本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。
# CloudTrail Lake 儀表板
**注意**
AWS CloudTrail Lake 自 2026 年 5 月 31 日起不再向新客戶開放。如果您想要使用 CloudTrail Lake，請在該日期之前註冊。現有客戶可以繼續正常使用該服務。如需詳細資訊，請參閱[CloudTrail Lake 可用性變更](cloudtrail-lake-service-availability-change.md)。
您可以使用 CloudTrail Lake 儀表板來查看帳戶中事件資料存放區的事件趨勢。CloudTrail Lake 提供下列儀表板類型：
+ **受管儀表板** – 您可以檢視受管儀表板，以查看收集管理事件、資料事件或 Insights 事件的事件資料存放區的事件趨勢。這些儀表板會自動提供給您，並由 CloudTrail Lake 管理。CloudTrail 提供 14 個受管儀表板供您選擇。您可以手動重新整理受管儀表板。您無法修改、新增或移除這些儀表板的小工具，不過，如果您想要修改小工具或設定重新整理排程，則可以將受管儀表板儲存為自訂儀表板。
+ **自訂儀表板** – 自訂儀表板可讓您查詢任何事件資料存放區類型中的事件。您最多可以在自訂儀表板中新增 10 個 Widget。您可以手動重新整理自訂儀表板，也可以設定重新整理排程。
+ **反白儀表板** – 啟用反白儀表板可at-a-glance檢視您帳戶中事件資料存放區所收集的 AWS 活動概觀。醒目提示儀表板由 CloudTrail 管理，並包含與您帳戶相關的小工具。反白儀表板上顯示的小工具對於每個帳戶都是唯一的。這些小工具可能會浮現偵測到的異常活動或異常。例如，醒目提示儀表板可能包含**跨帳戶存取總數小工具**，這會顯示異常跨帳戶活動是否增加。CloudTrail 每 6 小時更新一次反白儀表板。儀表板會顯示上次更新後的最後 24 小時的資料。
每個儀表板都包含一或多個小工具，每個小工具提供 SQL 查詢結果的圖形表示。若要檢視小工具的查詢，請選擇**檢視和編輯查詢**以開啟查詢編輯器。
重新整理儀表板時，CloudTrail Lake 會執行查詢以填入儀表板的小工具。由於執行查詢會產生成本，CloudTrail 會要求您確認與執行查詢相關聯的成本。如需 CloudTrail 定價的詳細資訊，請參閱 [CloudTrail 定價](https://aws.amazon.com/cloudtrail/pricing/)。
**Topics**
+ [先決條件](#lake-dashboard-prerequisites)
+ [限制](#lake-dashboard-limitations)
+ [區域支援](#lake-dashboard-regions)
+ [所需的許可](#lake-dashboard-permissions)
+ [使用 CloudTrail 主控台檢視受管儀表板](lake-dashboard-managed.md)
+ [使用 CloudTrail 主控台啟用反白儀表板](lake-dashboard-highlights.md)
+ [使用 CloudTrail 主控台停用反白儀表板](lake-dashboard-highlights-disable.md)
+ [使用 CloudTrail 主控台建立自訂儀表板](lake-dashboard-custom.md)
+ [使用 CloudTrail 主控台設定自訂儀表板的重新整理排程](lake-dashboard-refresh.md)
+ [使用 CloudTrail 主控台停用自訂儀表板的重新整理排程](lake-dashboard-refresh-disable.md)
+ [使用 CloudTrail 主控台變更終止保護](lake-dashboard-termination-protection.md)
+ [使用 CloudTrail 主控台刪除自訂儀表板](lake-dashboard-delete.md)
+ [使用 建立、更新和管理儀表板 AWS CLI](lake-dashboard-cli.md)
## 先決條件
下列先決條件適用於 CloudTrail Lake 儀表板：
+ 若要檢視與使用 Lake 儀表板，您必須建立至少一個 CloudTrail Lake 事件資料存放區。您可以使用 主控台 AWS CLI或 SDKs建立事件資料存放區。如需有關使用主控台建立事件資料存放區的資訊，請參閱 [使用主控台為 CloudTrail 事件建立事件資料存放區](query-event-data-store-cloudtrail.md)。如需使用 建立事件資料存放區的資訊 AWS CLI，請參閱 [使用 建立事件資料存放區 AWS CLI](lake-cli-create-eds.md)。
+ 您必須擁有足夠的許可才能檢視、建立、更新和重新整理儀表板。如需詳細資訊，請參閱[所需的許可](#lake-dashboard-permissions)。
## 限制
下列限制適用於 CloudTrail Lake 儀表板：
+ 您只能為帳戶中存在的事件資料存放區啟用反白儀表板。
+ 您只能檢視存在於您帳戶中的事件資料存放區的受管儀表板。
+ 對於自訂儀表板，您只能新增範例小工具或建立新的小工具，以查詢帳戶中存在的事件資料存放區。
+ AWS Organizations 組織的委派管理員無法檢視或管理管理帳戶擁有的儀表板。
## 區域支援
支援 CloudTrail Lake 的所有 都支援 AWS 區域 CloudTrail Lake 儀表板。
下列區域支援醒目**提示**儀表板上的**活動摘要**小工具：
+ 亞太區域 (東京) 區域 (ap-northeast-1)
+ 美國東部 (維吉尼亞北部) (us-east-1)
+ 美國西部 （奧勒岡） 區域 (us-west-1)
支援 AWS 區域 CloudTrail Lake 的所有 都支援所有其他小工具。
如需 CloudTrail Lake 支援區域的詳細資訊，請參閱 [CloudTrail Lake 支援的區域](cloudtrail-lake-supported-regions.md)。
## 所需的許可
本節說明 CloudTrail Lake 儀表板的必要許可，並討論兩種 IAM 政策類型：
+ 身分型政策，可讓您執行建立、管理和刪除儀表板的動作。
+ 當儀表板重新整理時，允許 CloudTrail 在事件資料存放區上執行查詢的資源型政策，並代表您執行自訂儀表板和反白儀表板的排程重新整理。當您使用 CloudTrail 主控台建立儀表板時，您可以選擇連接以資源為基礎的政策。您也可以執行 AWS CLI [`put-resource-policy`](lake-dashboard-cli-manage.md#lake-dashboard-cli-add-rbp)命令，將資源型政策新增至事件資料存放區或儀表板。
### 身分型政策需求
身分型政策是可以附加到身分 (例如 IAM 使用者、使用者群組或角色) 的 JSON 許可政策文件。這些政策可控制身分在何種條件下能對哪些資源執行哪些動作。如需了解如何建立身分型政策，請參閱《*IAM 使用者指南*》中的[透過客戶管理政策定義自訂 IAM 許可](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create.html)。
若要檢視和管理 CloudTrail Lake 儀表板，您需要下列其中一個政策：
+ [https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AWSCloudTrail_FullAccess.html](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AWSCloudTrail_FullAccess.html) 受管政策。
+ [https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AdministratorAccess.html](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AdministratorAccess.html) 受管政策。
+ 自訂政策，其中包含以下各節所述的一或多個特定許可。
**Topics**
+ [建立儀表板所需的許可](#lake-dashboard-permissions-identity-create)
+ [更新儀表板所需的許可](#lake-dashboard-permissions-identity-update)
+ [重新整理儀表板所需的許可](#lake-dashboard-permissions-identity-create)
#### 建立儀表板所需的許可
下列範例政策提供建立儀表板所需的最低許可。將{{分割區}}、{{區域}}、{{account-id}} 和 {{eds-id}} 取代為組態的值。
+ `StartQuery` 只有在請求包含小工具時，才需要 許可。為小工具查詢中包含的所有事件資料存放區提供`StartQuery`許可。
+ `StartDashboardRefresh` 只有在儀表板有重新整理排程時，才需要 許可。
+ 對於反白儀表板，發起人必須擁有帳戶中所有事件資料存放區的`StartQuery`許可。
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Sid": "Statement1",
"Effect": "Allow",
"Action": [
"cloudtrail:CreateDashboard",
"cloudtrail:StartDashboardRefresh",
"cloudtrail:StartQuery"
],
"Resource": [
"arn:aws:cloudtrail:{{us-east-1}}:{{111111111111}}:dashboard/*",
"arn:aws:cloudtrail:{{us-east-1}}:{{111111111111}}:eventdatastore/{{eds-id}}"
]
}
]
}
```
------
#### 更新儀表板所需的許可
下列範例政策提供更新儀表板所需的最低許可。將{{分割區}}、{{區域}}、{{account-id}} 和 {{eds-id}} 取代為組態的值。
+ `StartQuery` 只有在請求包含小工具時，才需要 許可。為小工具查詢中包含的所有事件資料存放區提供`StartQuery`許可。
+ `StartDashboardRefresh` 只有在儀表板有重新整理排程時，才需要 許可。
+ 對於反白儀表板，發起人必須擁有帳戶中所有事件資料存放區的`StartQuery`許可。
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Sid": "Statement1",
"Effect": "Allow",
"Action": [
"cloudtrail:UpdateDashboard",
"cloudtrail:StartDashboardRefresh",
"cloudtrail:StartQuery"
],
"Resource": [
"arn:aws:cloudtrail:{{us-east-1}}:{{111111111111}}:dashboard/*",
"arn:aws:cloudtrail:{{us-east-1}}:{{111111111111}}:eventdatastore/{{eds-id}}"
]
}
]
}
```
------
#### 重新整理儀表板所需的許可
下列範例政策提供重新整理儀表板所需的最低許可。使用組態的值取代{{分割區}}、{{區域}}、{{帳戶 ID}}、{{儀表板名稱}}和 {{eds-id}}。
+ 對於自訂儀表板和醒目提示儀表板，發起人必須具有 `cloudtrail:StartDashboardRefresh permissions`。
+ 對於受管儀表板，發起人必須擁有重新整理所涉及事件資料存放區的`cloudtrail:StartDashboardRefresh`許可和`cloudtrail:StartQuery`許可。
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Sid": "Statement1",
"Effect": "Allow",
"Action": [
"cloudtrail:StartDashboardRefresh",
"cloudtrail:StartQuery"
],
"Resource": [
"arn:aws:cloudtrail:{{us-east-1}}:{{111111111111}}:dashboard/{{dashboard-name}}",
"arn:aws:cloudtrail:{{us-east-1}}:{{111111111111}}:eventdatastore/{{eds-id}}"
]
}
]
}
```
------
### 儀表板和事件資料存放區的資源型政策
資源型政策是附加到資源的 JSON 政策文件。資源型政策的最常見範例是 IAM 角色信任政策和 Amazon S3 儲存貯體政策。對於附加政策的資源，政策會定義指定的主體可以對該資源執行的動作以及在何種條件下執行的動作。您必須在資源型政策中指定主體。
若要在手動或排程重新整理期間對儀表板執行查詢，您必須將資源型政策連接至與儀表板上小工具相關聯的每個事件資料存放區。這可讓 CloudTrail Lake 代表您執行查詢。當您建立自訂儀表板，或使用 CloudTrail 主控台啟用**反白**儀表板時，CloudTrail 可讓您選擇要套用許可的事件資料存放區。如需資源型政策的詳細資訊，請參閱 [範例：允許 CloudTrail 執行查詢以重新整理儀表板](security_iam_resource-based-policy-examples.md#security_iam_resource-based-policy-examples-eds-dashboard)。
若要設定儀表板的重新整理排程，您必須將資源型政策連接至儀表板，以允許 CloudTrail Lake 代表您重新整理儀表板。當您設定自訂儀表板的重新整理排程，或使用 CloudTrail 主控台啟用**反白**儀表板時，CloudTrail 可讓您選擇將資源型政策連接至儀表板。如需政策範例，請參閱 [儀表板的資源型政策範例](security_iam_resource-based-policy-examples.md#security_iam_resource-based-policy-examples-dashboards)。
您可以使用 CloudTrail 主控台、 [AWS CLI](lake-dashboard-cli-manage.md#lake-dashboard-cli-add-rbp)或 [PutResourcePolicy](https://docs.aws.amazon.com/awscloudtrail/latest/APIReference/API_PutResourcePolicy.html) API 操作來連接資源型政策。
### 解密事件資料存放區中資料的 KMS 金鑰許可
如果查詢的事件資料存放區使用 KMS 金鑰加密，請確定 KMS 金鑰政策允許 CloudTrail 解密事件資料存放區中的資料。下列範例政策陳述式允許 CloudTrail 服務主體解密事件資料存放區。
```
{
"Sid": "AllowCloudTrailDecryptAccess",
"Effect": "Allow",
"Principal": {
"Service": "cloudtrail.amazonaws.com"
},
"Action": "kms:Decrypt",
"Resource": "*"
}
```