本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

# 了解敏感数据发现作业的日志事件
<a name="discovery-jobs-monitor-cw-logs-ref"></a>

为了帮助您监控敏感数据发现任务，Amazon Macie 会自动将任务的日志数据发布到亚马逊 CloudWatch 日志。这些日志中的数据提供了作业进度或状态变化的记录。例如，您可以使用数据来确定作业开始运行或完成运行的确切日期和时间。数据还提供了有关作业运行时可能发生的某些类型错误的详细信息。该数据可以帮助您识别、调查和解决阻碍 Macie 分析所需数据的错误。

当您开始运行作业时，Macie 会自动在 CloudWatch 日志中创建和配置相应的资源，以记录所有作业的事件。然后，当您的作业运行时，Macie 会自动将事件数据发布到这些资源。有关更多信息，请参阅 [作业日志的工作原理](discovery-jobs-monitor-cw-logs-configure.md)。

然后，通过使用 CloudWatch 日志，您可以查询和分析作业的日志数据。例如，您可以搜索和筛选聚合数据，以识别在特定时间范围内所有作业发生的特定类型的事件。或者，您可以对特定作业发生的所有事件进行有针对性的审查。 CloudWatch 日志还提供了用于监控日志数据、定义指标筛选器和创建自定义警报的选项。例如，您可以将 CloudWatch 日志配置为在作业运行时发生某种类型的事件时通知您。有关更多信息，请参阅 [Amazon CloudWatch 日志用户指南](https://docs.aws.amazon.com/AmazonCloudWatch/latest/logs/WhatIsCloudWatchLogs.html)。

**Contents**
+ [作业的日志事件架构](#discovery-jobs-monitor-cw-logs-schema)
+ [作业的日志事件类型](#discovery-jobs-monitor-cw-logs-event-index)
  + [作业状态事件](#discovery-jobs-monitor-cw-logs-event-index-status)
  + [账户级错误事件](#discovery-jobs-monitor-cw-logs-event-index-account-errors)
  + [存储桶级错误事件](#discovery-jobs-monitor-cw-logs-event-index-bucket-errors)

## 敏感数据发现作业的日志事件架构
<a name="discovery-jobs-monitor-cw-logs-schema"></a>

敏感数据发现任务的每个日志事件都是一个 JSON 对象，其中包含一组标准字段，符合 Amazon CloudWatch Logs 事件架构。某些类型的事件还有其他字段，这些字段提供的信息对此类事件特别有用。例如，账户级错误事件包括受影响的 AWS 账户的账户 ID。存储桶级错误事件包括受影响的 Amazon Simple Storage Service (Amazon S3) 存储桶的名称。

以下示例显示敏感数据发现作业的日志事件架构。在此示例中，事件报告说，由于 Amazon S3 拒绝访问存储桶，Amazon Macie 无法分析 S3 存储桶中的任何对象。

```
{
    "adminAccountId": "123456789012",
    "jobId": "85a55dc0fa6ed0be5939d0408example",
    "eventType": "BUCKET_ACCESS_DENIED",
    "occurredAt": "2024-04-14T17:11:30.574809Z",
    "description": "Macie doesn’t have permission to access the affected S3 bucket.",
    "jobName": "My_Macie_Job",
    "operation": "ListObjectsV2",
    "runDate": "2024-04-14T17:08:30.345809Z",
    "affectedAccount": "111122223333",
    "affectedResource": {
        "type": "S3_BUCKET_NAME",
        "value": "amzn-s3-demo-bucket"
    }
}
```

在前面的示例中，Macie 尝试使用 Amazon S3 API 的 [ListObjectsV2](https://docs.aws.amazon.com/AmazonS3/latest/API/API_ListObjectsV2.html) 操作列出存储桶的对象。当 Macie 向 Amazon S3 发送请求时， Amazon S3 拒绝访问该存储桶。

以下字段是敏感数据发现作业的所有日志事件的通用字段：
+ `adminAccountId`：创建作业的 AWS 账户 的唯一标识符。
+ `jobId`：作业的唯一标识符。
+ `eventType`：发生的事件类型。
+ `occurredAt`：事件发生时的日期和时间，采用协调世界时 (UTC) 和扩展 ISO 8601 格式。
+ `description`：事件的简要说明。
+ `jobName`：作业的名称。

根据事件的类型和性质，日志事件还可以包含以下字段：
+ `affectedAccount`：拥有受影响资源的 AWS 账户 的唯一标识符。
+ `affectedResource`：提供有关受影响资源的详细信息的 JSON 对象。在对象中，`type` 字段指定一个用于存储有关资源的元数据的字段。`value` 字段指定字段 (`type`) 的值。
+ `operation`：Macie 尝试执行并导致错误的操作。
+ `runDate`：适用作业或作业运行开始时的日期和时间，采用协调世界时 (UTC) 和扩展 ISO 8601 格式。

## 敏感数据发现作业的日志事件类型
<a name="discovery-jobs-monitor-cw-logs-event-index"></a>

Amazon Macie 会针对敏感数据发现作业可能发生的三类事件发布日志事件：
+ 作业状态事件，用于记录作业或作业运行的状态或进度的变化。
+ 账户级错误事件，用于记录阻止 Macie 分析特定内容的 Amazon S3 数据的错误。 AWS 账户
+ 存储桶级错误事件，用于记录阻止 Macie 分析特定 S3 存储桶的数据的错误。

本节中的主题列出并描述了 Macie 为每个类别发布的事件类型。

### 作业状态事件
<a name="discovery-jobs-monitor-cw-logs-event-index-status"></a>

作业状态事件用于记录作业或作业运行的状态或进度的变化。对于定期作业，Macie 会记录并发布整个作业和单个作业运行的这些事件。

以下示例使用示例数据来显示作业状态事件中字段的结构和性质。在此示例中，`SCHEDULED_RUN_COMPLETED` 事件表示定期作业的计划运行已完成运行。如 `runDate` 字段所示，运行于世界标准时间 2024 年 4 月 14 日 17:09:30 开始。如 `occurredAt` 字段所示，运行于世界标准时间 2024 年 4 月 14 日 17:16:30 结束。

```
{
    "adminAccountId": "123456789012",
    "jobId": "ffad0e71455f38a4c7c220f3cexample",
    "eventType": "SCHEDULED_RUN_COMPLETED",
    "occurredAt": "2024-04-14T17:16:30.574809Z",
    "description": "The scheduled job run finished running.",
    "jobName": "My_Daily_Macie_Job",
    "runDate": "2024-04-14T17:09:30.574809Z"
}
```

下表列出并描述了 Macie 记录并发布到 CloudWatch 日志的作业状态事件的类型。**事件类型**列表示每个事件在事件`eventType`字段中显示的名称。**说明**列提供事件显示在事件`description`字段中的简要说明。**其他信息**提供有关该事件适用的作业类型的信息。该表首先按事件可能发生的大致时间顺序排序，然后按事件类型按字母升序排序。


| 事件类型 | 说明 | 附加信息 | 
| --- | --- | --- | 
|  JOB\$1CREATED  |  已创建作业。  |  适用于一次性和定期作业。  | 
| ONE\$1TIME\$1JOB\$1STARTED |  作业开始运行。  |  仅适用于一次性作业。  | 
|  SCHEDULED\$1RUN\$1STARTED  |  计划作业开始运行。  |  仅适用于定期作业。为了记录一次性作业的开始，Macie 发布一个 ONE\$1TIME\$1JOB\$1STARTED 事件，而不是此类事件。  | 
|  BUCKET\$1MATCHED\$1THE\$1CRITERIA  |  受影响的存储桶符合为作业指定的存储桶标准。  |  适用于使用运行时存储桶标准来确定要分析哪些 S3 存储桶的一次性和定期作业。 `affectedResource` 对象指定符合标准并包含在作业分析中的存储桶的名称。  | 
|  NO\$1BUCKETS\$1MATCHED\$1THE\$1CRITERIA  |  作业已开始运行，但当前没有与为该作业指定的存储桶标准相匹配的存储桶。该作业没有分析任何数据。  |  适用于使用运行时存储桶标准来确定要分析哪些 S3 存储桶的一次性和定期作业。  | 
| SCHEDULED\$1RUN\$1COMPLETED |  计划作业结束运行。  |  仅适用于定期作业。为了记录一次性作业的完成，Macie 发布一个 JOB\$1COMPLETED 事件，而不是此类事件。  | 
|  JOB\$1PAUSED\$1BY\$1USER  |  作业已被用户暂停。  |  适用于您暂时停止（已暂停）的一次性和定期作业。  | 
|  JOB\$1RESUMED\$1BY\$1USER  |  作业已由用户恢复。  |  适用于您暂时停止（已暂停）并且之后又恢复了的一次性和定期作业。  | 
|  JOB\$1PAUSED\$1BY\$1MACIE\$1SERVICE\$1QUOTA\$1MET  |  作业已被 Macie 暂停。作业的完成将超过受影响账户的每月配额。  |  适用于 Macie 暂时停止（已暂停）的一次性和定期作业。 当作业或作业运行的额外处理超过该作业为其分析数据的一个或多个账户的每月[敏感数据发现配额](macie-quotas.md)时，Macie 会自动暂停该作业。为避免出现此问题，请考虑增加受影响账户的配额。  | 
|  JOB\$1RESUMED\$1BY\$1MACIE\$1SERVICE\$1QUOTA\$1LIFTED  |  作业已由 Macie 恢复。受影响账户的每月服务配额已取消。  |  适用于 Macie 暂时停止（已暂停）并且之后又恢复了的一次性和定期作业。 如果 Macie 自动暂停一次性作业，Macie 将在下一个月开始时或所有受影响账户的每月敏感数据发现配额增加时（以先发生者为准）自动恢复该作业。如果 Macie 自动暂停定期作业，Macie 将在计划下一次运行开始或下一个月开始时（以先发生者为准）自动恢复该作业。  | 
|  JOB\$1CANCELLED  | 作业已取消。 |  适用于您永久停止（取消）的一次性和定期作业，或者对于一次性作业，已暂停但未在 30 天内恢复。 如果您挂起或禁用 Macie，则此类事件也适用于在您挂起或禁用 Macie 时处于活动状态或暂停状态的作业。 AWS 区域 如果您在该地区暂停或禁用 Macie，Macie 会自动取消您的作业。  | 
|  JOB\$1COMPLETED  |  作业已完成运行。  |  仅适用于一次性作业。为了记录定期作业的作业运行的完成，Macie 发布一个 SCHEDULED\$1RUN\$1COMPLETED 事件，而不是此类事件。  | 

### 账户级错误事件
<a name="discovery-jobs-monitor-cw-logs-event-index-account-errors"></a>

账户级错误事件记录了一个错误，该错误阻止 Macie 分析特定存储桶中属于特定存储桶的对象。 AWS 账户每个事件中的 `affectedAccount` 字段都指定该账户的账户 ID。

以下示例使用示例数据来显示账户级错误事件中字段的结构和性质。在此示例中，`ACCOUNT_ACCESS_DENIED` 事件表明 Macie 无法分析账户 `444455556666` 拥有的任何 S3 存储桶中的对象。

```
{
    "adminAccountId": "123456789012",
    "jobId": "85a55dc0fa6ed0be5939d0408example",
    "eventType": "ACCOUNT_ACCESS_DENIED",
    "occurredAt": "2024-04-14T17:08:30.585709Z",
    "description": "Macie doesn’t have permission to access S3 bucket data for the affected account.",
    "jobName": "My_Macie_Job",
    "operation": "ListBuckets",
    "runDate": "2024-04-14T17:05:27.574809Z",
    "affectedAccount": "444455556666"
}
```

下表列出并描述了 Macie 记录并发布到日志的账户级错误事件的类型。 CloudWatch **事件类型**列表示每个事件在事件`eventType`字段中显示的名称。**说明**列提供事件显示在事件`description`字段中的简要说明。**其他信息**列提供调查或解决所发生错误的所有适用提示。该表按事件类型字母顺序升序排序。


| 事件类型 | 说明 | 附加信息 | 
| --- | --- | --- | 
|  ACCOUNT\$1ACCESS\$1DENIED  |  Macie 无权访问受影响账户的 S3 存储桶数据。  |  之所以发生这种情况，通常是因为账户拥有的存储桶具有限制性的存储桶策略。有关如何解决此问题的信息，请参阅 [允许 Macie 访问 S3 存储桶和对象](monitoring-restrictive-s3-buckets.md)。 事件中 `operation` 字段的值可以帮助您确定哪些权限设置阻止 Macie 访问该账户的 S3 数据。此字段表示错误发生时 Macie 尝试执行的 Amazon S3 操作。  | 
| ACCOUNT\$1DISABLED |  作业跳过了受影响账户拥有的资源。Macie 已对账户禁用。  |  要解决此问题，在同一 AWS 区域中为该账户重新启用 Macie。  | 
| ACCOUNT\$1DISASSOCIATED |  作业跳过了受影响账户拥有的资源。该账户不再作为成员账户与您的 Macie 管理员账户关联。  |  如果您作为组织的 Macie 管理员，将作业配置为分析成员账户的数据，而该账户之后从您的组织中被移除，则会发生这种情况。 要解决此问题，请将受影响的账户与您的 Macie 管理员账户重新关联为成员账户。有关更多信息，请参阅 [管理多个账户](macie-accounts.md)。  | 
|  ACCOUNT\$1ISOLATED  |  作业跳过了受影响账户拥有的资源。他们 AWS 账户 被隔离了。  |  –  | 
|  ACCOUNT\$1REGION\$1DISABLED  |  作业跳过了受影响账户拥有的资源。当前 AWS 账户 不处于活动状态 AWS 区域。  |  –   | 
|  ACCOUNT\$1SUSPENDED  |  作业被取消或跳过了受影响账户拥有的资源。Macie 已对账户挂起  |  如果指定的账户是您自己的账户，那么当您在同一地区挂起 Macie 时，Macie 会自动取消作业。要解决此问题，请在该地区重新启用 Macie。 如果指定的账户是成员账户，请在同一地区为该账户重新启用 Macie。  | 
|  ACCOUNT\$1TERMINATED  |  作业跳过了受影响账户拥有的资源。 AWS 账户 已终止。  |  –  | 

### 存储桶级错误事件
<a name="discovery-jobs-monitor-cw-logs-event-index-bucket-errors"></a>

存储桶级错误事件记录导致 Macie 无法分析特定 S3 存储桶中的对象的错误。每个事件中的`affectedAccount`字段指定拥有存储桶 AWS 账户 的账户 ID。每个事件中的 `affectedResource` 对象都指定了存储桶名称。

以下示例使用示例数据来显示存储桶级错误事件中字段的结构和性质。在此示例中，`BUCKET_ACCESS_DENIED` 事件表明 Macie 无法分析名为 `amzn-s3-demo-bucket` 的 S3 存储桶中的任何对象。当 Macie 尝试使用 Amazon S3 API 的 [ListObjectsV2](https://docs.aws.amazon.com/AmazonS3/latest/API/API_ListObjectsV2.html) 操作列出存储桶的对象时，Amazon S3 拒绝访问该存储桶。

```
{
    "adminAccountId": "123456789012",
    "jobId": "85a55dc0fa6ed0be5939d0408example",
    "eventType": "BUCKET_ACCESS_DENIED",
    "occurredAt": "2024-04-14T17:11:30.574809Z",
    "description": "Macie doesn’t have permission to access the affected S3 bucket.",
    "jobName": "My_Macie_Job",
    "operation": "ListObjectsV2",
    "runDate": "2024-04-14T17:09:30.685209Z",
    "affectedAccount": "111122223333",
    "affectedResource": {
        "type": "S3_BUCKET_NAME",
        "value": "amzn-s3-demo-bucket"
    }
}
```

下表列出并描述了 Macie 记录并发布到日志的存储桶级错误事件的类型。 CloudWatch **事件类型**列表示每个事件在事件`eventType`字段中显示的名称。**说明**列提供事件显示在事件`description`字段中的简要说明。**其他信息**列提供调查或解决所发生错误的所有适用提示。该表按事件类型字母顺序升序排序。


| 事件类型 | 说明 | 附加信息 | 
| --- | --- | --- | 
|  BUCKET\$1ACCESS\$1DENIED  |  Macie 无权访问受影响的 S3 存储桶。  |  这个问题的原因通常是存储桶具有限制性存储桶策略。有关如何解决此问题的信息，请参阅 [允许 Macie 访问 S3 存储桶和对象](monitoring-restrictive-s3-buckets.md)。 事件中 `operation` 字段的值可以帮助您确定哪些权限设置阻止 Macie 访问存储桶。此字段表示错误发生时 Macie 尝试执行的 Amazon S3 操作。  | 
|  BUCKET\$1DETAILS\$1UNAVAILABLE  |  由于临时问题，Macie 无法检索有关存储桶和存储桶对象的详细信息。  |  如果暂时性问题阻止 Macie 检索分析存储桶对象所需的存储桶和对象元数据，则会发生这种情况。例如，当 Macie 尝试验证是否允许其访问存储桶时，就会出现 Amazon S3 异常。 要解决一次性作业的该问题，可以考虑创建并运行一个新的一次性作业来分析存储桶中的对象。对于计划作业，Macie 将在下一次作业运行期间再次尝试检索元数据。  | 
| BUCKET\$1DOES\$1NOT\$1EXIST |  受影响的 S3 存储桶已不存在。  |  发生这种情况通常是因为存储桶已被删除。  | 
|  BUCKET\$1IN\$1DIFFERENT\$1REGION  |  受影响的 S3 存储桶已移至其他 AWS 区域。  |  –  | 
| BUCKET\$1OWNER\$1CHANGED |  受影响的 S3 存储桶的所有者已更改。Macie 不再有权限访问存储桶。  |  如果存储桶的所有权已转移给不属于您的组织 AWS 账户 ，则通常会发生这种情况。事件中的`affectedAccount`字段表示先前拥有该存储桶的账户的账户 ID。  |