日志溯源53 条

云审计日志溯源（AWS CloudTrail）

CloudTrail 记录账号下的 API 调用：以 AccessKey 或事件名检索，回填调用者、来源 IP 与被操资源，定位云上异常操作。

用途	云控制面操作溯源
关键字段	eventName / userIdentity / sourceIPAddress / requestParameters

检索命令

aws cloudtrail lookup-events --lookup-attributes AttributeKey=EventName,AttributeValue=CreateAccessKey --max-items 20

拿到 KeyId 后可全量反查该凭据的调用序列，还原操作链。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌