你当前正在访问 Microsoft Azure Global Edition 技术文档网站。 如果需要访问由世纪互联运营的 Microsoft Azure 中国技术文档网站，请访问 https://docs.azure.cn。
从 Sentinel 连接器引入的 CloudTrail 日志保存了 Amazon Wev Services 帐户的所有数据和管理事件。
表属性
| 属性 | 价值 |
|---|---|
| 资源类型 | - |
| 类别 | 安全性 |
| 解决 方案 | SecurityInsights |
| 基本日志 | 是 |
| 引入时转换 | 是 |
| 示例查询 | 是的 |
列
| 列 | 类型 | 描述 |
|---|---|---|
| AdditionalEventData | 字符串 | 未包含在请求或响应中的事件的额外数据。 |
| API版本 | 字符串 | 标识与 AwsApiCall eventType 值相关联的 API 版本。 |
| AwsEventId | 字符串 | 由 CloudTrail 生成的 GUID，用于唯一标识每个事件。 可以使用此值来识别单个事件。 |
| AWSRegion | 字符串 | 发出请求的 AWS 区域。 |
| AWS请求ID | 字符串 | 已被弃用，请改为使用 AwsRequestId_。 |
| AwsRequestId_ | 字符串 | 标识请求的值。 被调用的服务会生成此值。 |
| _BilledSize（账单大小） | real | 记录大小（字节） |
| 类别 | 字符串 | 显示在 LookupEvents 调用中使用的事件类别。 |
| CidrIp | 字符串 | CIDR IP 位于 CloudTrail 的 RequestParameters 下，用于指定安全组规则的 IP 权限。 IPv4 CIDR 范围。 |
| CipherSuite | 字符串 | 可选。 tlsDetails 的一部分。 请求的密码套件（使用的安全算法组合）。 |
| ClientProvidedHostHeader | 字符串 | 可选。 tlsDetails 的一部分。 服务 API 调用中使用的客户端提供的主机名，通常为服务终结点的 FQDN。 |
| 目的港 | 字符串 | DestinationPort 位于 CloudTrail 的 RequestParameters 下，用于指定安全组规则的 IP 权限。 TCP 和 UDP 协议端口范围的终点，或 ICMP 代码。 |
| EC2RoleDelivery | 字符串 | 发出会话的用户或角色的友好名称。 |
| 错误代码 | 字符串 | 如果请求返回错误，则为 AWS 服务错误。 |
| 错误信息 | 字符串 | 错误说明（如有）。 此消息包括关于授权失败的消息。 CloudTrail 会捕获服务在异常处理中记录的消息。 |
| 活动名称 | 字符串 | 请求的操作，即该服务 API 中的操作之一。 |
| 事件源 | 字符串 | 请求的服务对象。 此名称通常是服务名称的简写形式，没有空格，并加上 .amazonaws.com。 |
| 事件类型名称 | 字符串 | 标识生成事件记录的事件类型。 这可以是以下值之一：AwsApiCall、AwsServiceEvent、AwsConsoleAction、AwsConsoleSignIn。 |
| EventVersion | 字符串 | 日志事件格式的版本。 |
| IP 协议 | 字符串 | IP 协议位于 CloudTrail 的 RequestParameters 下，用于指定安全组规则的 IP 权限。 IP 协议名称或数字。 有效值为 tcp、udp、icmp 或协议编号。 |
| _IsBillable | 字符串 | 指定引入数据是否需要付费。 当 _IsBillable 为 false 时，不会向 Azure 帐户计收引入费 |
| ManagementEvent | 布尔 | 一个用于确定事件是否为管理事件的布尔值。 |
| 操作名称 | 字符串 | 常量值：CloudTrail。 |
| ReadOnly | 布尔 | 标识此操作是否为只读。 |
| 接收方账户ID | 字符串 | 表示收到此事件的帐户 ID。 recipientAccountID 可能与 CloudTrail userIdentity Element accountId 不同。 这种情况可能发生在跨帐户资源访问中。 |
| 请求参数 | 字符串 | 随请求一起发送的参数（如有）。 这些参数记录在相应 AWS 服务的 API 参考文档中。 |
| 资源 | 字符串 | 事件中访问的资源列表。 |
| ResponseElements | 字符串 | 用于更改操作（创建、更新或删除操作）的响应元素。 如果操作不改变状态（例如，请求获取或列出对象），则省略此元素。 |
| 服务事件详情 | 字符串 | 标识服务事件，包括触发事件的原因和结果。 |
| 会话创建日期 | datetime | 颁发临时安全证书的日期和时间。 |
| 会话发布者账户ID | 字符串 | 用于获取凭据的实体所拥有的帐户。 |
| SessionIssuerArn | 字符串 | 用于获取临时安全凭据的源（帐户、IAM 用户或角色）的 ARN。 |
| SessionIssuerPrincipalId | 字符串 | 用于获取凭据的实体的内部 ID。 |
| 会话发布者类型 | 字符串 | 临时安全凭据的来源，例如根、IAM 用户或角色。 |
| 会话颁发者用户名 | 字符串 | 发出会话的用户或角色的友好名称。 |
| SessionMfaAuthenticated | 布尔 | 如果请求所使用凭据的根用户或 IAM 用户也通过了 MFA 设备的身份验证，则该值为 true；否则为 false。 |
| SharedEventId | 字符串 | 由 CloudTrail 生成的 GUID，用于唯一标识发送到不同 AWS 帐户的同一 AWS 操作中的 CloudTrail 事件。 |
| 源IP地址 | 字符串 | 发出请求的 IP 地址。 对于源于服务控制台的操作，报告的地址是基础客户资源的地址，而不是控制台 Web 服务器的地址。 对于 AWS 中的服务，只显示 DNS 名称。 |
| SourcePort | 字符串 | SourcePort 位于 CloudTrail 的 RequestParameters 下，用于指定安全组规则的 IP 权限。 TCP 和 UDP 协议端口范围的起始值，或 ICMP 类型编号。 |
| SourceSystem | 字符串 | 收集事件的代理的类型。 例如，对于 Windows 代理（直接连接或 Operations Manager），值为 OpsManager；对于所有 Linux 代理，值为 Linux；对于 Azure 诊断，值为 Azure |
| 租户ID | 字符串 | Log Analytics 工作区 ID |
| TimeGenerated | datetime | 时间戳 (UTC)。 事件的时间戳来自提供服务 API 终结点的本地主机，API 调用就是在该主机上进行的。 |
| TLS版本 | 字符串 | 可选。 tlsDetails 的一部分。 请求的 TLS 版本。 |
| 类型 | 字符串 | 表的名称 |
| 用户代理 (UserAgent) | 字符串 | 发出请求的代理，如 AWS 管理控制台、AWS 服务、AWS SDK 或 AWS CLI。 |
| UserIdentityAccessKeyId | 字符串 | 用于对请求进行签名的访问密钥 ID。 |
| UserIdentityAccountId | 字符串 | 授予请求权限的实体所属的帐户。 |
| UserIdentityArn | 字符串 | 发起调用的主体的 Amazon 资源名称 (ARN)。 |
| UserIdentityInvokedBy | 字符串 | 发出请求的 AWS 服务名称。 |
| UserIdentityPrincipalid | 字符串 | 发出调用的实体的唯一标识符。 |
| 用户身份类型 | 字符串 | 标识的类型。 可以使用以下值：Root、IAMUser、AssumedRole、FederatedUser、Directory、AWSAccount、AWSService、Unknown。 |
| UserIdentityUserName | 字符串 | 发起调用的标识的名称。 |
| VpcEndpointId | 字符串 | 标识从 VPC 向另一个 AWS 服务发出请求的 VPC 终结点。 |