Eventos de gestión y de datos

Los eventos de gestión (el plano de control) son operaciones sobre los recursos: crear, listar, cambiar, borrar un bucket, una instancia, un usuario. Un trail los registra sin configuración adicional. Los eventos de datos son operaciones sobre el contenido de un recurso: leer o escribir un objeto de S3 (GetObject, PutObject), invocar una función. Un trail no los registra por defecto: hay que activarlos y se activan por bucket o de forma general, porque son muchos y cuestan.

Esto cambia lo que el analista puede afirmar. Si se registran los datos de un bucket, una lectura de un objeto deja una fila. Si no, esa lectura no deja rastro en CloudTrail, aunque haya ocurrido.

Abre la consola. La tabla trail_config dice qué registra el trail y buckets lista los tres buckets de la cuenta con la columna datos_registrados. Ejecuta SELECT * FROM buckets WHERE datos_registrados = 'no'.

Un conteo se hace sobre las filas que devuelve una consulta. La tabla cloudtrail de la sala trae una columna categoria (Gestión o Datos) y otra solo_lectura. Cada lectura de un objeto es una fila de datos.

Ejecuta SELECT * FROM cloudtrail WHERE evento = 'GetObject' y cuenta las filas.

El trail no registra datos de bocachico-laboratorio. Supón que mañana alguien sospecha que un tercero leyó los resultados de análisis de agua de ese bucket, y que buscas GetObject sobre él en CloudTrail y no hay filas.