AWS CloudTrail
Nhật ký ai gọi API gì
Ghi lại mọi lời gọi API trong tài khoản: ai, lúc nào, từ đâu, làm gì; dùng để kiểm toán và điều tra bảo mật.
- Chi phí$ Rẻ
- Độ khó●●●●●
- Để không có tốn tiền?Ít
- AWS quản lý
- Có trong đềCLF · SAA · SOA
Hình dungNhư camera an ninh ghi lại mọi người ra vào và việc họ làm.
CloudTrail đứng ở đâu trong hệ thống?
CloudTrailCloudTrail gọi tới
Một ví dụ thật, từng bước
- Sáng thứ Hai, security group của database bị ai đó mở cổng cho toàn Internet.
- Bạn mở CloudTrail event history và lọc theo sự kiện AuthorizeSecurityGroupIngress.
- CloudTrail cho thấy user nào gọi lệnh, lúc 23:14 tối Chủ nhật, từ địa chỉ IP nào, bằng công cụ gì.
- Bạn đã tạo trail cho cả tổ chức ghi log vào một bucket S3 ở tài khoản kiểm toán riêng, có kiểm tra toàn vẹn log.
- Nhờ vậy log không bị sửa hay xoá, và vẫn còn đủ để điều tra sau nhiều tháng.
Khi nào nên dùng
✓ Nên dùng khi
Kiểm toán, tuân thủ, điều tra sự cố bảo mật.
✗ Không nên dùng khi
Đo hiệu năng ứng dụng → CloudWatch.
Ví dụ hay gặp
- Kiểm toán: ai đã xoá tài nguyên, lúc nào
- Điều tra sự cố bảo mật
- Tuân thủ quy định (lưu log 1–7 năm)
CloudTrail, CloudWatch hay CloudWatch Logs?
| CloudTrail |  CloudWatch | CloudWatch Logs | |
|---|---|---|---|
| Trả lời câu hỏi | Ai đã làm gì, lúc nào, từ đâu? | Hệ thống đang chạy thế nào? | Ứng dụng ghi ra những gì? |
| Dữ liệu | Lệnh gọi API AWS | Metric, alarm | Log ứng dụng |
| Bật sẵn | Có, 90 ngày sự kiện quản lý | Có, metric cơ bản | Tuỳ dịch vụ gửi log |
| Dùng cho | Kiểm toán, bảo mật, tuân thủ | Giám sát, cảnh báo | Gỡ lỗi |
Tốn bao nhiêu tiền?
- Cách tính: Bản sao đầu tiên của management event: miễn phí. Trail bổ sung ~$2/100.000 event; data event ~$0,10/100.000; CloudTrail Lake tính theo GB.
- Miễn phí: Lịch sử event 90 ngày xem miễn phí trên console.
Bật data event cho bucket S3 hoặc Lambda có lưu lượng lớn; tạo nhiều trail trùng nhau.
Đề hỏi “ai đã xoá/sửa tài nguyên”, “lịch sử gọi API” → CloudTrail. Lưu lâu và tập trung → trail cho mọi region và cả tổ chức, gửi về S3 của tài khoản riêng. Chống sửa log → log file validation.
Thử sức với câu hỏi thi thật
1You are very concerned about security on your network because you have multiple programmers testing APIs and SDKs and you have no idea what is happening. You think CloudTrail may help but are not sure what it does. Which of the following statements best describes the AWS service CloudTrail?
- AWith AWS CloudTrail you can get a history of AWS API calls and related events for your account.
- BWith AWS CloudTrail you can get a history of IAM users for your account.
- CWith AWS CloudTrail you can get a history of S3 logfiles for your account.
- DWith AWS CloudTrail you can get a history of CloudFormation JSON scripts used for your account.
Xem đáp án
Đáp án đúng: A
CloudTrail ghi lại lịch sử các lệnh gọi API và sự kiện liên quan trong tài khoản: ai gọi, lúc nào, từ đâu.
Câu hỏi thường gặp
CloudTrail có bật sẵn không?
Có. Event history lưu 90 ngày sự kiện quản lý (thao tác tạo, sửa, xoá tài nguyên) miễn phí cho mọi tài khoản. Muốn lưu lâu hơn, ghi cả sự kiện dữ liệu hay gom về một nơi thì tạo trail ghi vào S3 hoặc dùng CloudTrail Lake.
Management event khác data event thế nào?
Management event là thao tác quản lý tài nguyên, ví dụ tạo instance hay sửa security group. Data event là thao tác trên dữ liệu với số lượng lớn, ví dụ đọc ghi object S3 hay gọi Lambda; loại này mặc định không ghi và có tính phí.
CloudTrail tính tiền thế nào?
Bản sao đầu tiên của management event trong mỗi region miễn phí. Tính phí cho data event, bản sao thêm của management event, Insights và CloudTrail Lake, cộng với tiền lưu file log trong S3.
Đề thi AWS hay hỏi gì về CloudTrail?
Tìm ai đã xoá hay sửa tài nguyên, trail cho mọi region và cho cả tổ chức, bật log file validation để chống sửa log, gửi về S3 tập trung của tài khoản riêng, và phân biệt với CloudWatch và AWS Config.