本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。
# 使用记录 Amazon EFS API 调用 AWS CloudTrail
Amazon EFS 与 AWS CloudTrail一项服务集成，该服务提供用户、角色或 AWS 服务在 Amazon EFS 中执行的操作的记录。 CloudTrail 将 Amazon EFS 的所有 API 调用捕获为事件，包括来自亚马逊 EFS 控制台的调用和对亚马逊 EFS API 操作的代码调用。
如果您创建了跟踪，则可以允许将 CloudTrail 事件持续传输到 Amazon S3 存储桶，包括 Amazon EFS 的事件。如果您未配置跟踪，您仍然可以在 CloudTrail 控制台的事件**历史记录中查看最新的事件**。通过收集的信息 CloudTrail，您可以确定向 Amazon EFS 发出的请求、发出请求的 IP 地址、谁提出了请求、何时发出请求以及其他详细信息。
有关更多信息，请参阅[什么是 AWS CloudTrail？](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/) 在《*AWS CloudTrail 用户指南》*中。
## Amazon EFS 中的信息 CloudTrail
CloudTrail 在您创建账户 AWS 账户 时已在您的账户上启用。当 Amazon EFS 中发生活动时，该活动会与其他 AWS 服务 CloudTrail 事件一起记录在**事件历史**记录中。您可以在中查看、搜索和下载最近发生的事件 AWS 账户。有关更多信息，请参阅[使用 CloudTrail 事件历史记录](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/view-cloudtrail-events.html)。
要持续记录您的事件 AWS 账户，包括 Amazon EFS 的事件，请创建跟踪。跟踪允许 CloudTrail 将日志文件传输到 Amazon S3 存储桶。默认情况下，当您在控制台中创建跟踪时，该跟踪将应用于所有 AWS 区域跟踪。跟踪记录 AWS 分区 AWS 区域 中所有事件并将日志文件传送到您指定的 Amazon S3 存储桶。此外，您可以配置其他 AWS 服务，以进一步分析和处理 CloudTrail 日志中收集的事件数据。有关更多信息，请参阅《AWS CloudTrail 用户指南》**中的以下主题：
+ [为您的 AWS 账户创建跟踪](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/cloudtrail-create-and-update-a-trail.html)
+ [AWS 与日志的服务集成 CloudTrail ](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/cloudtrail-aws-service-specific-topics.html#cloudtrail-aws-service-specific-topics-integrations)
+ [配置 Amazon SNS 通知 CloudTrail](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/configure-sns-notifications-for-cloudtrail.html)
+ [接收来自多个区域的 CloudTrail 日志文件](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/receive-cloudtrail-log-files-from-multiple-regions.html)和[接收来自多个账户的 CloudTrail 日志文件](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/cloudtrail-receive-logs-from-multiple-accounts.html)
所有 Amazon EFS [Amazon EFS API](api-reference.md) 都由其登录 CloudTrail。例如，调用`CreateMountTarget`和`CreateTags`操作会在 CloudTrail 日志文件中生成条目。`CreateFileSystem`
每个事件或日志条目都包含有关生成请求的人员信息。身份信息有助于您确定以下内容：
+ 请求是使用根用户还是 AWS Identity and Access Management (IAM) 用户证书发出。
+ 请求是使用角色还是联合用户的临时安全凭证发出的。
+ 请求是否由其他 AWS 服务发出。
有关更多信息，请参阅《[CloudTrail 用户指南》中的*AWS CloudTrail 用户*身份元素](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/cloudtrail-event-reference-user-identity.html)。
## 了解 Amazon EFS 日志文件条目
*跟踪*是一种配置，允许将事件作为日志文件传输到您指定的 Amazon S3 存储桶。 CloudTrail 日志文件包含一个或多个日志条目。*事件*代表来自任何来源的单个请求，包括有关请求的操作、操作的日期和时间、请求参数等的信息。 CloudTrail 日志文件不是公共 API 调用的有序堆栈跟踪，因此它们不会按任何特定顺序出现。
以下示例显示了一个 CloudTrail 日志条目，该条目演示了从控制台为文件系统创建标签时的`CreateTags`操作。
```
{
"eventVersion": "1.06",
"userIdentity": {
"type": "Root",
"principalId": "111122223333",
"arn": "arn:aws:iam::111122223333:root",
"accountId": "111122223333",
"accessKeyId": "AKIAIOSFODNN7EXAMPLE",
"sessionContext": {
"attributes": {
"mfaAuthenticated": "false",
"creationDate": "2017-03-01T18:02:37Z"
}
}
},
"eventTime": "2017-03-01T19:25:47Z",
"eventSource": "elasticfilesystem.amazonaws.com",
"eventName": "CreateTags",
"awsRegion": "us-west-2",
"sourceIPAddress": "192.0.2.0",
"userAgent": "console.amazonaws.com",
"requestParameters": {
"fileSystemId": "fs-00112233",
"tags": [{
"key": "TagName",
"value": "AnotherNewTag"
}
]
},
"responseElements": null,
"requestID": "dEXAMPLE-feb4-11e6-85f0-736EXAMPLE75",
"eventID": "eEXAMPLE-2d32-4619-bd00-657EXAMPLEe4",
"eventType": "AwsApiCall",
"apiVersion": "2015-02-01",
"recipientAccountId": "111122223333"
}
```
以下示例显示了一个 CloudTrail 日志条目，该条目演示了从控制台中删除文件系统的标签时的`DeleteTags`操作。
```
{
"eventVersion": "1.06",
"userIdentity": {
"type": "Root",
"principalId": "111122223333",
"arn": "arn:aws:iam::111122223333:root",
"accountId": "111122223333",
"accessKeyId": "AKIAIOSFODNN7EXAMPLE",
"sessionContext": {
"attributes": {
"mfaAuthenticated": "false",
"creationDate": "2017-03-01T18:02:37Z"
}
}
},
"eventTime": "2017-03-01T19:25:47Z",
"eventSource": "elasticfilesystem.amazonaws.com",
"eventName": "DeleteTags",
"awsRegion": "us-west-2",
"sourceIPAddress": "192.0.2.0",
"userAgent": "console.amazonaws.com",
"requestParameters": {
"fileSystemId": "fs-00112233",
"tagKeys": []
},
"responseElements": null,
"requestID": "dEXAMPLE-feb4-11e6-85f0-736EXAMPLE75",
"eventID": "eEXAMPLE-2d32-4619-bd00-657EXAMPLEe4",
"eventType": "AwsApiCall",
"apiVersion": "2015-02-01",
"recipientAccountId": "111122223333"
}
```
### EFS 服务相关角色的日志条目
Amazon EFS 服务相关角色对 AWS 资源进行 API 调用。您将看到 EFS 服务相关角色发出的呼叫的 CloudTrail 日志条目。`username: AWSServiceRoleForAmazonElasticFileSystem`有关 EFS 和服务相关角色的更多信息，请参阅[对 Amazon EFS 使用服务相关角色](using-service-linked-roles.md)。
以下示例显示了一个 CloudTrail 日志条目，该条目演示了 Amazon EFS 创建 AWSServiceRoleForAmazonElasticFileSystem 服务相关角色时的`CreateServiceLinkedRole`操作。
```
{
"eventVersion": "1.05",
"userIdentity": {
"type": "IAMUser",
"principalId": "111122223333",
"arn": "arn:aws:iam::111122223333:user/user1",
"accountId": "111122223333",
"accessKeyId": "A111122223333",
"userName": "user1",
"sessionContext": {
"attributes": {
"mfaAuthenticated": "false",
"creationDate": "2019-10-23T22:45:41Z"
}
},
"invokedBy": "elasticfilesystem.amazonaws.com”
},
"eventTime": "2019-10-23T22:45:41Z",
"eventSource": "iam.amazonaws.com",
"eventName": "CreateServiceLinkedRole",
"awsRegion": "us-east-1",
"sourceIPAddress": "192.0.2.0",
"userAgent": "user_agent",
"requestParameters": {
"aWSServiceName": "elasticfilesystem.amazonaws.com”
},
"responseElements": {
"role": {
"assumeRolePolicyDocument": "111122223333-10-111122223333Statement111122223333Action111122223333AssumeRole111122223333Effect%22%3A%20%22Allow%22%2C%20%22Principal%22%3A%20%7B%22Service%22%3A%20%5B%22 elasticfilesystem.amazonaws.com%22%5D%7D%7D%5D%7D",
"arn": "arn:aws:iam::111122223333:role/aws-service-role/elasticfilesystem.amazonaws.com/AWSServiceRoleForAmazonElasticFileSystem",
"roleId": "111122223333",
"createDate": "Oct 23, 2019 10:45:41 PM",
"roleName": "AWSServiceRoleForAmazonElasticFileSystem",
"path": "/aws-service-role/elasticfilesystem.amazonaws.com/“
}
},
"requestID": "11111111-2222-3333-4444-abcdef123456",
"eventID": "11111111-2222-3333-4444-abcdef123456",
"eventType": "AwsApiCall",
"recipientAccountId": "111122223333"
}
```
以下示例显示了一个 CloudTrail 日志条目，该条目演示了`AWSServiceRoleForAmazonElasticFileSystem`服务相关角色所执行的`CreateNetworkInterface`操作，如中所`sessionContext`述。
```
{
"eventVersion": "1.05",
"userIdentity": {
"type": "AssumedRole",
"principalId": "AIDACKCEVSQ6C2EXAMPLE",
"arn": "arn:aws:sts::0123456789ab:assumed-role/AWSServiceRoleForAmazonElasticFileSystem/0123456789ab",
"accountId": "0123456789ab",
"sessionContext": {
"sessionIssuer": {
"type": "Role",
"principalId": "AIDACKCEVSQ6C2EXAMPLE",
"arn": "arn:aws:iam::0123456789ab:role/aws-service-role/elasticfilesystem.amazonaws.com/AWSServiceRoleForAmazonElasticFileSystem",
"accountId": "0123456789ab",
"userName": "AWSServiceRoleForAmazonElasticFileSystem"
},
"webIdFederationData": {},
"attributes": {
"mfaAuthenticated": "false",
"creationDate": "2019-10-23T22:50:05Z"
}
},
"invokedBy": "AWS Internal"
},
"eventTime": "20You 19-10-23T22:50:05Z",
"eventSource": "ec2.amazonaws.com",
"eventName": "CreateNetworkInterface",
"awsRegion": "us-east-1",
"sourceIPAddress": "elasticfilesystem.amazonaws.com”,
"userAgent": "elasticfilesystem.amazonaws.com",
"requestParameters": {
"subnetId": "subnet-71e2f83a",
"description": "EFS mount target for fs-1234567 (fsmt-1234567)",
"groupSet": {},
"privateIpAddressesSet": {}
},
"responseElements": {
"requestId": "0708e4ad-03f6-4802-b4ce-4ba987d94b8d",
"networkInterface": {
"networkInterfaceId": "eni-0123456789abcdef0",
"subnetId": "subnet-12345678",
"vpcId": "vpc-01234567",
"availabilityZone": "us-east-1b",
"description": "EFS mount target for fs-1234567 (fsmt-1234567)",
"ownerId": "666051418590",
"requesterId": "0123456789ab",
"requesterManaged": true,
"status": "pending",
"macAddress": "00:bb:ee:ff:aa:cc",
"privateIpAddress": "192.0.2.0",
"privateDnsName": "ip-192-0-2-0.ec2.internal",
"sourceDestCheck": true,
"groupSet": {
"items": [
{
"groupId": "sg-c16d65b6",
"groupName": "default"
}
]
},
"privateIpAddressesSet": {
"item": [
{
"privateIpAddress": "192.0.2.0",
"primary": true
}
]
},
"tagSet": {}
}
},
"requestID": "11112222-3333-4444-5555-666666777777",
"eventID": "aaaabbbb-1111-2222-3333-444444555555",
"eventType": "AwsApiCall",
"recipientAccountId": "111122223333"
}
```
### EFS 身份验证的日志条目
针对 NFS 客户端发射`NewClientConnection`和`UpdateClientConnection` CloudTrail 事件的 Amazon EFS 授权。当在初始连接之后立即授权连接以及在重新连接之后，会立即发出 `NewClientConnection` 事件。当重新授权连接并且允许的操作列表发生变化时，会发出 `UpdateClientConnection`。当新的允许操作列表不包含 `ClientMount` 时，也会发出该事件。有关 EFS 授权的更多信息，请参阅[使用 IAM 控制文件系统访问](iam-access-control-nfs-efs.md)。
以下示例显示了演示`NewClientConnection`事件的 CloudTrail 日志条目。
```
{
"eventVersion": "1.05",
"userIdentity": {
"type": "AssumedRole",
"principalId": "AIDACKCEVSQ6C2EXAMPLE",
"arn": "arn:aws:sts::0123456789ab:assumed-role/abcdef0123456789",
"accountId": "0123456789ab",
"accessKeyId": "AKIAIOSFODNN7EXAMPLE ",
"sessionContext": {
"sessionIssuer": {
"type": "Role",
"principalId": "AIDACKCEVSQ6C2EXAMPLE",
"arn": "arn:aws:iam::0123456789ab:role/us-east-2",
"accountId": "0123456789ab",
"userName": "username"
},
"webIdFederationData": {},
"attributes": {
"mfaAuthenticated": "false",
"creationDate": "2019-12-23T17:50:16Z"
},
"ec2RoleDelivery": "1.0"
}
},
"eventTime": "2019-12-23T18:02:12Z",
"eventSource": "elasticfilesystem.amazonaws.com",
"eventName": "NewClientConnection",
"awsRegion": "us-east-2",
"sourceIPAddress": "AWS Internal",
"userAgent": "elasticfilesystem",
"requestParameters": null,
"responseElements": null,
"eventID": "27859ac9-053c-4112-aee3-f3429719d460",
"readOnly": true,
"resources": [
{
"accountId": "0123456789ab",
"type": "AWS::EFS::FileSystem",
"ARN": "arn:aws:elasticfilesystem:us-east-2:0123456789ab:file-system/fs-01234567"
},
{
"accountId": "0123456789ab",
"type": "AWS::EFS::AccessPoint",
"ARN": "arn:aws:elasticfilesystem:us-east-2:0123456789ab:access-point/fsap-0123456789abcdef0"
}
],
"eventType": "AwsServiceEvent",
"recipientAccountId": "0123456789ab",
"serviceEventDetails": {
"permissions": {
"ClientRootAccess": true,
"ClientMount": true,
"ClientWrite": true
},
"sourceIpAddress": "10.7.3.72"
}
}
```
## 文件系统的 Amazon EFS 日志 encrypted-at-rest文件条目
Amazon EFS 允许您选择在文件系统中使用静态加密和/或传输中加密。有关更多信息，请参阅 [Amazon EFS 中的数据加密](encryption.md)。
Amazon EFS 在发出 AWS KMS API 请求以生成数据密钥和解[密 Amazon EFS 数据时会发送加密上下文](https://docs.aws.amazon.com/kms/latest/developerguide/concepts.html#encrypt_context)。文件系统 ID 是静态加密的所有文件系统的加密上下文。在 CloudTrail 日志条目的`requestParameters`字段中，加密上下文类似于以下内容。
```
"EncryptionContextEquals": {}
"aws:elasticfilesystem:filesystem:id" : "{{fs-4EXAMPLE}}"
```