put-event-selectors

Описание

Настраивает селекторы событий (также называемые базовыми селекторами событий) или расширенные селекторы событий для вашего трейла. Вы можете использовать либо AdvancedEventSelectors, либо EventSelectors, но не оба сразу. Если вы применяете AdvancedEventSelectors к трейлу, любые существующие EventSelectors перезаписываются.

Вы можете использовать AdvancedEventSelectors для регистрации событий управления, событий данных для всех типов ресурсов и событий сетевой активности.

Вы можете использовать EventSelectors для регистрации событий управления и событий данных для следующих типов ресурсов:

• AWS::DynamoDB::Table
• AWS::Lambda::Function
• AWS::S3::Object

Вы не можете использовать EventSelectors для регистрации событий сетевой активности.

Если вы хотите, чтобы ваш трейл регистрировал события Insights, убедитесь, что селектор событий или расширенный селектор событий позволяет регистрировать типы событий Insights, которые вы хотите настроить для вашего трейла. Дополнительную информацию о регистрации событий Insights см. в руководстве пользователя CloudTrail в разделе «Работа с CloudTrail Insights». По умолчанию трейлы, созданные без конкретных селекторов событий, настраиваются на регистрацию всех событий управления чтения и записи, и никаких событий данных или событий сетевой активности.

Когда событие происходит в вашем аккаунте, CloudTrail оценивает селекторы событий или расширенные селекторы событий во всех трейлах. Для каждого трейла, если событие соответствует любому селектору событий, трейл обрабатывает и регистрирует событие. Если событие не соответствует ни одному селектору событий, трейл не регистрирует событие.

Пример

• Вы создаете селектор событий для трейла и указываете, что хотите регистрировать только события записи.
• Происходят операции API EC2 GetConsoleOutput и RunInstances в вашем аккаунте.
• CloudTrail оценивает, соответствуют ли события вашим селекторам событий.
• RunInstances — это событие только для записи, и оно соответствует вашему селектору событий. Трейл регистрирует событие.
• GetConsoleOutput — это событие только для чтения, которое не соответствует вашему селектору событий. Трейл не регистрирует событие.

Операция PutEventSelectors должна вызываться из региона, в котором был создан трейл; в противном случае будет выброшено исключение InvalidHomeRegionException.

Вы можете настроить до пяти селекторов событий для каждого трейла.

Вы можете добавить расширенные селекторы событий и условия для ваших расширенных селекторов событий, до максимального значения в 500 значений для всех условий и селекторов в трейле. Дополнительную информацию см. в руководстве пользователя CloudTrail в разделах «Регистрация событий управления», «Регистрация событий данных», «Регистрация событий сетевой активности» и «Квоты в CloudTrail».

См. также: Документация API AWS

Синтаксис

  put-event-selectors
--trail-name <value>
[--event-selectors <value>]
[--advanced-event-selectors <value>]
[--cli-input-json | --cli-input-yaml]
[--generate-cli-skeleton <value>]
[--debug]
[--endpoint-url <value>]
[--no-verify-ssl]
[--no-paginate]
[--output <value>]
[--query <value>]
[--profile <value>]
[--region <value>]
[--version <value>]
[--color <value>]
[--no-sign-request]
[--ca-bundle <value>]
[--cli-read-timeout <value>]
[--cli-connect-timeout <value>]
[--cli-binary-format <value>]
[--no-cli-pager]
[--cli-auto-prompt]
[--no-cli-auto-prompt]

Параметры

--trail-name (строка)

--event-selectors (список)

Синтаксис JSON:

[
  {
    "ReadWriteType": "ReadOnly"|"WriteOnly"|"All",
    "IncludeManagementEvents": true|false,
    "DataResources": [
      {
        "Type": "string",
        "Values": ["string", ...]
      }
      ...
    ],
    "ExcludeManagementEventSources": ["string", ...]
  }
  ...
]

--advanced-event-selectors (список)

Синтаксис JSON:

[
  {
    "Name": "string",
    "FieldSelectors": [
      {
        "Field": "string",
        "Equals": ["string", ...],
        "StartsWith": ["string", ...],
        "EndsWith": ["string", ...],
        "NotEquals": ["string", ...],
        "NotStartsWith": ["string", ...],
        "NotEndsWith": ["string", ...]
      }
      ...
    ]
  }
  ...
]

--cli-input-json | --cli-input-yaml (строка) Считывает аргументы из предоставленной строки JSON. Строка JSON соответствует формату, предоставленному --generate-cli-skeleton. Если на командной строке указаны другие аргументы, эти значения переопределят значения, предоставленные JSON. Невозможно передать произвольные двоичные значения с помощью значения, предоставленного JSON, так как строка будет принята буквально. Это может быть не указано вместе с --cli-input-yaml.

--generate-cli-skeleton (строка) Выводит скелет JSON в стандартный вывод без отправки запроса к API. При отсутствии значения или значении input выводит пример входного JSON, который можно использовать в качестве аргумента для --cli-input-json. Аналогично, если указано yaml-input, будет выведен пример входного YAML, который можно использовать с --cli-input-yaml. Если указано значение output, он проверяет входные данные команд и возвращает пример выходного JSON для этой команды. Сгенерированный скелет JSON нестабилен между версиями AWS CLI, и нет гарантий обратной совместимости в сгенерированном скелете JSON.

Глобальные параметры

--debug (логическое значение)

Включить отладку регистрации.

--endpoint-url (строка)

Переопределить значение URL по умолчанию команды на заданный URL.

--no-verify-ssl (логическое значение)

По умолчанию AWS CLI использует SSL при общении с AWS-сервисами. Для каждого соединения SSL AWS CLI будет проверять сертификаты SSL. Этот параметр переопределяет поведение проверки сертификатов SSL по умолчанию.

--no-paginate (логическое значение)

Отключить автоматическую постраничную навигацию. Если автоматическая постраничная навигация отключена, AWS CLI выполнит только один вызов для первой страницы результатов.

--output (строка)

Стиль форматирования для вывода команды.

• json
• text
• table
• yaml
• yaml-stream

--query (строка)

Запрос JMESPath для фильтрации данных ответа.

--profile (строка)

Использовать определенный профиль из файла учетных данных.

--region (строка)

Регион для использования. Переопределяет параметры конфигурации/среды.

--version (строка)

Отобразить версию этого инструмента.

--color (строка)

Включить/выключить цветной вывод.

• on
• off
• auto

--no-sign-request (логическое значение)

Не подписывать запросы. Учетные данные не будут загружаться, если этот аргумент предоставлен.

--ca-bundle (строка)

Файл с набором сертификатов CA для проверки сертификатов SSL. Переопределяет параметры конфигурации/среды.

--cli-read-timeout (целое число)

Максимальное время чтения сокета в секундах. Если значение равно 0, чтение сокета будет блокирующим и не будет иметь таймаута. Значение по умолчанию — 60 секунд.

--cli-connect-timeout (целое число)

Максимальное время подключения сокета в секундах. Если значение равно 0, подключение сокета будет блокирующим и не будет иметь таймаута. Значение по умолчанию — 60 секунд.

--cli-binary-format (строка)

Стиль форматирования, используемый для двоичных блоков. По умолчанию используется формат base64. Формат base64 ожидает, что двоичные блоки будут предоставлены как строка, закодированная в base64. Формат raw-in-base64-out сохраняет совместимость с поведением AWS CLI версии 1, и двоичные значения должны передаваться буквально. При предоставлении содержимого из файла, которое соответствует двоичному блоку, fileb:// всегда будет обрабатываться как двоичный и будет использовать содержимое файла напрямую независимо от параметра cli-binary-format. При использовании file:// содержимое файла должно быть правильно отформатировано для настроенного cli-binary-format.

• base64
• raw-in-base64-out

--no-cli-pager (логическое значение)

Отключить вывод страницы CLI.

--cli-auto-prompt (логическое значение)

Автоматически запрашивать параметры ввода CLI.

--no-cli-auto-prompt (логическое значение)

Отключить автоматическое запросы параметров ввода CLI.

Примеры

Пример 1: Настройка трейла для регистрации событий управления и событий данных с помощью расширенных селекторов событий

Вы можете добавить расширенные селекторы событий и условия для расширенных селекторов событий, до максимального значения 500 значений для всех условий и селекторов в трейле. Вы можете использовать расширенные селекторы событий для регистрации всех доступных типов событий данных. Вы можете использовать либо расширенные селекторы событий, либо базовые селекторы событий, но не оба одновременно. Если вы применяете расширенные селекторы событий к трейлу, любые существующие базовые селекторы событий будут перезаписаны.

В следующем примере создается расширенный селектор событий для трейла с именем myTrail для регистрации всех событий управления, регистрации вызовов API S3 PutObject и DeleteObject для всех, кроме одного, ведра S3, регистрации вызовов API данных для функции Lambda с именем myFunction и регистрации вызовов API Publish в теме SNS с именем myTopic.

aws cloudtrail put-event-selectors \
    --trail-name myTrail \
    --advanced-event-selectors '[{"Name": "Log all management events", "FieldSelectors": [{ "Field": "eventCategory", "Equals": ["Management"] }] },{"Name": "Log PutObject and DeleteObject events for all but one bucket","FieldSelectors": [{ "Field": "eventCategory", "Equals": ["Data"] },{ "Field": "resources.type", "Equals": ["AWS::S3::Object"] },{ "Field": "eventName", "Equals": ["PutObject","DeleteObject"] },{ "Field": "resources.ARN", "NotStartsWith": ["arn:aws:s3:::amzn-s3-demo-bucket/"] }]},{"Name": "Log data events for a specific Lambda function","FieldSelectors": [{ "Field": "eventCategory", "Equals": ["Data"] },{ "Field": "resources.type", "Equals": ["AWS::Lambda::Function"] },{ "Field": "resources.ARN", "Equals": ["arn:aws:lambda:us-east-1:123456789012:function:myFunction"] }]},{"Name": "Log all Publish API calls on a specific SNS topic","FieldSelectors": [{ "Field": "eventCategory", "Equals": ["Data"] },{ "Field": "resources.type", "Equals": ["AWS::SNS::Topic"] },{ "Field": "eventName", "Equals": ["Publish"] },{ "Field": "resources.ARN", "Equals": ["arn:aws:sns:us-east-1:123456789012:myTopic.fifo"] }]}]'

Вывод:

{
    "TrailARN": "arn:aws:cloudtrail:us-east-1:123456789012:trail/myTrail",
    "AdvancedEventSelectors": [
        {
            "Name": "Log all management events",
            "FieldSelectors": [
                {
                    "Field": "eventCategory",
                    "Equals": [
                        "Management"
                    ]
                }
            ]
        },
        {
            "Name": "Log PutObject and DeleteObject events for all but one bucket",
            "FieldSelectors": [
                {
                    "Field": "eventCategory",
                    "Equals": [
                        "Data"
                    ]
                },
                {
                    "Field": "resources.type",
                    "Equals": [
                        "AWS::S3::Object"
                    ]
                },
                {
                    "Field": "eventName",
                    "Equals": [
                        "PutObject",
                        "DeleteObject"
                    ]
                },
                {
                    "Field": "resources.ARN",
                    "NotStartsWith": [
                        "arn:aws:s3:::amzn-s3-demo-bucket/"
                    ]
                }
            ]
        },
        {
            "Name": "Log data events for a specific Lambda function",
            "FieldSelectors": [
                {
                    "Field": "eventCategory",
                    "Equals": [
                        "Data"
                    ]
                },
                {
                    "Field": "resources.type",
                    "Equals": [
                        "AWS::Lambda::Function"
                    ]
                },
                {
                    "Field": "resources.ARN",
                    "Equals": [
                        "arn:aws:lambda:us-east-1:123456789012:function:myFunction"
                    ]
                }
            ]
        },
        {
            "Name": "Log all Publish API calls on a specific SNS topic",
            "FieldSelectors": [
                {
                    "Field": "eventCategory",
                    "Equals": [
                        "Data"
                    ]
                },
                {
                    "Field": "resources.type",
                    "Equals": [
                        "AWS::SNS::Topic"
                    ]
                },
                {
                    "Field": "eventName",
                    "Equals": [
                        "Publish"
                    ]
                },
                {
                    "Field": "resources.ARN",
                    "Equals": [
                        "arn:aws:sns:us-east-1:123456789012:myTopic.fifo"
                    ]
                }
            ]
        }
    ]
}

Для получения дополнительной информации см. раздел Регистрация событий с помощью расширенных селекторов событий в Руководстве пользователя AWS CloudTrail.

Пример 2: Настройка селекторов событий для трейла для регистрации всех событий управления и событий данных

Вы можете настроить до 5 селекторов событий для трейла и до 250 ресурсов данных для трейла. Селекторы событий также называются базовыми селекторами событий. Вы можете использовать селекторы событий для регистрации событий управления и событий данных для объектов S3, функций Lambda и таблиц DynnamoDB. Чтобы регистрировать события данных для других типов ресурсов, вы должны использовать расширенные селекторы событий.

В следующем примере создается селектор событий для трейла с именем TrailName, чтобы включить все события управления, события данных для двух комбинаций ведра/префикса Amazon S3 и события данных для одной функции AWS Lambda с именем hello-world-python-function.

aws cloudtrail put-event-selectors \
    --trail-name TrailName \
    --event-selectors '[{"ReadWriteType": "All","IncludeManagementEvents": true,"DataResources": [{"Type":"AWS::S3::Object", "Values": ["arn:aws:s3:::amzn-s3-demo-bucket/prefix","arn:aws:s3:::amzn-s3-demo-bucket2/prefix2"]},{"Type": "AWS::Lambda::Function","Values": ["arn:aws:lambda:us-west-2:999999999999:function:hello-world-python-function"]}]}]'

Вывод:

{
    "EventSelectors": [
        {
            "IncludeManagementEvents": true,
            "DataResources": [
                {
                    "Values": [
                        "arn:aws:s3:::amzn-s3-demo-bucket/prefix",
                        "arn:aws:s3:::amzn-s3-demo-bucket2/prefix2"
                    ],
                    "Type": "AWS::S3::Object"
                },
                {
                    "Values": [
                        "arn:aws:lambda:us-west-2:123456789012:function:hello-world-python-function"
                    ],
                    "Type": "AWS::Lambda::Function"
                },
            ],
            "ReadWriteType": "All"
        }
    ],
    "TrailARN": "arn:aws:cloudtrail:us-east-2:123456789012:trail/TrailName"
}

Для получения дополнительной информации см. раздел Регистрация событий с помощью базовых селекторов событий в Руководстве пользователя AWS CloudTrail.

Пример 3: Настройка селекторов событий для трейла для регистрации событий управления, всех событий данных S3 для объектов S3 и всех событий данных Lambda для функций в вашей учетной записи

В следующем примере создается селектор событий для трейла с именем TrailName2, который включает все события управления и все события данных для всех ведер Amazon S3 и функций AWS Lambda в учетной записи AWS.

aws cloudtrail put-event-selectors \
    --trail-name TrailName2 \
    --event-selectors '[{"ReadWriteType": "All","IncludeManagementEvents": true,"DataResources": [{"Type":"AWS::S3::Object", "Values": ["arn:aws:s3"]},{"Type": "AWS::Lambda::Function","Values": ["arn:aws:lambda"]}]}]'

Вывод:

{
    "EventSelectors": [
        {
            "IncludeManagementEvents": true,
            "DataResources": [
                {
                    "Values": [
                        "arn:aws:s3"
                    ],
                    "Type": "AWS::S3::Object"
                },
                {
                    "Values": [
                        "arn:aws:lambda"
                    ],
                    "Type": "AWS::Lambda::Function"
                },
            ],
            "ReadWriteType": "All"
        }
    ],
    "TrailARN": "arn:aws:cloudtrail:us-east-2:123456789012:trail/TrailName2"
}

Для получения дополнительной информации см. раздел Регистрация событий с помощью базовых селекторов событий в Руководстве пользователя AWS CloudTrail.

Вывод

TrailARN -> (строка)

EventSelectors -> (список)

AdvancedEventSelectors -> (список)