AWS CloudTrail 经典2013年〜

记录和监控 AWS 账户 API 活动的服务

阅读约需 1 分钟最后更新： 2026-03-22

它能做什么

AWS CloudTrail 是一项记录 AWS 账户内所有 API 调用（操作）的服务。详细记录谁、在什么时间、从哪个 IP 地址、对哪个资源执行了什么操作。记录的日志保存在 S3 存储桶中，可用于安全审计、合规应对和故障排除。

使用场景

用于安全事件调查中确定“谁在什么时候修改了安全组”，以及合规审计中提交“过去 90 天的 IAM 策略变更历史”等场景。还用于调查意外资源删除的原因和检测未授权访问。

日常类比

可以将其比作大楼的监控摄像头。监控摄像头 24 小时记录谁在什么时候进出大楼、访问了哪个房间。CloudTrail 就是 AWS 账户的监控摄像头，记录所有操作。就像出问题时回放录像一样，可以通过查看 CloudTrail 日志来确定原因。

什么是 CloudTrail

AWS CloudTrail 是一项记录 AWS 账户内活动的审计日志服务。AWS 管理控制台的操作、AWS CLI 的命令执行、使用 SDK 的 API 调用等所有操作都会作为事件被记录。CloudTrail 默认启用，可以免费查看过去 90 天的事件历史。

事件类型

CloudTrail 记录三种类型的事件。管理事件记录资源的创建、变更、删除等操作（如启动 EC2 实例、修改 IAM 策略等）。数据事件记录在资源上执行的数据操作（如 S3 对象的读写、Lambda 函数的调用等）。洞察事件自动检测并记录与正常情况不同的异常活动模式。

创建跟踪与长期保存

默认的事件历史仅保留 90 天。如需长期保存，需要创建“跟踪（Trail）”将日志持续传送到 S3 存储桶。创建跟踪后，管理事件会自动保存到 S3。数据事件和洞察事件需要在跟踪设置中明确启用。还可以将日志发送到 CloudWatch Logs，实现实时告警设置。关于创建跟踪与长期保存的技术背景，可以参考相关书籍（Amazon）。

开始使用

CloudTrail 在所有 AWS 账户中默认启用。在 CloudTrail 控制台的“事件历史”中可以立即查看过去 90 天的操作历史。如需长期保存或记录数据事件，请从“创建跟踪”指定 S3 存储桶来设置跟踪。如需集中管理整个组织的日志，请创建与 AWS Organizations 联动的组织跟踪。