`. `eventName`kann einen beliebigen Operator verwenden. + `errorCode`— Der angeforderte Fehlercode, nach dem Sie filtern möchten. Derzeit `errorCode` ist der einzig gültige`VpceAccessDenied`. Sie können nur den `Equals` Operator mit verwenden`errorCode`. + `vpcEndpointId`— Identifiziert den VPC-Endpunkt, den der Vorgang durchlaufen hat. Sie können einen beliebigen Operator mit `vpcEndpointId` verwenden. Netzwerkaktivitätsereignisse werden standardmäßig nicht protokolliert, wenn Sie einen Trail- oder Event-Datenspeicher erstellen. Um CloudTrail Netzwerkaktivitätsereignisse aufzuzeichnen, müssen Sie jede Ereignisquelle, für die Sie Aktivitäten erfassen möchten, explizit konfigurieren. Für die Protokollierung von Netzwerkaktivitätsereignissen fallen zusätzliche Gebühren an. CloudTrail Die Preise finden Sie unter [AWS CloudTrail Preise](https://aws.amazon.com/cloudtrail/pricing/). ## Protokollieren von Netzwerkaktivitätsereignissen mit dem AWS-Managementkonsole Mithilfe der Konsole können Sie einen vorhandenen Trail- oder Event-Datenspeicher aktualisieren, um Netzwerkaktivitätsereignisse zu protokollieren. **Topics** + [Aktualisieren Sie einen vorhandenen Trail, um Netzwerkaktivitätsereignisse zu protokollieren](#log-network-events-trail-console) + [Aktualisieren Sie einen vorhandenen Ereignisdatenspeicher, um Netzwerkaktivitätsereignisse zu protokollieren](#log-network-events-lake-console) ### Aktualisieren Sie einen vorhandenen Trail, um Netzwerkaktivitätsereignisse zu protokollieren Gehen Sie wie folgt vor, um einen vorhandenen Pfad zu aktualisieren, um Netzwerkaktivitätsereignisse zu protokollieren. **Anmerkung** Für die Protokollierung von Netzwerkaktivitätsereignissen fallen zusätzliche Gebühren an. Informationen zu CloudTrail-Preisen finden Sie unter [AWS CloudTrail – Preise](https://aws.amazon.com/cloudtrail/pricing/). 1. Melden Sie sich bei an AWS-Managementkonsole und öffnen Sie die CloudTrail Konsole unter [https://console.aws.amazon.com/cloudtrail/](https://console.aws.amazon.com/cloudtrail/). 1. Öffnen Sie im linken Navigationsbereich der CloudTrail Konsole die Seite **Trails** und wählen Sie einen Trailnamen aus. 1. Wenn dein Trail Datenereignisse mithilfe einfacher Event-Selektoren protokolliert, musst du zu erweiterten Event-Selektoren wechseln, um Netzwerkaktivitätsereignisse zu protokollieren. Gehen Sie wie folgt vor, um zu den erweiterten Event-Selektoren zu wechseln: 1. Notieren Sie sich im Bereich **Datenereignisse** die aktuellen Datenereignis-Selektoren. Wenn Sie zu den erweiterten Auswahlmöglichkeiten wechseln, werden alle vorhandenen Datenereignis-Selektoren gelöscht. 1. Wählen Sie **Bearbeiten** und dann Zu **erweiterten Event-Selektoren wechseln**. 1. Wenden Sie Ihre Datenereignisauswahlen mithilfe erweiterter Event-Selektoren erneut an. Weitere Informationen finden Sie unter [Aktualisierung eines vorhandenen Pfads zur Protokollierung von Datenereignissen mithilfe erweiterter Ereignisauswahlfunktionen mithilfe der Konsole](logging-data-events-with-cloudtrail.md#logging-data-events-with-the-cloudtrail-console-adv). 1. **Wählen Sie unter **Netzwerkaktivitätsereignisse** die Option Bearbeiten aus.** Gehen Sie wie folgt vor, um Netzwerkaktivitätsereignisse zu protokollieren: 1. Wählen Sie unter **Quelle für Netzwerkaktivitätsereignisse** die Quelle für Netzwerkaktivitätsereignisse aus. 1. Wählen Sie unter **Protokollselektorvorlage** eine Vorlage aus. Sie können wählen, ob alle Netzwerkaktivitätsereignisse, alle Ereignisse, bei denen der Zugriff verweigert wurde, protokolliert werden sollen, oder **Benutzerdefiniert** wählen, um eine benutzerdefinierte Protokollauswahl zu erstellen, die nach mehreren Feldern filtert, z. B. `eventName` und`vpcEndpointId`. 1. (Optional) Geben Sie einen Namen ein, um den Selektor zu identifizieren. **Der Name des Selektors wird in der erweiterten Ereignisauswahl als **Name** aufgeführt und ist sichtbar, wenn Sie die JSON-Ansicht erweitern.** 1. **In **Advanced erstellen Event-Selektoren** Ausdrücke, indem sie Werte für **Feld**, **Operator** und Wert auswählen.** Sie können diesen Schritt überspringen, wenn Sie eine vordefinierte Protokollvorlage verwenden. 1. Um Netzwerkaktivitätsereignisse auszuschließen oder einzubeziehen, können Sie in der Konsole aus den folgenden Feldern wählen. + **`eventName`**— Sie können jeden Operator mit verwenden`eventName`. Sie können ihn verwenden, um jedes Ereignis ein- oder auszuschließen, `CreateKey` z. + **`errorCode`**— Sie können es verwenden, um nach einem Fehlercode zu filtern. Derzeit wird nur Folgendes unterstützt`errorCode`:`VpceAccessDenied`. + **`vpcEndpointId`**— Identifiziert den VPC-Endpunkt, den der Vorgang durchlaufen hat. Sie können einen beliebigen Operator mit `vpcEndpointId` verwenden. 1. Wählen Sie für jedes Feld **\+ Bedingung** aus, um beliebig viele Bedingungen hinzuzufügen, bis zu maximal 500 angegebene Werte für alle Bedingungen. 1. Wählen Sie **\+ Feld**, um bei Bedarf zusätzliche Felder hinzuzufügen. Um Fehler zu vermeiden, legen Sie keine widersprüchlichen oder doppelten Werte für Felder fest. 1. Um eine weitere Ereignisquelle hinzuzufügen, für die Sie Netzwerkaktivitätsereignisse protokollieren möchten, wählen Sie „**Netzwerkaktivitätsereignisauswahl hinzufügen**“. 1. Erweitern Sie optional die **JSON-Ansicht**, um Ihre erweiterten Ereignisselektoren als JSON-Block anzuzeigen. 1. Wählen Sie **Änderungen speichern** aus, um Ihre Änderungen zu speichern. ### Aktualisieren Sie einen vorhandenen Ereignisdatenspeicher, um Netzwerkaktivitätsereignisse zu protokollieren Gehen Sie wie folgt vor, um einen vorhandenen Ereignisdatenspeicher zur Protokollierung von Netzwerkaktivitätsereignissen zu aktualisieren. **Anmerkung** Sie können Netzwerkaktivitätsereignisse nur in Ereignisdatenspeichern vom Typ **CloudTrail Ereignisse** protokollieren. 1. Melden Sie sich bei der an AWS-Managementkonsole und öffnen Sie die CloudTrail Konsole unter [https://console.aws.amazon.com/cloudtrail/](https://console.aws.amazon.com/cloudtrail/). 1. Wählen Sie im linken Navigationsbereich der CloudTrail Konsole unter **Lake** die Option **Event Data Stores** aus. 1. Wählen Sie den Namen des Ereignisdatenspeichers aus. 1. Wählen Sie unter **Netzwerkaktivitätsereignisse** die Option **Bearbeiten** aus. Gehen Sie wie folgt vor, um Netzwerkaktivitätsereignisse zu protokollieren: 1. Wählen Sie unter **Quelle für Netzwerkaktivitätsereignisse** die Quelle für Netzwerkaktivitätsereignisse aus. 1. Wählen Sie unter **Protokollselektorvorlage** eine Vorlage aus. Sie können wählen, ob alle Netzwerkaktivitätsereignisse, alle Ereignisse, bei denen der Zugriff verweigert wurde, protokolliert werden sollen, oder **Benutzerdefiniert** wählen, um eine benutzerdefinierte Protokollauswahl zu erstellen, die nach mehreren Feldern filtert, z. B. `eventName` und`vpcEndpointId`. 1. (Optional) Geben Sie einen Namen ein, um den Selektor zu identifizieren. **Der Name des Selektors wird in der erweiterten Ereignisauswahl als **Name** aufgeführt und ist sichtbar, wenn Sie die JSON-Ansicht erweitern.** 1. **In **Advanced erstellen Event-Selektoren** Ausdrücke, indem sie Werte für **Feld**, **Operator** und Wert auswählen.** Sie können diesen Schritt überspringen, wenn Sie eine vordefinierte Protokollvorlage verwenden. 1. Um Netzwerkaktivitätsereignisse auszuschließen oder einzubeziehen, können Sie in der Konsole aus den folgenden Feldern wählen. + **`eventName`**— Sie können jeden Operator mit verwenden`eventName`. Sie können ihn verwenden, um jedes Ereignis ein- oder auszuschließen, `CreateKey` z. + **`errorCode`**— Sie können es verwenden, um nach einem Fehlercode zu filtern. Derzeit wird nur Folgendes unterstützt`errorCode`:`VpceAccessDenied`. + **`vpcEndpointId`**— Identifiziert den VPC-Endpunkt, den der Vorgang durchlaufen hat. Sie können einen beliebigen Operator mit `vpcEndpointId` verwenden. 1. Wählen Sie für jedes Feld **\+ Bedingung** aus, um beliebig viele Bedingungen hinzuzufügen, bis zu maximal 500 angegebene Werte für alle Bedingungen. 1. Wählen Sie **\+ Feld**, um bei Bedarf zusätzliche Felder hinzuzufügen. Um Fehler zu vermeiden, legen Sie keine widersprüchlichen oder doppelten Werte für Felder fest. 1. Um eine weitere Ereignisquelle hinzuzufügen, für die Sie Netzwerkaktivitätsereignisse protokollieren möchten, wählen Sie „**Netzwerkaktivitätsereignisauswahl hinzufügen**“. 1. Erweitern Sie optional die **JSON-Ansicht**, um Ihre erweiterten Ereignisselektoren als JSON-Block anzuzeigen. 1. Wählen Sie **Änderungen speichern** aus, um Ihre Änderungen zu speichern. ## Protokollieren von Netzwerkaktivitätsereignissen mit dem AWS Command Line Interface Mit dem können Sie Ihre Datenspeicher für Pfade oder Ereignisse so konfigurieren, dass Netzwerkaktivitätsereignisse protokolliert AWS CLI werden. **Topics** + [Beispiele: Protokollierung von Netzwerkaktivitätsereignissen für Wanderwege](#logging-network-events-CLI-trail-examples) + [Beispiele: Protokollierung von Netzwerkaktivitätsereignissen für Ereignisdatenspeicher](#logging-network-events-CLI-eds-examples) ### Beispiele: Protokollierung von Netzwerkaktivitätsereignissen für Wanderwege Sie können Ihre Trails so konfigurieren, dass Netzwerkaktivitätsereignisse protokolliert werden, indem Sie die AWS CLI. Führen Sie den [https://awscli.amazonaws.com/v2/documentation/api/latest/reference/cloudtrail/put-event-selectors.html](https://awscli.amazonaws.com/v2/documentation/api/latest/reference/cloudtrail/put-event-selectors.html)Befehl aus, um die erweiterten Event-Selektoren für Ihren Trail zu konfigurieren. Führen Sie den [https://awscli.amazonaws.com/v2/documentation/api/latest/reference/cloudtrail/get-event-selectors.html](https://awscli.amazonaws.com/v2/documentation/api/latest/reference/cloudtrail/get-event-selectors.html)Befehl aus, um zu überprüfen, ob Ihr Trail Netzwerkaktivitätsereignisse protokolliert. **Topics** + [Beispiel: Protokollieren Sie Netzwerkaktivitätsereignisse für CloudTrail Operationen](#logging-network-events-CLI-trail-all-ct) + [Beispiel: `VpceAccessDenied` Ereignisse protokollieren für AWS KMS](#logging-network-events-CLI-trail-kms) + [Beispiel: `VpceAccessDenied` Ereignisse für Amazon S3 protokollieren](#logging-network-events-CLI-trail-s3) + [Beispiel: `VpceAccessDenied` EC2-Ereignisse über einen bestimmten VPC-Endpunkt protokollieren](#logging-network-events-CLI-trail-ec2) + [Beispiel: Protokollieren Sie alle Verwaltungsereignisse und Netzwerkaktivitätsereignisse für mehrere Ereignisquellen](#logging-network-events-CLI-trail-multiple) #### Beispiel: Protokollieren Sie Netzwerkaktivitätsereignisse für CloudTrail Operationen Das folgende Beispiel zeigt, wie Sie Ihren Trail so konfigurieren, dass er alle Netzwerkaktivitätsereignisse für CloudTrail API-Operationen wie `CreateTrail` `CreateEventDataStore` AND-Aufrufe enthält. Der Wert für das `eventSource` Feld ist`cloudtrail.amazonaws.com`. ``` aws cloudtrail put-event-selectors / --trail-name {{TrailName}} / --region {{region}} / --advanced-event-selectors '[ { "Name": "Audit all CloudTrail API calls through VPC endpoints", "FieldSelectors": [ { "Field": "eventCategory", "Equals": ["NetworkActivity"] }, { "Field": "eventSource", "Equals": ["cloudtrail.amazonaws.com"] } ] } ]' ``` Der Befehl gibt die folgende Beispielausgabe zurück. ``` { "TrailARN": "arn:aws:cloudtrail:us-east-1:111122223333:trail/TrailName", "AdvancedEventSelectors": [ { "Name": "Audit all CloudTrail API calls through VPC endpoints", "FieldSelectors": [ { "Field": "eventCategory", "Equals": [ "NetworkActivity" ] }, { "Field": "eventSource", "Equals": [ "cloudtrail.amazonaws.com" ] } ] } ] } ``` #### Beispiel: `VpceAccessDenied` Ereignisse protokollieren für AWS KMS Das folgende Beispiel zeigt, wie Sie Ihren Trail so konfigurieren, dass er `VpceAccessDenied` Ereignisse für enthält AWS KMS. In diesem Beispiel wird das `errorCode` Feld auf `VpceAccessDenied` Ereignisse und das `eventSource` Feld auf gleich gesetzt`kms.amazonaws.com`. ``` aws cloudtrail put-event-selectors \ --region {{region}} / --trail-name {{TrailName}} / --advanced-event-selectors '[ { "Name": "Audit AccessDenied AWS KMS events through VPC endpoints", "FieldSelectors": [ { "Field": "eventCategory", "Equals": ["NetworkActivity"] }, { "Field": "eventSource", "Equals": ["kms.amazonaws.com"] }, { "Field": "errorCode", "Equals": ["VpceAccessDenied"] } ] } ]' ``` Der Befehl gibt die folgende Beispielausgabe zurück. ``` { "TrailARN": "arn:aws:cloudtrail:us-east-1:111122223333:trail/TrailName", "AdvancedEventSelectors": [ { "Name": "Audit AccessDenied AWS KMS events through VPC endpoints", "FieldSelectors": [ { "Field": "eventCategory", "Equals": [ "NetworkActivity" ] }, { "Field": "eventSource", "Equals": [ "kms.amazonaws.com" ] }, { "Field": "errorCode", "Equals": [ "VpceAccessDenied" ] } ] } ] } ``` #### Beispiel: `VpceAccessDenied` Ereignisse für Amazon S3 protokollieren Das folgende Beispiel zeigt, wie Sie Ihren Trail so konfigurieren, dass er `VpceAccessDenied` Ereignisse für Amazon S3 enthält. In diesem Beispiel wird das `errorCode` Feld auf `VpceAccessDenied` Ereignisse und das `eventSource` Feld auf gleich gesetzt`s3.amazonaws.com`. ``` aws cloudtrail put-event-selectors \ --region {{region}} / --trail-name {{TrailName}} / --advanced-event-selectors '[ { "Name": "Log S3 access denied network activity events", "FieldSelectors": [ { "Field": "eventCategory", "Equals": ["NetworkActivity"] }, { "Field": "eventSource", "Equals": ["s3.amazonaws.com"] }, { "Field": "errorCode", "Equals": ["VpceAccessDenied"] } ] } ]' ``` Der Befehl gibt die folgende Beispielausgabe zurück. ``` { "TrailARN": "arn:aws:cloudtrail:us-east-1:111122223333:trail/TrailName", "AdvancedEventSelectors": [ { "Name": "Log S3 access denied network activity events", "FieldSelectors": [ { "Field": "eventCategory", "Equals": [ "NetworkActivity" ] }, { "Field": "eventSource", "Equals": [ "s3.amazonaws.com" ] }, { "Field": "errorCode", "Equals": [ "VpceAccessDenied" ] } ] } ] } ``` #### Beispiel: `VpceAccessDenied` EC2-Ereignisse über einen bestimmten VPC-Endpunkt protokollieren Das folgende Beispiel zeigt, wie Sie Ihren Trail so konfigurieren, dass er `VpceAccessDenied` Ereignisse für Amazon EC2 für einen bestimmten VPC-Endpunkt enthält. In diesem Beispiel wird das `errorCode` Feld auf `VpceAccessDenied` Ereignisse, das `eventSource` Feld auf `ec2.amazonaws.com` und `vpcEndpointId` gleich dem interessierenden VPC-Endpunkt festgelegt. ``` aws cloudtrail put-event-selectors \ --region {{region}} / --trail-name {{TrailName}} / --advanced-event-selectors '[ { "Name": "Audit AccessDenied EC2 events over a specific VPC endpoint", "FieldSelectors": [ { "Field": "eventCategory", "Equals": ["NetworkActivity"] }, { "Field": "eventSource", "Equals": ["ec2.amazonaws.com"] }, { "Field": "errorCode", "Equals": ["VpceAccessDenied"] }, { "Field": "vpcEndpointId", "Equals": ["vpce-example8c1b6b9b7"] } ] } ]' ``` Der Befehl gibt die folgende Beispielausgabe zurück. ``` { "TrailARN": "arn:aws:cloudtrail:us-east-1:111122223333:trail/TrailName", "AdvancedEventSelectors": [ { "Name": "Audit AccessDenied EC2 events over a specific VPC endpoint", "FieldSelectors": [ { "Field": "eventCategory", "Equals": [ "NetworkActivity" ] }, { "Field": "eventSource", "Equals": [ "ec2.amazonaws.com" ] }, { "Field": "errorCode", "Equals": [ "VpceAccessDenied" ] }, { "Field": "vpcEndpointId", "Equals": [ "vpce-example8c1b6b9b7" ] } ] } ] } ``` #### Beispiel: Protokollieren Sie alle Verwaltungsereignisse und Netzwerkaktivitätsereignisse für mehrere Ereignisquellen Im folgenden Beispiel wird ein Trail konfiguriert, um Verwaltungsereignisse und alle Netzwerkaktivitätsereignisse für die Amazon EC2- CloudTrail, AWS KMS AWS Secrets Manager, und Amazon S3 S3-Ereignisquellen zu protokollieren. ``` aws cloudtrail put-event-selectors \ --region {{region}} / --trail-name {{TrailName}} / --advanced-event-selectors '[ { "Name": "Log all management events", "FieldSelectors": [ { "Field": "eventCategory", "Equals": ["Management"] } ] }, { "Name": "Log all network activity events for CloudTrail APIs", "FieldSelectors": [ { "Field": "eventCategory", "Equals": ["NetworkActivity"] }, { "Field": "eventSource", "Equals": ["cloudtrail.amazonaws.com"] } ] }, { "Name": "Log all network activity events for EC2", "FieldSelectors": [ { "Field": "eventCategory", "Equals": ["NetworkActivity"] }, { "Field": "eventSource", "Equals": ["ec2.amazonaws.com"] } ] }, { "Name": "Log all network activity events for KMS", "FieldSelectors": [ { "Field": "eventCategory", "Equals": ["NetworkActivity"] }, { "Field": "eventSource", "Equals": ["kms.amazonaws.com"] } ] }, { "Name": "Log all network activity events for S3", "FieldSelectors": [ { "Field": "eventCategory", "Equals": ["NetworkActivity"] }, { "Field": "eventSource", "Equals": ["s3.amazonaws.com"] } ] }, { "Name": "Log all network activity events for Secrets Manager", "FieldSelectors": [ { "Field": "eventCategory", "Equals": ["NetworkActivity"] }, { "Field": "eventSource", "Equals": ["secretsmanager.amazonaws.com"] } ] } ]' ``` Der Befehl gibt die folgende Beispielausgabe zurück. ``` { "TrailARN": "arn:aws:cloudtrail:us-east-1:123456789012:trail/TrailName", "AdvancedEventSelectors": [ { "Name": "Log all management events", "FieldSelectors": [ { "Field": "eventCategory", "Equals": [ "Management" ] } ] }, { "Name": "Log all network activity events for CloudTrail APIs", "FieldSelectors": [ { "Field": "eventCategory", "Equals": [ "NetworkActivity" ] }, { "Field": "eventSource", "Equals": [ "cloudtrail.amazonaws.com" ] } ] }, { "Name": "Log all network activity events for EC2", "FieldSelectors": [ { "Field": "eventCategory", "Equals": [ "NetworkActivity" ] }, { "Field": "eventSource", "Equals": [ "ec2.amazonaws.com" ] } ] }, { "Name": "Log all network activity events for KMS", "FieldSelectors": [ { "Field": "eventCategory", "Equals": [ "NetworkActivity" ] }, { "Field": "eventSource", "Equals": [ "kms.amazonaws.com" ] } ] }, { "Name": "Log all network activity events for S3", "FieldSelectors": [ { "Field": "eventCategory", "Equals": [ "NetworkActivity" ] }, { "Field": "eventSource", "Equals": [ "s3.amazonaws.com" ] } ] }, { "Name": "Log all network activity events for Secrets Manager", "FieldSelectors": [ { "Field": "eventCategory", "Equals": [ "NetworkActivity" ] }, { "Field": "eventSource", "Equals": [ "secretsmanager.amazonaws.com" ] } ] } ] } ``` ### Beispiele: Protokollierung von Netzwerkaktivitätsereignissen für Ereignisdatenspeicher Mithilfe von können Sie Ihre Ereignisdatenspeicher so konfigurieren, dass sie Netzwerkaktivitätsereignisse enthalten AWS CLI. Verwenden Sie den [https://awscli.amazonaws.com/v2/documentation/api/latest/reference/cloudtrail/create-event-data-store.html](https://awscli.amazonaws.com/v2/documentation/api/latest/reference/cloudtrail/create-event-data-store.html)Befehl, um einen neuen Ereignisdatenspeicher zum Protokollieren von Netzwerkaktivitätsereignissen zu erstellen. Verwenden Sie den Befehl [https://awscli.amazonaws.com/v2/documentation/api/latest/reference/cloudtrail/update-event-data-store.html](https://awscli.amazonaws.com/v2/documentation/api/latest/reference/cloudtrail/update-event-data-store.html), um die erweiterten Ereignisselektoren für einen vorhandenen Ereignisdatenspeicher zu aktualisieren. Führen Sie den [https://awscli.amazonaws.com/v2/documentation/api/latest/reference/cloudtrail/get-event-data-store.html](https://awscli.amazonaws.com/v2/documentation/api/latest/reference/cloudtrail/get-event-data-store.html)Befehl aus, um zu überprüfen, ob Ihr Ereignisdatenspeicher Netzwerkaktivitätsereignisse enthält. ``` aws cloudtrail get-event-data-store --event-data-store {{EventDataStoreARN}} ``` **Topics** + [Beispiel: Protokollieren Sie alle Netzwerkaktivitätsereignisse für CloudTrail Operationen](#creating-network-events-eds-CLI-ct) + [Beispiel: `VpceAccessDenied` Ereignisse protokollieren für AWS KMS](#creating-network-events-eds-CLI-kms) + [Beispiel: `VpceAccessDenied` EC2-Ereignisse über einen bestimmten VPC-Endpunkt protokollieren](#creating-network-events-eds-CLI-ec2) + [Beispiel: `VpceAccessDenied` Ereignisse für Amazon S3 protokollieren](#creating-network-events-eds-CLI-s3) + [Beispiel: Protokollieren Sie alle Verwaltungsereignisse und Netzwerkaktivitätsereignisse für mehrere Ereignisquellen](#creating-network-events-eds-CLI-multiple) #### Beispiel: Protokollieren Sie alle Netzwerkaktivitätsereignisse für CloudTrail Operationen Das folgende Beispiel zeigt, wie ein Ereignisdatenspeicher erstellt wird, der alle Netzwerkaktivitätsereignisse im Zusammenhang mit CloudTrail Vorgängen wie Aufrufen von `CreateTrail` und enthält`CreateEventDataStore`. Der Wert für das `eventSource` Feld ist auf gesetzt`cloudtrail.amazonaws.com`. ``` aws cloudtrail create-event-data-store \ --name "{{EventDataStoreName}}" \ --advanced-event-selectors '[ { "Name": "Audit all CloudTrail API calls over VPC endpoint", "FieldSelectors": [ { "Field": "eventCategory", "Equals": ["NetworkActivity"] }, { "Field": "eventSource", "Equals": ["cloudtrail.amazonaws.com"] } ] } ]' ``` Der Befehl gibt die folgende Beispielausgabe zurück. ``` { "EventDataStoreArn": "arn:aws:cloudtrail:us-east-1:111122223333:eventdatastore/EXAMPLE492-301f-4053-ac5e-EXAMPLE441aa", "Name": "EventDataStoreName", "Status": "ENABLED", "AdvancedEventSelectors": [ { "Name": "Audit all CloudTrail API calls over VPC endpoint", "FieldSelectors": [ { "Field": "eventCategory", "Equals": [ "NetworkActivity" ] }, { "Field": "eventSource", "Equals": [ "cloudtrail.amazonaws.com" ] } ] } ], "MultiRegionEnabled": true, "OrganizationEnabled": false, "RetentionPeriod": 366, "TerminationProtectionEnabled": true, "CreatedTimestamp": "2024-05-20T21:00:17.673000+00:00", "UpdatedTimestamp": "2024-05-20T21:00:17.820000+00:00" } ``` #### Beispiel: `VpceAccessDenied` Ereignisse protokollieren für AWS KMS Das folgende Beispiel zeigt, wie Sie einen Ereignisdatenspeicher erstellen, der `VpceAccessDenied` Ereignisse für enthält AWS KMS. In diesem Beispiel wird das `errorCode` Feld auf `VpceAccessDenied` Ereignisse und das `eventSource` Feld auf gleich gesetzt`kms.amazonaws.com`. ``` aws cloudtrail create-event-data-store \ --name {{EventDataStoreName}} \ --advanced-event-selectors '[ { "Name": "Audit AccessDenied AWS KMS events over VPC endpoints", "FieldSelectors": [ { "Field": "eventCategory", "Equals": ["NetworkActivity"] }, { "Field": "eventSource", "Equals": ["kms.amazonaws.com"] }, { "Field": "errorCode", "Equals": ["VpceAccessDenied"] } ] } ]' ``` Der Befehl gibt die folgende Beispielausgabe zurück. ``` { "EventDataStoreArn": "arn:aws:cloudtrail:us-east-1:111122223333:eventdatastore/EXAMPLEb4a8-99b1-4ec2-9258-EXAMPLEc890", "Name": "EventDataStoreName", "Status": "CREATED", "AdvancedEventSelectors": [ { "Name": "Audit AccessDenied AWS KMS events over VPC endpoints", "FieldSelectors": [ { "Field": "eventCategory", "Equals": [ "NetworkActivity" ] }, { "Field": "eventSource", "Equals": [ "kms.amazonaws.com" ] }, { "Field": "errorCode", "Equals": [ "VpceAccessDenied" ] } ] } ], "MultiRegionEnabled": true, "OrganizationEnabled": false, "RetentionPeriod": 366, "TerminationProtectionEnabled": true, "CreatedTimestamp": "2024-05-20T21:00:17.673000+00:00", "UpdatedTimestamp": "2024-05-20T21:00:17.820000+00:00" } ``` #### Beispiel: `VpceAccessDenied` EC2-Ereignisse über einen bestimmten VPC-Endpunkt protokollieren Das folgende Beispiel zeigt, wie Sie einen Ereignisdatenspeicher erstellen, der `VpceAccessDenied` Ereignisse für Amazon EC2 für einen bestimmten VPC-Endpunkt enthält. In diesem Beispiel wird das `errorCode` Feld auf `VpceAccessDenied` Ereignisse, das `eventSource` Feld auf `ec2.amazonaws.com` und `vpcEndpointId` gleich dem interessierenden VPC-Endpunkt festgelegt. ``` aws cloudtrail create-event-data-store \ --name {{EventDataStoreName}} \ --advanced-event-selectors '[ { "Name": "Audit AccessDenied EC2 events over a specific VPC endpoint", "FieldSelectors": [ { "Field": "eventCategory", "Equals": ["NetworkActivity"] }, { "Field": "eventSource", "Equals": ["ec2.amazonaws.com"] }, { "Field": "errorCode", "Equals": ["VpceAccessDenied"] }, { "Field": "vpcEndpointId", "Equals": ["vpce-example8c1b6b9b7"] } ] } ]' ``` Der Befehl gibt die folgende Beispielausgabe zurück. ``` { "EventDataStoreArn": "arn:aws:cloudtrail:us-east-1:111122223333:eventdatastore/EXAMPLEb4a8-99b1-4ec2-9258-EXAMPLEc890", "Name": "EventDataStoreName", "Status": "CREATED", "AdvancedEventSelectors": [ { "Name": "Audit AccessDenied EC2 events over a specific VPC endpoint", "FieldSelectors": [ { "Field": "eventCategory", "Equals": [ "NetworkActivity" ] }, { "Field": "eventSource", "Equals": [ "ec2.amazonaws.com" ] }, { "Field": "errorCode", "Equals": [ "VpceAccessDenied" ] }, { "Field": "vpcEndpointId", "Equals": [ "vpce-example8c1b6b9b7" ] } ] } ], "MultiRegionEnabled": true, "OrganizationEnabled": false, "RetentionPeriod": 366, "TerminationProtectionEnabled": true, "CreatedTimestamp": "2024-05-20T21:00:17.673000+00:00", "UpdatedTimestamp": "2024-05-20T21:00:17.820000+00:00" } ``` #### Beispiel: `VpceAccessDenied` Ereignisse für Amazon S3 protokollieren Das folgende Beispiel zeigt, wie Sie einen Ereignisdatenspeicher erstellen, der `VpceAccessDenied` Ereignisse für Amazon S3 enthält. In diesem Beispiel wird das `errorCode` Feld auf `VpceAccessDenied` Ereignisse und das `eventSource` Feld auf gleich gesetzt`s3.amazonaws.com`. ``` aws cloudtrail create-event-data-store \ --name {{EventDataStoreName}} \ --advanced-event-selectors '[ { "Name": "Log S3 access denied network activity events", "FieldSelectors": [ { "Field": "eventCategory", "Equals": ["NetworkActivity"] }, { "Field": "eventSource", "Equals": ["s3.amazonaws.com"] }, { "Field": "errorCode", "Equals": ["VpceAccessDenied"] } ] } ]' ``` Der Befehl gibt die folgende Beispielausgabe zurück. ``` { "EventDataStoreArn": "arn:aws:cloudtrail:us-east-1:111122223333:eventdatastore/EXAMPLEb4a8-99b1-4ec2-9258-EXAMPLEc890", "Name": "EventDataStoreName", "Status": "CREATED", "AdvancedEventSelectors": [ { "Name": "Log S3 access denied network activity events", "FieldSelectors": [ { "Field": "eventCategory", "Equals": [ "NetworkActivity" ] }, { "Field": "eventSource", "Equals": [ "s3.amazonaws.com" ] }, { "Field": "errorCode", "Equals": [ "VpceAccessDenied" ] } ] } ], "MultiRegionEnabled": true, "OrganizationEnabled": false, "RetentionPeriod": 366, "TerminationProtectionEnabled": true, "CreatedTimestamp": "2024-05-20T21:00:17.673000+00:00", "UpdatedTimestamp": "2024-05-20T21:00:17.820000+00:00" } ``` #### Beispiel: Protokollieren Sie alle Verwaltungsereignisse und Netzwerkaktivitätsereignisse für mehrere Ereignisquellen In den folgenden Beispielen wird ein Ereignisdatenspeicher, der derzeit nur Verwaltungsereignisse protokolliert, aktualisiert, sodass auch Netzwerkaktivitätsereignisse für mehrere Ereignisquellen protokolliert werden. Um einen Ereignisdatenspeicher zu aktualisieren und neue Ereignisselektoren hinzuzufügen, führen Sie den `get-event-data-store` Befehl aus, um die aktuellen erweiterten Ereignisselektoren zurückzugeben. Führen Sie dann den `update-event-data-store` Befehl aus und übergeben Sie den Befehl`--advanced-event-selectors`, der die aktuellen Selektoren sowie alle neuen Selektoren enthält. Um Netzwerkaktivitätsereignisse für mehrere Ereignisquellen zu protokollieren, fügen Sie für jede Ereignisquelle, die Sie protokollieren möchten, einen Selektor hinzu. ``` aws cloudtrail update-event-data-store \ --event-data-store arn:aws:cloudtrail:us-east-1:123456789012:eventdatastore/EXAMPLE-f852-4e8f-8bd1-bcf6cEXAMPLE \ --advanced-event-selectors '[ { "Name": "Log all management events", "FieldSelectors": [ { "Field": "eventCategory", "Equals": ["Management"] } ] }, { "Name": "Log all network activity events for CloudTrail APIs", "FieldSelectors": [ { "Field": "eventCategory", "Equals": ["NetworkActivity"] }, { "Field": "eventSource", "Equals": ["cloudtrail.amazonaws.com"] } ] }, { "Name": "Log all network activity events for EC2", "FieldSelectors": [ { "Field": "eventCategory", "Equals": ["NetworkActivity"] }, { "Field": "eventSource", "Equals": ["ec2.amazonaws.com"] } ] }, { "Name": "Log all network activity events for KMS", "FieldSelectors": [ { "Field": "eventCategory", "Equals": ["NetworkActivity"]}, { "Field": "eventSource", "Equals": ["kms.amazonaws.com"] } ] }, { "Name": "Log all network activity events for S3", "FieldSelectors": [ { "Field": "eventCategory", "Equals": ["NetworkActivity"] }, { "Field": "eventSource", "Equals": ["s3.amazonaws.com"] } ] }, { "Name": "Log all network activity events for Secrets Manager", "FieldSelectors": [ { "Field": "eventCategory", "Equals": ["NetworkActivity"] }, { "Field": "eventSource", "Equals": ["secretsmanager.amazonaws.com"] } ] } ]' ``` Der Befehl gibt die folgende Beispielausgabe zurück. ``` { "EventDataStoreArn": "arn:aws:cloudtrail:us-east-1:111122223333:eventdatastore/EXAMPLEb4a8-99b1-4ec2-9258-EXAMPLEc890", "Name": "EventDataStoreName", "Status": "CREATED", "AdvancedEventSelectors": [ { "Name": "Log all management events", "FieldSelectors": [ { "Field": "eventCategory", "Equals": [ "Management" ] } ] }, { "Name": "Log all network activity events for CloudTrail APIs", "FieldSelectors": [ { "Field": "eventCategory", "Equals": [ "NetworkActivity" ] }, { "Field": "eventSource", "Equals": [ "cloudtrail.amazonaws.com" ] } ] }, { "Name": "Log all network activity events for EC2", "FieldSelectors": [ { "Field": "eventCategory", "Equals": [ "NetworkActivity" ] }, { "Field": "eventSource", "Equals": [ "ec2.amazonaws.com" ] } ] }, { "Name": "Log all network activity events for KMS", "FieldSelectors": [ { "Field": "eventCategory", "Equals": [ "NetworkActivity" ] }, { "Field": "eventSource", "Equals": [ "kms.amazonaws.com" ] } ] }, { "Name": "Log all network activity events for S3", "FieldSelectors": [ { "Field": "eventCategory", "Equals": [ "NetworkActivity" ] }, { "Field": "eventSource", "Equals": [ "s3.amazonaws.com" ] } ] }, { "Name": "Log all network activity events for Secrets Manager", "FieldSelectors": [ { "Field": "eventCategory", "Equals": [ "NetworkActivity" ] }, { "Field": "eventSource", "Equals": [ "secretsmanager.amazonaws.com" ] } ] } ], "MultiRegionEnabled": true, "OrganizationEnabled": false, "RetentionPeriod": 366, "TerminationProtectionEnabled": true, "CreatedTimestamp": "2024-11-20T21:00:17.673000+00:00", "UpdatedTimestamp": "2024-11-20T21:00:17.820000+00:00" } ``` ## Protokollieren von Ereignissen mit dem AWS SDKs Führen Sie den [GetEventSelectors](https://docs.aws.amazon.com/awscloudtrail/latest/APIReference/API_GetEventSelectors.html)Vorgang aus, um festzustellen, ob Ihr Trail Netzwerkaktivitätsereignisse protokolliert. Sie können Ihre Trails so konfigurieren, dass Netzwerkaktivitätsereignisse protokolliert werden, indem Sie den [PutEventSelectors](https://docs.aws.amazon.com/awscloudtrail/latest/APIReference/API_PutEventSelectors.html)Vorgang ausführen. Weitere Informationen finden Sie in der [AWS CloudTrail -API-Referenz](https://docs.aws.amazon.com/awscloudtrail/latest/APIReference/). Führen Sie den [GetEventDataStore](https://docs.aws.amazon.com/awscloudtrail/latest/APIReference/API_GetEventDataStore.html)Vorgang aus, um festzustellen, ob Ihr Ereignisdatenspeicher Netzwerkaktivitätsereignisse protokolliert. Sie können Ihre Ereignisdatenspeicher so konfigurieren, dass sie Netzwerkaktivitätsereignisse enthalten, indem Sie die [UpdateEventDataStore](https://docs.aws.amazon.com/awscloudtrail/latest/APIReference/API_UpdateEventDataStore.html)Operationen [CreateEventDataStore](https://docs.aws.amazon.com/awscloudtrail/latest/APIReference/API_CreateEventDataStore.html)oder ausführen und erweiterte Ereignisauswahlmöglichkeiten angeben. Weitere Informationen finden Sie unter [Erstellen, aktualisieren und verwalten Sie Ereignisdatenspeicher mit dem AWS CLI](lake-eds-cli.md) und der [AWS CloudTrail -API-Referenz](https://docs.aws.amazon.com/awscloudtrail/latest/APIReference/).