Paneles de CloudTrail Lake

Puede usar los paneles de CloudTrail Lake para consultar las tendencias de eventos de los almacenes de datos de eventos de la cuenta. CloudTrail Lake ofrece los siguientes tipos de paneles:

Cada panel consta de uno o más widgets y cada uno brinda una representación gráfica de los resultados de una consulta SQL. Para ver la consulta de un widget, elija Ver y editar consultas a fin de abrir el editor de consultas.

Cuando se actualiza un panel, CloudTrail Lake ejecuta las consultas para completar los widgets del panel. Dado que la ejecución de consultas genera costos, CloudTrail le solicita que confirme los costos asociados a la ejecución de consultas. Para obtener más información acerca de los precios de CloudTrail, consulte Precios de CloudTrail.

Requisitos previos

Para usar los paneles de CloudTrail Lake hay que cumplir los siguientes requisitos previos:

Limitaciones

Las siguientes limitaciones se aplican a los paneles de CloudTrail Lake:

Compatibilidad de regiones

Los paneles de CloudTrail Lake son compatibles en todas las Regiones de AWS en las que se admite CloudTrail Lake.

El widget de Resumen de actividades del panel de Aspectos destacados es compatible con las siguientes regiones:

Todos los demás widgets son compatibles en todas las Regiones de AWS en las que se admite CloudTrail Lake.

Para obtener más información sobre las regiones que son compatibles con CloudTrail Lake, consulte Regiones en las que se admite CloudTrail Lake.

Permisos necesarios

En esta sección se describen los permisos necesarios para los paneles de CloudTrail Lake y se analizan dos tipos de políticas de IAM:

Requisitos de la política basada en la identidad

Las políticas basadas en identidad son documentos de políticas de permisos JSON que puede asociar a una identidad, como un usuario de IAM, un grupo de usuarios o un rol. Estas políticas controlan qué acciones pueden realizar los usuarios y los roles, en qué recursos y en qué condiciones. Para obtener más información sobre cómo crear una política basada en identidad, consulte Creación de políticas de IAM en la Guía del usuario de IAM.

Para ver y administrar los paneles de CloudTrail Lake, necesita una de las siguientes políticas:

Permisos necesarios para crear los paneles

El siguiente ejemplo de política ofrece los permisos mínimos necesarios para crear paneles. Reemplace partition, region, account-id y eds-id por los valores de su configuración.

JSON

{
    "Version":"2012-10-17",		 	 	 
    "Statement": [
        {
            "Sid": "Statement1",
            "Effect": "Allow",
            "Action": [
                "cloudtrail:CreateDashboard",
                "cloudtrail:StartDashboardRefresh",
                "cloudtrail:StartQuery"
            ],
            "Resource": [
                "arn:aws:cloudtrail:us-east-1:111111111111:dashboard/*",
                "arn:aws:cloudtrail:us-east-1:111111111111:eventdatastore/eds-id"
            ]
        }
    ]
}

Permisos necesarios para actualizar los paneles

El siguiente ejemplo de política ofrece los permisos mínimos necesarios para actualizar paneles. Reemplace partition, region, account-id y eds-id por los valores de su configuración.

JSON

{
    "Version":"2012-10-17",		 	 	 
    "Statement": [
        {
            "Sid": "Statement1",
            "Effect": "Allow",
            "Action": [
                "cloudtrail:UpdateDashboard",
                "cloudtrail:StartDashboardRefresh",
                "cloudtrail:StartQuery"
            ],
            "Resource": [
                "arn:aws:cloudtrail:us-east-1:111111111111:dashboard/*",
                "arn:aws:cloudtrail:us-east-1:111111111111:eventdatastore/eds-id"
            ]
        }
    ]
}

Permisos necesarios para actualizar los paneles

El siguiente ejemplo de política ofrece los permisos mínimos necesarios para actualizar los paneles. Reemplace partition, region, account-id, dashboard-name y eds-id por los valores de su configuración.

JSON

{
    "Version":"2012-10-17",		 	 	 
    "Statement": [
        {
            "Sid": "Statement1",
            "Effect": "Allow",
            "Action": [
                "cloudtrail:StartDashboardRefresh",
                "cloudtrail:StartQuery"
            ],
            "Resource": [
                "arn:aws:cloudtrail:us-east-1:111111111111:dashboard/dashboard-name",
                "arn:aws:cloudtrail:us-east-1:111111111111:eventdatastore/eds-id"
            ]
        }
    ]
}

Políticas basadas en recursos para paneles y almacenes de datos de eventos

Las políticas basadas en recursos son documentos de política JSON que se asocian a un recurso. Los ejemplos de políticas basadas en recursos son las políticas de confianza de roles de IAM y las políticas de bucket de Amazon S3. Para el recurso al que se asocia la política, la política define qué acciones puede realizar una entidad principal especificada en ese recurso y en qué condiciones. Debe especificar una entidad principal en una política en función de recursos.

Para ejecutar consultas en un panel durante una actualización manual o programada, debe asociar una política basada en recursos a cada almacén de datos de eventos que esté asociado a un widget del panel. Esto permite a CloudTrail Lake ejecutar las consultas en su nombre. Cuando crea un panel personalizado o habilita el panel de aspectos destacados mediante la consola de CloudTrail, esta le ofrece la opción de elegir a qué almacenes de datos de eventos quiere aplicar los permisos. Para obtener más información sobre la política basada en recursos, consulte Ejemplo: permitir que CloudTrail ejecute consultas para actualizar un panel.

A fin de establece un programa de actualización para un panel, debe asociar una política basada en recursos al panel para permitir que CloudTrail Lake actualice el panel en su nombre. Cuando establece un programa de actualización para un panel personalizado o habilita el panel de aspectos destacados mediante la consola de CloudTrail, esta le ofrece la opción de asociar una política basada en recursos al panel. Para ver una política de ejemplo, consulte Ejemplo de política basada en recursos para un panel.

Puede asociar una política basada en recursos mediante la consola de CloudTrail, el AWS CLI o la operación de la API PutreSourcePolicy.

Permisos clave de KMS para descifrar los datos de un almacén de datos de eventos

Si el almacén de datos de eventos que se está consultando está cifrado con una clave de KMS, asegúrese que la política de claves de KMS permite a CloudTrail descifrar los datos en el almacén de datos de eventos. El siguiente ejemplo de instrucción de política permite que la entidad principal del servicio CloudTrail descifre el almacén de datos de eventos.

{
      "Sid": "AllowCloudTrailDecryptAccess",
      "Effect": "Allow",
      "Principal": {
          "Service": "cloudtrail.amazonaws.com"
        },
      "Action": "kms:Decrypt",
      "Resource": "*"
}