Cómo entender los registros de seguimiento de varias regiones y las regiones optativas
Un registro de seguimiento se puede aplicar a todas las Regiones de AWS que estén habilitadas en su Cuenta de AWS o se puede aplicar a una sola región. Un registro de seguimiento que se aplica a todas las Regiones de AWS que están habilitadas en su Cuenta de AWS se denomina registro de seguimiento de varias regiones. Como práctica recomendada, le sugerimos crear un registro de seguimiento de varias regiones, ya que captura la actividad en todas las regiones habilitadas. Todos los registros de seguimiento que se crearon mediante la consola de CloudTrail son registros de seguimiento de varias regiones. Solo puede crear un registro de seguimiento de una sola región mediante el AWS CLI o la operación API de CreateTrail.
Aunque la mayoría de Regiones de AWS están habilitadas por defecto en su Cuenta de AWS, debe habilitar manualmente determinadas regiones (también denominadas regiones optativas). Para obtener información sobre qué regiones están habilitadas por defecto, consulte Considerations before enabling and disabling Regions en la Guía de referencia de AWS Account Management. Para ver la lista de las regiones que admite CloudTrail, consulte Regiones compatibles con CloudTrail.
Temas
¿Cuáles son las ventajas de los registro de seguimiento de varias regiones?
Los registros de seguimiento multirregión tienen las siguientes ventajas:
-
Los valores de configuración del registro de seguimiento se aplican de forma sistemática a todas las Regiones de AWS habilitadas .
-
Recibirá eventos de CloudTrail desde todas las Regiones de AWS habilitadas en un único bucket de Amazon S3 y, de manera opcional, en un grupo de registro de Registros de CloudWatch.
-
Las configuraciones del registro de seguimiento para todas las Regiones de AWS habilitadas se administran desde una sola ubicación.
¿Qué ocurre cuando se crea un registro de seguimiento de varias regiones?
Crear un registro de seguimiento de varias regiones tiene los siguientes efectos:
-
CloudTrail envía los archivos de registros sobre la actividad de la cuenta desde todas las Regiones de AWS habilitadas al bucket de Amazon S3 que se especifique y, de manera opcional, a un grupo de registro de registros de CloudWatch.
-
Si ha configurado un tema de Amazon SNS para el registro de seguimiento, las notificaciones de SNS sobre los envíos de archivos de registros de todas las Regiones de AWS habilitadas se envían a este tema de SNS de forma exclusiva.
-
Puede ver el registro de seguimiento de varias regiones en todas las Regiones de AWS habilitadas, pero solo puede modificar el registro de seguimiento en la región de origen en la que se creó.
¿Qué sucede cuando se habilita una región optativa?
Después de habilitar una región optativa, en CloudTrail se crea una copia idéntica de cada registro de seguimiento de varias regiones de la región optativa que habilitó.
CloudTrail utiliza un modelo de computación distribuida denominado coherencia final. Como la activación de una región demora entre unos minutos y varias horas, es posible que no vea de inmediato todos los eventos en los registros de la región recién habilitada. CloudTrail puede demorar varias horas en entregar todos los registros de la región recién habilitada. Durante este periodo, puede ver los últimos 90 días de los eventos de administración registrados en esa región consultando el Historial de eventos de CloudTrail o ejecutando el comando aws cloudtrail lookup-events --region <region>. El historial de eventos está habilitado de manera predeterminada en su Cuenta de AWS, captura los últimos 90 días de los eventos de administración registrados en una región y no requiere un registro de seguimiento.
Para obtener información sobre cómo habilitar una región optativa para la Cuenta de AWS, consulte Habilitar o deshabilitar una región para cuentas independientes o Habilitar o deshabilitar de una región en la organización.
¿Qué sucede cuando se deshabilita una región optativa?
Como su cuenta puede tener actividad en la región que deshabilitó, como acciones Servicios de AWS para eliminar recursos, en CloudTrail se seguirá registrando la actividad e intentando enviar eventos al bucket de S3 para cualquier registro de seguimiento que no se elimine antes de deshabilitar la región.
