Creación de un registro de seguimiento para la organización en la consola

Para crear un registro de seguimiento de organización con la Consola de administración de AWS

1. Inicie sesión en la Consola de administración de AWS y abra la consola de CloudTrail en https://console.aws.amazon.com/cloudtrail/.

   Debe iniciar sesión con una identidad de IAM de la cuenta de administración o la de administrador delegado que tenga permisos suficientes para crear un registro de seguimiento de organización.

2. Elija Trails (Registros de seguimiento) y, a continuación, elija Create trail (Crear registro de seguimiento).

3. En la página Create Trail, escriba el nombre del registro de seguimiento en Trail name. Para obtener más información, consulte Requisitos de nomenclatura de los recursos de CloudTrail, los buckets de S3 y las claves de KMS.

4. Seleccione Enable for all accounts in my organization (Habilitar para todas las cuentas de mi organización). Solo verá esta opción si inició sesión en la consola con un usuario o un rol de la cuenta de administración o la de administrador delegado. Para crear correctamente un registro de seguimiento de organización, asegúrese de que el usuario o el rol tengan permisos suficientes.

5. En Storage location (Ubicación del almacenamiento), elija Create new S3 bucket (Crear un bucket de S3 nuevo) para crear un bucket. Cuando se crea un bucket, CloudTrail crea y aplica las políticas de buckets necesarias.

   nota

   Si eligió Use existing S3 bucket (Utilizar bucket de S3 existente), especifique un bucket en Trail log bucket name (Nombre del bucket de registro de seguimiento), o elija Browse (Examinar) para elegir un bucket. Puede elegir un bucket que pertenezca a cualquier cuenta; sin embargo, la política del bucket debe otorgar permiso a CloudTrail para escribir en él. Para obtener más información sobre cómo editar manualmente la política del bucket, consulte Política de bucket de Amazon S3 para CloudTrail.

   Para facilitar la búsqueda de registros, cree una carpeta nueva (también conocida como prefijo) en un bucket existente a fin de almacenar los registros de CloudTrail. Ingrese el prefijo en Prefix (Prefijo).

6. En Cifrado SSE-KMS de archivos de registro, elija Habilitado si desea cifrar sus archivos de registro y de resumen con cifrado SSE-KMS en vez de SSE-S3. El valor predeterminado es Enabled (Habilitado). Si no habilita el cifrado SSE-KMS, los archivos de registro y de resumen se cifrarán mediante el cifrado SSE-S3. Para obtener más información sobre el cifrado SSE-KMS, consulte Uso del cifrado del lado del servidor con AWS Key Management Service (SSE-KMS). Para obtener más información sobre el cifrado SSE-S3, consulte Using Server-Side Encryption with Amazon S3-Managed Encryption Keys (SSE-S3) (Uso de cifrado del lado del servidor con claves de cifrado administradas por Amazon S3 [SSE-S3]).

   Si habilita el cifrado SSE-KMS, elija AWS KMS key New (Nuevo) o Existing (Existente). En AWS KMS Alias (Alias de KMS), especifique un alias, en el formato alias/MyAliasName. Para obtener más información, consulte Actualización de un recurso para que utilice su clave de KMS con la consola.

   nota

   También puede escribir el ARN de una clave de otra cuenta. Para obtener más información, consulte Actualización de un recurso para que utilice su clave de KMS con la consola. La política de claves debe permitir que CloudTrail utilice la clave para cifrar los archivos de registro y de resumen, y que los usuarios especificados lean archivos de registro y de resumen en formato no cifrado. Para obtener más información sobre cómo editar manualmente la política de claves, consulte Configurar políticas de clave de AWS KMS para CloudTrail.

7. En Additional settings (Configuración adicional), configure lo siguiente.

   1. En Log file validation (Validación de archivo de registros), elija Enabled (Habilitado) para que se envíen los resúmenes de archivos de registros a su bucket de S3. Puede utilizar los archivos de resumen para comprobar que sus archivos de registros no cambien después de que CloudTrail los envíe. Para obtener más información, consulte Validar la integridad de los archivos de registros de CloudTrail.

   2. En SNS notification delivery (Envío de notificación SNS), elija Enabled (Habilitado) si desea recibir una notificación cada vez que se envíe un archivo de registros a su bucket. CloudTrail almacena varios eventos en un archivo de registros. Las notificaciones de SNS se envían para cada archivo de registro, no para cada evento. Para obtener más información, consulte Configuración de notificaciones de Amazon SNS para CloudTrail.

      Si habilita las notificaciones SNS, en Create a new SNS topic (Crear un tema de SNS nuevo), elija New (Nuevo) para crear un tema o elija Existing (Existente) a fin de utilizar un tema existente. Si va a crear un registro de seguimiento de varias regiones, las notificaciones de SNS para las entregas de archivo de registro de todas las regiones se envían al tema de SNS único que haya creado.

      Si elige New (Nuevo), CloudTrail especifica un nombre para el tema nuevo o puede escribir un nombre. Si elige Existing (Existente), elija un tema de SNS en la lista desplegable. También puede especificar el ARN de un tema de otra región o de una cuenta con los permisos adecuados. Para obtener más información, consulte Política de temas de Amazon SNS para CloudTrail.

      Si crea un tema, deberá suscribirse al tema para recibir una notificación del envío de archivos de registro. Puede suscribirse en la consola de Amazon SNS. Debido a la frecuencia de las notificaciones, recomendamos que configure la suscripción para que se utilice una cola de Amazon SQS a fin de administrar las notificaciones mediante programación. Para obtener más información, consulte Introducción a Amazon SNS en la Guía para desarrolladores de Amazon Simple Notification Service.

8. También puede configurar CloudTrail para que envíe archivos de registros a CloudWatch Logs al elegir Enabled (Habilitado) en CloudWatch Logs. Para obtener más información, consulte Envío de eventos a Amazon CloudWatch Logs.

   nota

   Solo la cuenta de administración puede configurar un grupo de registro de CloudWatch Logs para un registro de seguimiento de la organización mediante la consola. El administrador delegado puede configurar un grupo de registro de CloudWatch Logs con la AWS CLI o operaciones CreateTrail o UpdateTrail de la API de CloudTrail.

   1. Si habilita la integración con CloudWatch Logs, elija New (Nuevo) para crear un grupo de registros nuevo, o Existing (Existente) para utilizar uno existente. Si elige New (Nuevo), CloudTrail especifica un nombre para el grupo de registros nuevo o puede escribir un nombre.

   2. Si elige Existing (Existente), elija un grupo de registros en la lista desplegable.

   3. Elija New (Nuevo) para crear un rol de IAM nuevo con permisos para enviar registros a CloudWatch Logs. Elija Existing (Existente) para elegir un rol de IAM en la lista desplegable. La instrucción de la política para el rol nuevo o existente se muestra al expandir Policy document (Documento de política). Para obtener más información acerca de este rol, consulte Documento de política de roles para que CloudTrail utilice CloudWatch Logs para el monitoreo..

      nota

      Cuando configure un registro de seguimiento, podrá seleccionar un bucket de S3 y un tema de Amazon SNS que pertenezcan a otra cuenta. Sin embargo, si desea que CloudTrail envíe los eventos a un grupo de archivos de registro de CloudWatch Logs, debe elegir un grupo de archivos de registro que exista en la cuenta actual.

9. En Etiquetas, puede agregar hasta 50 pares de claves y etiquetas para que lo ayuden a identificar y ordenar su registro de seguimiento y controlar el acceso a él. Las etiquetas pueden ayudarlo a identificar tanto los registros de seguimiento de CloudTrail como los buckets de Amazon S3 que contienen archivos de registros de CloudTrail. Esto permitirá utilizar grupos de recursos para los recursos de CloudTrail. Para obtener más información, consulte Grupos de recursos de AWS y Etiquetas.

10. En la página Choose log events (Elegir eventos de registro), elija los tipos de eventos que desea registrar. En Management events (Eventos de administración), haga lo siguiente.

    1. En API activity (Actividad de la API), elija si desea que su registro de seguimiento registre eventos de Read (Lectura), Write (Escritura) o ambos. Para obtener más información, consulte Eventos de administración.

    2. Elija Exclude AWS KMS events (Excluir eventos de KMS) para filtrar eventos de AWS Key Management Service (AWS KMS) fuera del registro de seguimiento. La configuración predeterminada es incluir a todos los eventos de AWS KMS.

       La opción para registrar o excluir eventos de AWS KMS solo se encuentra disponible si registra eventos de administración en su registro de seguimiento. Si elige no registrar eventos de administración, no se registran eventos de AWS KMS y no podrá cambiar la configuración del registro de eventos de AWS KMS.

       En general, las acciones de AWS KMS como Encrypt, Decrypt y GenerateDataKey generan un gran volumen (más del 99 %) de eventos. Estas acciones se registran ahora como eventos de lectura. Las acciones relevantes y de bajo volumen de AWS KMS, como Disable, Delete y ScheduleKey (que normalmente representan menos del 0,5 % del volumen de eventos de AWS KMS) se registran como eventos de Escritura.

       Para excluir eventos de gran volumen como Encrypt, Decrypt y GenerateDataKey, y seguir registrando eventos relevantes como Disable, Delete y ScheduleKey, elija registrar eventos de administración Write (Escritura) y desmarque la casilla de verificación Exclude AWS KMS events (Excluir eventos de KMS).

    3. Elija Exclude Amazon RDS Data API events (Excluir eventos de API de datos de Amazon RDS) para quitar del registro de seguimiento los eventos de API de datos de Amazon Relational Database Service. La configuración predeterminada es incluir a todos los eventos de la API de datos de Amazon RDS. A fin de obtener más información sobre los eventos de API de datos de Amazon RDS, consulte Registro de llamadas a la API de datos con AWS CloudTrail en la Guía del usuario de Amazon RDS para Aurora.

11. Para registrar eventos de datos, elija Data events (Eventos de datos). Se aplican cargos adicionales para registrar eventos de datos. Para más información, consulte Precios de AWS CloudTrail.

12. importante

    Los pasos del 12 al 16 son para configurar los eventos de datos mediante selectores de eventos avanzados, que son los predeterminados. Los selectores de eventos avanzados le permiten configurar más tipos de recursos y ofrecen un control detallado de los eventos de datos que captura su registro de seguimiento. Si tiene previsto registrar eventos de actividad de la red, debe utilizar selectores de eventos avanzados. Si usa selectores de eventos básicos, siga los pasos que se indican en Configurar los ajustes de eventos de datos mediante selectores de eventos básicos y, a continuación, vuelva al paso 17 de este procedimiento.

    En Tipo de recurso, elija el tipo de recurso en el que desea registrar los eventos de datos. Para obtener más información sobre los tipos de recursos disponibles, consulte Eventos de datos.

13. Elija una plantilla de selector de registros. Puede elegir una plantilla predefinida o elegir Personalizar para definir sus propias condiciones de recopilación de eventos.

    Puede elegir entre las siguientes plantillas predefinidas:

    • Registrar todos los eventos: elija esta plantilla para registrar todos los eventos.

    • Registrar solo eventos de lectura: elija esta plantilla para registrar solo eventos de lectura. Los eventos de solo lectura son eventos que no cambian el estado de un recurso, como los eventos Get* o Describe*.

    • Registrar solo eventos de escritura: elija esta plantilla para registrar solo eventos de escritura. Los eventos de escritura agregan, cambian o eliminan recursos, atributos o artefactos, como eventos Put*, Delete* o Write*.

    • Registrar solo eventos de la Consola de administración de AWS: elija esta plantilla para registrar solo los eventos que se originan en la Consola de administración de AWS.

    • Excluir eventos iniciados de Servicio de AWS: elija esta plantilla para excluir los eventos de Servicio de AWS que tienen un eventType de AwsServiceEvent y los eventos iniciados con roles vinculados a Servicio de AWS (SLR).

    nota

    Elegir una plantilla predefinida para los buckets de S3 permite el registro de eventos de datos de todos los buckets que haya actualmente en la cuenta de AWS, así como de cualquier otro bucket que pudiera crear después de generar el registro de seguimiento. Esta opción habilita también el registro de la actividad de eventos de datos que lleva a cabo cualquier identidad de IAM en su cuenta de AWS, aunque esta se haga en un bucket que pertenezca a otra cuenta de AWS.

    Si el registro de seguimiento solo aplica a una región, elegir una plantilla predefinida que registra todos los buckets de S3 permite el registro de eventos de datos de todos los buckets en la misma región que el registro de seguimiento, así como de cualquier otro bucket que cree posteriormente en esa región. No registrará los eventos de datos de los buckets de Amazon S3 en otras regiones de la cuenta de AWS.

    Si crea un registro de seguimiento de varias regiones, elegir una plantilla predefinida para las funciones de Lambda permite el registro de eventos de datos de todas las funciones que se encuentran actualmente en la cuenta de AWS, así como de cualquier función de Lambda que cree en cualquier región después de crear el registro de seguimiento. Si va a crear un registro de seguimiento para una sola región (mediante la AWS CLI), esta opción habilita el registro de eventos de datos de todas las funciones que se encuentran actualmente en esa región en la cuenta de AWS, así como de cualquier función Lambda que cree en esa región después de crear el registro de seguimiento. No habilita el registro de eventos de datos de las funciones Lambda creadas en otras regiones.

    El registro de eventos de datos de todas las funciones habilita también el registro de la actividad de eventos de datos que lleve a cabo cualquier identidad de IAM de su cuenta de AWS, aunque esta se haga en una función que pertenezca a otra cuenta de AWS.

14. (Opcional) En Nombre del selector, escriba un nombre para identificar el selector. El nombre del selector es un nombre descriptivo opcional para un selector de eventos avanzado, como “Registrar eventos de datos para solo dos buckets de S3”. El nombre del selector aparece como Name en el selector de eventos avanzado y se puede ver si se amplía la vista JSON.

15. Si seleccionó Personalizado, en los selectores de eventos avanzados se crea una expresión basada en los valores de los campos de los selectores de eventos avanzados.

    nota

    Los selectores no admiten el uso de caracteres comodín como *. Para hacer coincidir varios valores con una sola condición, puede usar StartsWith, EndsWith, NotStartsWith o NotEndsWith a fin de hacer coincidir de manera explícita el principio o el final del campo de evento.

    1. Elija uno de los siguientes campos.

       • readOnly: readOnly se puede establecer en es igual a con el valor true o false. Los eventos de datos de solo lectura son eventos que no cambian el estado de un recurso, como eventos Get* o Describe*. Los eventos de escritura agregan, cambian o eliminan recursos, atributos o artefactos, como eventos Put*, Delete* o Write*. Para registrar eventos read y write, no agregue un selector de readOnly.

       • eventName - eventName puede utilizar cualquier operador. Puede utilizarlo para incluir o excluir cualquier evento de datos registrado en CloudTrail, como PutBucket, GetItem o GetSnapshotBlock.

       • eventSource: el origen del evento que se va a incluir o excluir. Este campo puede utilizar cualquier operador.

       • eventType: el tipo de evento que se va a incluir o excluir. Por ejemplo, puede establecer este campo en no igual a AwsServiceEvent para excluir Servicio de AWSEventos de . Para obtener una lista de los tipos de eventos, consulte eventType en CloudTrail registra el contenido de los eventos de administración, de datos y de actividad de la red.

       • sessionCredentialFromConsole: incluya o excluya los eventos que se originan en una sesión de la Consola de administración de AWS. Este campo se puede establecer como igual o no igual con un valor de true.

       • userIdentity.arn: incluya o excluya eventos para las acciones realizadas por identidades de IAM específicas. Para obtener más información, consulte Elemento userIdentity de CloudTrail.

       • resources.ARN: puede utilizar cualquier operador con resources.ARN, pero si utiliza es igual a o no es igual a, el valor debe coincidir exactamente con el ARN de un recurso válido del tipo especificado en la plantilla como el valor de resources.type.

         nota

         No puede usar el campo resources.ARN para filtrar los tipos de recursos que no tienen ARN.

         Para obtener más información sobre los formatos del ARN de los recursos de eventos de datos, consulte Acciones, recursos y claves de condición para los Servicios de AWS en la Referencia de autorizaciones de servicio.

    2. En cada campo, seleccione + Condición para agregar tantas condiciones como necesite, hasta un máximo de 500 valores especificados para todas las condiciones. Por ejemplo, para excluir eventos de datos de dos buckets de S3 de los eventos de datos registrados en su almacén de datos de eventos, puede establecer el campo en resources.ARN, configurar el operador en no comienza por y, a continuación, pegar un ARN de bucket de S3 para los que no desea registrar eventos.

       Para agregar el segundo bucket de S3, seleccione + Condición y, a continuación, repita la instrucción anterior, pegue el ARN o busque un bucket diferente.

       Para obtener información sobre cómo evalúa CloudTrail varias condiciones, consulte Cómo evalúa CloudTrail varias condiciones de un campo.

       nota

       Puede tener un máximo de 500 valores para todos los selectores de un almacén de datos de eventos. Esto incluye matrices de varios valores para un selector como eventName. Si tiene valores únicos para todos los selectores, puede agregar un máximo de 500 condiciones a un selector.

    3. Elija + Field (+ campos) para agregar campos adicionales según sea necesario. Para evitar errores, no establezca valores contradictorios ni duplicados en los campos. Por ejemplo, no especifique un ARN en un selector para que sea igual a un valor y luego especifique que el ARN no sea igual al mismo valor en otro selector.

16. Para agregar un tipo de datos en el que registrar eventos de datos, elija Agregar tipo de evento de datos. Repita los 12 pasos hasta este paso a fin de configurar selectores de eventos avanzados para el tipo de recursos.

17. Para registrar los eventos de actividad de la red, seleccione Eventos de actividad de la red. Los eventos de actividad de la red permiten a los propietarios de los puntos de conexión de VPC grabar las llamadas a la API de AWS realizadas con sus puntos de conexión de VPC desde una VPC privada al Servicio de AWS. Se aplican cargos adicionales para registrar eventos de datos. Para más información, consulte Precios de AWS CloudTrail.

    Para registrar eventos de actividad de la red, siga estos pasos:

    1. En Origen de eventos de actividad de la red, seleccione el origen de los eventos de actividad de la red.

    2. Elija una plantilla en la sección Log selector template (Plantilla de selector de registros). Puede optar por registrar todos los eventos de actividad de la red, registrar todos los eventos de acceso denegado a la actividad de la red o seleccionar Personalizar para crear un selector de registro personalizado que filtre por varios campos, como eventName y vpcEndpointId.

    3. (Opcional) Escriba un nombre para identificar el selector. El nombre del selector aparece como Nombre en el selector de eventos avanzado y se puede ver si se amplía la vista JSON.

    4. En Selectores de eventos avanzados, cree expresiones mediante la selección de valores para Campo, Operador y Valor. Puede omitir este paso si utiliza una plantilla de registro predefinida.

       1. Para excluir o incluir eventos de actividad de la red, puede elegir entre los siguientes campos de la consola.

          • eventName – puede utilizar cualquier operador con eventName. Puede utilizarlo para incluir o excluir cualquier evento, como CreateKey.

          • errorCode – puede usarlo para filtrar por un código de error. Actualmente, el único errorCode que se admite es VpceAccessDenied.

          • vpcEndpointId – identifica el punto de conexión de VPC por el que pasó la operación. Puede utilizar cualquier operador con vpcEndpointId.

       2. En cada campo, seleccione + Condición para agregar tantas condiciones como necesite, hasta un máximo de 500 valores especificados para todas las condiciones.

       3. Elija + Field (+ campos) para agregar campos adicionales según sea necesario. Para evitar errores, no establezca valores contradictorios ni duplicados en los campos.

    5. Para agregar otro origen de eventos de actividad de la red que quiera registrar, seleccione Agregar selector de eventos de actividad de la red.

    6. De manera opcional, expanda JSON view (Vista JSON) para ver los selectores de eventos avanzados como un bloque JSON.

18. Elija Insights events (Eventos de Insights) si desea que su registro de seguimiento registre eventos de CloudTrail Insights.

    En Event type (Tipo de evento), seleccione Insights events (Eventos de Insights). En Insights events (Eventos de Insights), elija API call rate (Tasa de llamada a la API), API error rate (Tasa de errores de API), o ambos. Debe registrar los eventos de administración de escritura para registrar los eventos de Insights para calcular la tasa de llamadas a la API. Debe registrar los eventos de administración de lectura o escritura para registrar los eventos de Insights para calcular la tasa de errores de la API.

    CloudTrail Insights analiza los eventos de administración para actividades inusuales y registra eventos cuando se detectan anomalías. De forma predeterminada, los registros de seguimiento no registran eventos de Insights. Para obtener más información acerca de los eventos de Insights, consulte Trabajar con CloudTrail Insights. Se aplican cargos adicionales por registrar eventos de Insights. Para conocer los precios de CloudTrail, consulte Precios de AWS CloudTrail.

    Los eventos de Insights se envían a una carpeta diferente denominada /CloudTrail-Insight del mismo bucket de S3 que se especifica en el área de Storage location (Ubicación de almacenamiento) de la página de detalles del registro de seguimiento. CloudTrail crea el prefijo nuevo en su nombre. Por ejemplo, si el bucket de S3 de destino actual se denomina amzn-s3-demo-destination-bucket/AWSLogs/CloudTrail/, el nombre del bucket de S3 con un nuevo prefijo se denomina amzn-s3-demo-destination-bucket/AWSLogs/CloudTrail-Insight/.

19. Cuando haya terminado de elegir los tipos de eventos para registrar, elija Next (Siguiente).

20. En la página Review and create (Revisar y crear), revise las opciones seleccionadas. Elija Edit (Editar) en una sección para cambiar la configuración del registro de seguimiento que se muestra en esa sección. Cuando esté listo para crear el registro de seguimiento, elija Create trail (Crear registro de seguimiento).

21. El nuevo registro de seguimiento aparece en la página Trails. Un registro de seguimiento de organización puede tardar hasta 24 horas en crearse en todas las regiones habilitadas en todas las cuentas miembro. La página Trails (Registros de seguimiento) muestra los registros de seguimiento de su cuenta de todas las regiones. En unos 5 minutos, CloudTrail publica los archivos de registros que muestran las llamadas a la API de AWS hechas en su organización. Puede ver los archivos de registros del bucket de Amazon S3 especificado.