Registro de eventos de datos

En esta sección se describe cómo registrar eventos de datos a través de la consola de CloudTrail y la AWS CLI.

De forma predeterminada, los registros y los almacenes de datos de eventos no registran eventos de datos. Se aplican cargos adicionales a los eventos de datos. Para más información, consulte Precios de AWS CloudTrail.

Los eventos de datos proporcionan información sobre las operaciones realizadas en un recurso o dentro de él. Se denominan también operaciones del plano de datos. Los eventos de datos suelen ser actividades de gran volumen.

Algunos ejemplos de eventos de datos son los siguientes:

Puede usar selectores de eventos avanzados para crear selectores detallados que le ayuden a controlar los costos al registrar únicamente los eventos específicos de interés para sus casos de uso. Por ejemplo, puede utilizar selectores de eventos avanzados para registrar llamadas a la API específicas si agrega un filtro en el campo eventName. Para obtener más información, consulte Filtrado de los eventos de datos mediante selectores de eventos avanzados.

Eventos de datos

En la siguiente tabla, se muestran los tipos de recursos disponibles para los registros de seguimiento y los almacenes de datos de eventos. En la columna Tipo de recurso (consola), se muestra la selección adecuada en la consola. En la columna resources.type value, se muestra el valor de resources.type que debe especificar para incluir eventos de datos de ese tipo en el registro de seguimiento o el almacén de datos de eventos por medio de la AWS CLI o las API de CloudTrail.

En el caso de los registros de seguimiento, puede utilizar selectores de eventos básicos o avanzados para registrar eventos de datos de objetos de Amazon S3 en buckets, funciones de Lambda y tablas de DynamoDB de uso general (se muestran en las tres primeras filas de la tabla). Solo puede usar selectores de eventos avanzados para registrar los tipos de recursos que se muestran en las filas restantes.

En el caso de los almacenes de datos de eventos, puede utilizar selectores de eventos avanzados para que se incluyan eventos de datos únicamente.

Eventos de datos compatibles con AWS CloudTrail

Para registrar eventos de datos de CloudTrail, debe agregar explícitamente cada tipo de recurso cuya actividad desee recopilar. Para obtener más información, consulte Creación de un registro de seguimiento con la consola de CloudTrail y Creación de un almacén de datos de eventos para eventos de CloudTrail con la consola.

En un registro de seguimiento o un almacén de datos de eventos de una sola región, puede registrar eventos de datos solo para los recursos a los que puede acceder en esa región. Aunque los buckets de S3 son globales, las funciones AWS Lambda y las tablas de DynamoDB son regionales.

Se aplican cargos adicionales para registrar eventos de datos. Para conocer los precios de CloudTrail, consulte Precios de AWS CloudTrail.

Ejemplos: registrar eventos de datos para objetos de Amazon S3

Registrar eventos de datos para objetos de S3 en otras cuentas de AWS

Cuando configure el registro de seguimiento para que registre eventos de datos, también puede indicar los objetos de S3 que pertenecen a otras cuentas de AWS. Cuando un evento se produce en un objeto indicado, CloudTrail evalúa si el evento coincide con cualquier registro de seguimiento en cada cuenta. Si el evento coincide con la configuración de un registro de seguimiento, este procesa y registra el evento para dicha cuenta. Por lo general, tanto los intermediarios de la API como los propietarios de recursos pueden recibir eventos.

Si tiene un objeto de S3 y lo indica en su registro de seguimiento, su registro de seguimiento registra eventos que se produzcan en el objeto de su cuenta. Dado que posee el objeto, su registro de seguimiento también registra los eventos cuando otras cuentas llaman al objeto.

Si especifica un objeto de S3 en su registro de seguimiento y otra cuenta posee el objeto, su registro de seguimiento únicamente registra los eventos que se produzcan en dicho objeto en su cuenta. Su registro de seguimiento no registra los eventos que se producen en otras cuentas.

Eventos de solo lectura y de solo escritura

Cuando configure su registro de seguimiento o almacén de datos de eventos para registrar eventos de datos y administración, puede indicar si desea que se registren eventos de solo lectura, de solo escritura, o ambos.

Registrar eventos de datos con la Consola de administración de AWS

En los siguientes procedimientos, se describe cómo actualizar un almacén de datos de eventos existente o un registro de seguimiento de eventos para registrar los eventos de datos mediante la Consola de administración de AWS. Para obtener información acerca de cómo crear un almacén de datos de eventos para registrar eventos de datos, consulte Creación de un almacén de datos de eventos para eventos de CloudTrail con la consola. Para obtener más información sobre cómo crear un registro de seguimiento para registrar eventos de datos, consulte Creación de un registro de seguimiento con la consola.

En el caso de los registros de seguimiento, los pasos para registrar los eventos de datos varían en función de si utiliza selectores de eventos avanzados o selectores de eventos básicos. Con los selectores de eventos avanzados puede registrar eventos de datos de todos los tipos de recursos, pero si utiliza selectores de eventos básicos, solo podrá registrar eventos de datos de buckets de Amazon S3 y objetos de buckets, funciones de AWS Lambda y tablas de Amazon DynamoDB.

Registrar eventos de datos con la AWS Command Line Interface

Puede configurar sus registros de seguimiento o los almacenes de datos de eventos para que registren los eventos de datos con la AWS CLI.

Registro de eventos de datos para registros de seguimiento con la AWS CLI

Puede configurar sus registros de seguimiento para que registren los eventos de administración y los de datos con la AWS CLI.

Para consultar si su registro de seguimiento está registrando los eventos de administración y de datos, ejecute el comando get-event-selectors.

aws cloudtrail get-event-selectors --trail-name TrailName

El comando devuelve los selectores de eventos del registro de seguimiento.

Registrar los eventos de datos de los registros de seguimiento mediante selectores de eventos avanzados

En el siguiente ejemplo se crean selectores de eventos avanzados personalizados para un registro de seguimiento denominado TrailName a fin de incluir eventos de administración de lectura y escritura (se omite el selector readOnly), eventos de datos PutObject y DeleteObject de todas las combinaciones de bucket/prefijo de Amazon S3, excepto para un bucket llamado amzn-s3-demo-bucket y eventos de datos para una función de AWS Lambda denominada MyLambdaFunction. Dado que se trata de selectores de eventos avanzados personalizados, cada conjunto de selectores tiene un nombre descriptivo. Tenga en cuenta que una barra diagonal final forma parte del valor de ARN para los buckets de S3.

aws cloudtrail put-event-selectors --trail-name TrailName --advanced-event-selectors
'[
  {
    "Name": "Log readOnly and writeOnly management events",
    "FieldSelectors": [
      { "Field": "eventCategory", "Equals": ["Management"] }
    ]
  },
  {
    "Name": "Log PutObject and DeleteObject events for all but one bucket",
    "FieldSelectors": [
      { "Field": "eventCategory", "Equals": ["Data"] },
      { "Field": "resources.type", "Equals": ["AWS::S3::Object"] },
      { "Field": "eventName", "Equals": ["PutObject","DeleteObject"] },
      { "Field": "resources.ARN", "NotStartsWith": ["arn:aws:s3:::amzn-s3-demo-bucket/"] }
    ]
  },
  {
    "Name": "Log data plane actions on MyLambdaFunction",
    "FieldSelectors": [
      { "Field": "eventCategory", "Equals": ["Data"] },
      { "Field": "resources.type", "Equals": ["AWS::Lambda::Function"] },
      { "Field": "resources.ARN", "Equals": ["arn:aws:lambda:us-east-2:111122223333:function/MyLambdaFunction"] }
    ]
  }
]'

El ejemplo devuelve los selectores de eventos avanzados configurados para el registro de seguimiento.

{
  "AdvancedEventSelectors": [
    {
      "Name": "Log readOnly and writeOnly management events",
      "FieldSelectors": [
        {
          "Field": "eventCategory", 
          "Equals": [ "Management" ]
        }
      ]
    },
    {
      "Name": "Log PutObject and DeleteObject events for all but one bucket",
      "FieldSelectors": [
        {
          "Field": "eventCategory", 
          "Equals": [ "Data" ]
        },
        {
          "Field": "resources.type", 
          "Equals": [ "AWS::S3::Object" ]
        },
        {
          "Field": "resources.ARN", 
          "NotStartsWith": [ "arn:aws:s3:::amzn-s3-demo-bucket/" ]
        },
      ]
    },
{
      "Name": "Log data plane actions on MyLambdaFunction",
      "FieldSelectors": [
        {
          "Field": "eventCategory", 
          "Equals": [ "Data" ]
        },
        {
          "Field": "resources.type", 
          "Equals": [ "AWS::Lambda::Function" ]
        },
        {
          "Field": "eventName", 
          "Equals": [ "Invoke" ]
        },
        {
          "Field": "resources.ARN", 
          "Equals": [ "arn:aws:lambda:us-east-2:111122223333:function/MyLambdaFunction" ]
        }
      ]
    }
  ],
  "TrailARN": "arn:aws:cloudtrail:us-east-2:123456789012:trail/TrailName"
}

Registrar todos los eventos de Amazon S3 de un bucket de Amazon S3 mediante selectores de eventos avanzados

El ejemplo siguiente muestra cómo configurar su registro de seguimiento para que incluya eventos de datos para todos los objetos de Amazon S3 en un bucket de S3 específico. El valor de los eventos de S3 para el campo resources.type es AWS::S3::Object. Debido a que los valores de ARN para los objetos de S3 y los buckets de S3 son ligeramente diferentes, debe agregar el operador StartsWith para resources.ARN a fin de capturar todos los eventos.

aws cloudtrail put-event-selectors --trail-name TrailName --region region \
--advanced-event-selectors \
'[
    {
            "Name": "S3EventSelector",
            "FieldSelectors": [
                { "Field": "eventCategory", "Equals": ["Data"] },
                { "Field": "resources.type", "Equals": ["AWS::S3::Object"] },
                { "Field": "resources.ARN", "StartsWith": ["arn:partition:s3:::amzn-s3-demo-bucket/"] }
            ]
        }
]'

El comando devuelve el siguiente resultado de ejemplo.

{
    "TrailARN": "arn:aws:cloudtrail:region:account_ID:trail/TrailName",
    "AdvancedEventSelectors": [
        {
            "Name": "S3EventSelector",
            "FieldSelectors": [
                {
                    "Field": "eventCategory",
                    "Equals": [
                        "Data"
                    ]
                },
                {
                    "Field": "resources.type",
                    "Equals": [
                        "AWS::S3::Object"
                    ]
                },
                {
                    "Field": "resources.ARN",
                    "StartsWith": [
                        "arn:partition:s3:::amzn-s3-demo-bucket/"
                    ]
                }
            ]
        }
    ]
}

Registrar eventos de Amazon S3 en eventos de AWS Outposts mediante selectores de eventos avanzados

En el siguiente ejemplo se muestra cómo configurar su registro de seguimiento para que incluya todos los eventos de datos de todos los objetos de Amazon S3 on Outposts.

aws cloudtrail put-event-selectors --trail-name TrailName --region region \
--advanced-event-selectors \
'[
    {
            "Name": "OutpostsEventSelector",
            "FieldSelectors": [
                { "Field": "eventCategory", "Equals": ["Data"] },
                { "Field": "resources.type", "Equals": ["AWS::S3Outposts::Object"] }
            ]
    }
]'

El comando devuelve el siguiente resultado de ejemplo.

{
    "TrailARN": "arn:aws:cloudtrail:region:account_ID:trail/TrailName",
    "AdvancedEventSelectors": [
        {
            "Name": "OutpostsEventSelector",
            "FieldSelectors": [
                {
                    "Field": "eventCategory",
                    "Equals": [
                        "Data"
                    ]
                },
                {
                    "Field": "resources.type",
                    "Equals": [
                        "AWS::S3Outposts::Object"
                    ]
                }
            ]
        }
    ]
}

Registrar eventos mediante selectores de eventos básicos

A continuación, se muestra un resultado de ejemplo del comando get-event-selectors que muestra los selectores de eventos básicos. De forma predeterminada, cuando se crea un registro de seguimiento mediante la AWS CLI, un registro de seguimiento registra todos los eventos de administración. De manera predeterminada, los registros de seguimiento no registran eventos de datos.

{
    "TrailARN": "arn:aws:cloudtrail:us-east-2:123456789012:trail/TrailName",
    "EventSelectors": [
        {
            "IncludeManagementEvents": true,
            "DataResources": [],
            "ReadWriteType": "All"
        }
    ]
}

Para configurar el registro de seguimiento para que registre los eventos de administración y de datos, ejecute el comando put-event-selectors.

En el ejemplo siguiente, se muestra cómo utilizar selectores de eventos básicos a fin de configurar su registro de seguimiento de manera que incluya todos los eventos de administración y de datos para los objetos de S3 en dos prefijos de bucket de S3. Puede especificar entre 1 y 5 selectores de eventos en los registros de seguimiento. Puede especificar entre 1 y 250 recursos de datos en los registros de seguimiento.

aws cloudtrail put-event-selectors --trail-name TrailName --event-selectors '[{ "ReadWriteType": "All", "IncludeManagementEvents":true, "DataResources": [{ "Type": "AWS::S3::Object", "Values": ["arn:aws:s3:::amzn-s3-demo-bucket1/prefix", "arn:aws:s3:::amzn-s3-demo-bucket2;/prefix2"] }] }]'

El comando devuelve los selectores de eventos configurados para el registro de seguimiento.

{
    "TrailARN": "arn:aws:cloudtrail:us-east-2:123456789012:trail/TrailName",
    "EventSelectors": [
        {
            "IncludeManagementEvents": true,
            "DataResources": [
                {
                    "Values": [
                        "arn:aws:s3:::amzn-s3-demo-bucket1/prefix",
                        "arn:aws:s3:::amzn-s3-demo-bucket2/prefix2",
                    ],
                    "Type": "AWS::S3::Object"
                }
            ],
            "ReadWriteType": "All"
        }
    ]
}

Registro de eventos de datos para los almacenes de datos de eventos con la AWS CLI

Puede configurar sus almacenes de datos de eventos para que incluyan los eventos de datos con la AWS CLI. Utilice el comando create-event-data-store para crear un nuevo almacén de datos de eventos para registrar los eventos de datos. Utilice el comando update-event-data-store para actualizar los selectores de eventos avanzados de un almacén de datos de eventos existente.

Puede configurar los selectores de eventos avanzados para que registren eventos de datos en un almacén de datos de eventos. Para obtener una lista con los campos compatibles, consulte Filtrado de los eventos de datos mediante selectores de eventos avanzados.

Para ver si el almacén de datos de eventos incluye eventos de datos, ejecute el comando get-event-data-store.

aws cloudtrail get-event-data-store --event-data-store EventDataStoreARN

El comando devuelve la configuración del almacén de datos de eventos.

{
    "EventDataStoreArn": "arn:aws:cloudtrail:us-east-1:111122223333:eventdatastore/EXAMPLE492-301f-4053-ac5e-EXAMPLE6441aa",
    "Name": "ebs-data-events",
    "Status": "ENABLED",
    "AdvancedEventSelectors": [
        {
            "Name": "Log all EBS direct APIs on EBS snapshots",
            "FieldSelectors": [
                {
                    "Field": "eventCategory",
                    "Equals": [
                        "Data"
                    ]
                },
                {
                    "Field": "resources.type",
                    "Equals": [
                        "AWS::EC2::Snapshot"
                    ]
                }
            ]
        }
    ],
    "MultiRegionEnabled": true,
    "OrganizationEnabled": false,
    "BillingMode": "EXTENDABLE_RETENTION_PRICING",
    "RetentionPeriod": 366,
    "TerminationProtectionEnabled": true,
    "CreatedTimestamp": "2023-11-04T15:57:33.701000+00:00",
    "UpdatedTimestamp": "2023-11-20T20:37:34.228000+00:00"
}   

Incluir todos los eventos de Amazon S3 en un bucket específico

En el ejemplo siguiente, se muestra cómo crear un almacén de datos de eventos para que incluya todos los eventos de datos de todos los objetos de Amazon S3 en un bucket de S3 específico de uso general y para que excluya los eventos Servicio de AWS y los eventos que genera bucket-scanner-role userIdentity. El valor de los eventos de S3 para el campo resources.type es AWS::S3::Object. Debido a que los valores de ARN para los objetos de S3 y los buckets de S3 son ligeramente diferentes, debe agregar el operador StartsWith para resources.ARN a fin de capturar todos los eventos.

aws cloudtrail create-event-data-store --name "EventDataStoreName" --multi-region-enabled \
--advanced-event-selectors \
'[
    {
        "Name": "S3EventSelector",
        "FieldSelectors": [
            { "Field": "eventCategory", "Equals": ["Data"] },
            { "Field": "resources.type", "Equals": ["AWS::S3::Object"] },
            { "Field": "resources.ARN", "StartsWith": ["arn:partition:s3:::amzn-s3-demo-bucket/"] },
            { "Field": "userIdentity.arn", "NotStartsWith": ["arn:aws:sts::123456789012:assumed-role/bucket-scanner-role"]},
            { "Field": "eventType","NotEquals": ["AwsServiceEvent"]}
        ]
    }
]'

El comando devuelve el siguiente resultado de ejemplo.

{
    "EventDataStoreArn": "arn:aws:cloudtrail:us-east-1:111122223333:eventdatastore/EXAMPLE492-301f-4053-ac5e-EXAMPLE441aa",
    "Name": "EventDataStoreName",
    "Status": "ENABLED",
    "AdvancedEventSelectors": [
        {
            "Name": "S3EventSelector",
            "FieldSelectors": [
                {
                    "Field": "eventCategory",
                    "Equals": [
                        "Data"
                    ]
                },
                {
                    "Field": "resources.ARN",
                    "StartsWith": [
                        "arn:partition:s3:::amzn-s3-demo-bucket/"
                    ]
                },
                {
                    "Field": "resources.type",
                    "Equals": [
                        "AWS::S3::Object"
                    ]
                },
                { 
                    "Field": "userIdentity.arn", 
                    "NotStartsWith": [
                        "arn:aws:sts::123456789012:assumed-role/bucket-scanner-role"
                     ]
                },
                { 
                    "Field": "eventType",
                    "NotEquals": [
                        "AwsServiceEvent"
                    ]
                }
            ]
        }
    ],
    "MultiRegionEnabled": true,
    "OrganizationEnabled": false,
    "BillingMode": "EXTENDABLE_RETENTION_PRICING",
    "RetentionPeriod": 366,
    "TerminationProtectionEnabled": true,
    "CreatedTimestamp": "2024-11-04T15:57:33.701000+00:00",
    "UpdatedTimestamp": "2024-11-20T20:49:21.766000+00:00"
}

Incluir Amazon S3 en los eventos de AWS Outposts

En el ejemplo siguiente, se muestra cómo crear un almacén de datos de eventos que incluya todos los eventos de datos de todos los objetos de Amazon S3 en Outposts.

aws cloudtrail create-event-data-store --name EventDataStoreName \
--advanced-event-selectors \
'[
    {
            "Name": "OutpostsEventSelector",
            "FieldSelectors": [
                { "Field": "eventCategory", "Equals": ["Data"] },
                { "Field": "resources.type", "Equals": ["AWS::S3Outposts::Object"] }
            ]
        }
]'

El comando devuelve el siguiente resultado de ejemplo.

{
    "EventDataStoreArn": "arn:aws:cloudtrail:us-east-1:111122223333:eventdatastore/EXAMPLEb4a8-99b1-4ec2-9258-EXAMPLEc890",
    "Name": "EventDataStoreName",
    "Status": "CREATED",
    "AdvancedEventSelectors": [
        {
            "Name": "OutpostsEventSelector",
            "FieldSelectors": [
                {
                    "Field": "eventCategory",
                    "Equals": [
                        "Data"
                    ]
                },
                {
                    "Field": "resources.type",
                    "Equals": [
                        "AWS::S3Outposts::Object"
                    ]
                }
            ]
        }
    ],
    "MultiRegionEnabled": true,
    "OrganizationEnabled": false,
    "BillingMode": "EXTENDABLE_RETENTION_PRICING",
    "RetentionPeriod": 366,
    "TerminationProtectionEnabled": true,
    "CreatedTimestamp": "2023-02-20T21:00:17.673000+00:00",
    "UpdatedTimestamp": "2023-02-20T21:00:17.820000+00:00"
}

Registrar eventos de datos para la conformidad con AWS Config

Si utiliza paquetes de cumplimiento de AWS Config para ayudar a su empresa a mantener la conformidad con los estándares formalizados, como los requeridos por el Programa Federal de Administración de Riesgos y Autorizaciones (FedRAMP) o el Instituto Nacional de Estándares y Tecnología (NIST), los paquetes de cumplimiento para los marcos de conformidad generalmente requieren que registre eventos de datos para los buckets de Amazon S3, como mínimo. Los paquetes de cumplimiento para los marcos de conformidad incluyen una regla administrada denominada cloudtrail-s3-dataevents-enabled que comprueba el registro de eventos de datos de S3 en su cuenta. Varios paquetes de cumplimiento que no están asociados con marcos de conformidad también requieren el registro de eventos de datos de S3. A continuación, se muestran ejemplos de paquetes de cumplimiento que incluyen esta regla.

Para obtener una lista completa de los paquetes de cumplimiento de muestra disponibles en AWS Config, consulte Plantillas de ejemplo del paquete de cumplimiento en la Guía para desarrolladores de AWS Config.

Registro de eventos de datos con los SDK de AWS

Ejecute la operación GetEventSelectors para saber si el registro de seguimiento está registrando los eventos de datos. Para configurar sus registros de seguimiento para que registren eventos de datos, ejecute la operación PutEventSelectors. Para obtener más información, consulte la Referencia de la API de AWS CloudTrail.

Ejecute la operación GetEventDataStore para saber si el almacén de datos de eventos está registrando los eventos de datos. Puede configurar sus almacenes de datos de eventos para incluir eventos de datos ejecutando las operaciones CreateEventDataStore o UpdateEventDataStore y especificando los selectores de eventos avanzados. Para obtener más información, consulte Creación, actualización y administración de almacenes de datos de eventos con la AWS CLI y la AWS CloudTrail API Reference.