Pourquoi les actions d'API au niveau de l'objet Amazon S3 n'apparaissent-elles pas dans mon historique des événements CloudTrail ?

Date de la dernière mise à jour : 03/03/2022

J'ai activé la journalisation des événements au niveau de l'objet AWS CloudTrail pour un compartiment Amazon Simple Storage Service (Amazon S3). Pourquoi les actions d'API au niveau de l'objet Amazon S3 n'apparaissent-elles pas dans mon historique des événements CloudTrail ?

Brève description

Les actions d'API au niveau de l'objet Amazon S3 constituent des événements de données CloudTrail. Par défaut, les journaux d'activité ne consignent pas les événements de données, et les événements de données ne s'affichent pas dans l'historique des événements CloudTrail.

Pour afficher les actions d'API au niveau de l'objet Amazon S3 après avoir activé la journalisation des événements de données, vous devez interroger vos journaux CloudTrail.

Pour interroger les journaux CloudTrail concernant des actions d'API au niveau de l'objet, vous pouvez utiliser l'un des services et des fonctions AWS suivants :

Pour plus d'informations, consultez Journalisation des appels d'API Amazon S3 à l'aide d'AWS CloudTrail.

Remarque : les journaux sont combinés aux événements CloudTrail si d'autres sources de données sont configurées pour le même compartiment S3 que votre journal d'activité.

Résolution

Pour utiliser les modèles de filtres CloudWatch Logs afin d'afficher les actions d'API au niveau de l'objet

Suivez les instructions contenues dans Rechercher des données de journaux à l'aide de modèles de filtres.

Exemple de syntaxe de filtre CloudWatch Logs pour l'action d'API DeleteBucket

{$.eventName = "DeleteBucket"}

Pour utiliser les requêtes Athena afin d'afficher les actions d'API au niveau de l'objet

Remarque : pour utiliser Athena afin d'interroger les journaux CloudTrail, vous devez avoir un journal d'activité configuré pour effectuer la journalisation vers un compartiment Amazon S3. Vous pouvez utiliser Athena pour interroger les journaux CloudTrail au cours des 90 derniers jours.

Suivez la procédure décrite dans Comment créer automatiquement des tables dans Amazon Athena pour effectuer des recherches dans des journaux AWS CloudTrail ?

Exemple de requête pour l'action d'API GetBucketAcl

Remarque : remplacez example-cloudtrail-log par le nom de votre journal CloudTrail.

SELECT *
FROM example-cloudtrail-log
WHERE eventname = 'GetBucketAcl';

Pour plus d'informations, consultez Comprendre les journaux CloudTrail et les tables Athena.