只写 CloudTrail 事件过滤器 AWS CLI

CloudTrail 是一项 AWS 服务，它可以在您账户中记录和监控 API 调用、控制台登录等操作，并将其以 JSON 格式的日志文件形式保存在指定的 S3 存储桶中。您可以使用 CloudTrail 的事件过滤器来筛选您感兴趣的事件类型，以便更好地理解您者账户中发生的活动。

下面将介绍如何使用 AWS CLI 创建和管理 CloudTrail 的事件过滤器。

1. 创建 CloudTrail 和 S3 存储桶

如果您尚未创建 CloudTrail，请按照以下步骤创建：

1. 在 AWS 控制台右上角的搜索框中搜索 CloudTrail。
2. 单击 Create Trail 按钮。
3. 输入您要创建的 Trail 的名称，例如 MyTrail。
4. 选择您要监控的 AWS 资源，并在下方的 Data events 选项卡中单击 All data events。
5. 在 S3 buckets 选项中选择已存在的或新建一个 S3 存储桶，以便保存 CloudTrail 日志文件。
6. 在 Event selectors 中单击 Add 按钮，以创建您要记录的事件类型的筛选器，如下：

{
  "ReadWriteType": [
    "WriteOnly",
    "ReadOnly"
  ]
}

上述筛选器将仅记录对 S3 存储桶的写入和读取操作。

2. 使用 AWS CLI 管理事件过滤器

要查看您的 CloudTrail 中的事件过滤器，请在 AWS CLI 中使用以下命令：

aws cloudtrail describe-event-selectors \
--trail-name MyTrail \
--query 'EventSelectors[?ReadWriteType == `WriteOnly`]'

该命令将返回所有筛选器，其中 ReadWriteType 属性的值为 WriteOnly。

如果您要添加新的事件过滤器，请使用以下命令：

aws cloudtrail put-event-selectors \
--trail-name MyTrail \
--event-selectors '{
  "ReadWriteType": [
    "WriteOnly",
    "ReadOnly"
  ]
}'

上述命令将更新 MyTrail 的事件过滤器列表，添加一个新的筛选器，以记录对 S3 存储桶的写入和读取操作。

如果您要更新现有的事件过滤器，请使用以下命令：

aws cloudtrail put-event-selectors \
--trail-name MyTrail \
--event-selectors '[
  {
    "ReadWriteType": [
      "WriteOnly",
      "ReadOnly"
    ]
  },
  {
    "ReadOnly": {}
  }
]'

上述命令将更新 MyTrail 的事件过滤器列表，并将原有的筛选器列表替换为新的筛选器列表，以记录对 S3 存储桶的写入、读取和只读操作。

总结

CloudTrail 事件过滤器可以帮助您更好地理解您的 AWS 账户中发生的活动，并记录您感兴趣的事件类型。通过 AWS CLI，您可以轻松地创建、管理和更新 CloudTrail 的事件过滤器，以帮助您更好地维护您的账户。