本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

# 使用 AWS CloudTrail和AWS CloudHSM
<a name="get-api-logs-using-cloudtrail"></a>

AWS CloudHSM已與 服務整合AWS CloudTrail，此服務可提供使用者、角色或 AWS服務在其中採取之動作的記錄AWS CloudHSM。CloudTrail 會將 的所有 API 呼叫擷取AWS CloudHSM為事件。擷取的呼叫包括來自 AWS CloudHSM主控台的呼叫，以及對 AWS CloudHSMAPI 操作的程式碼呼叫。如果您建立線索，您可以將 CloudTrail 事件持續交付至 Amazon S3 儲存貯體，包括 的事件AWS CloudHSM。即使您未設定追蹤，依然可以透過 CloudTrail 主控台中的**事件歷史記錄**檢視最新事件。您可以使用 CloudTrail 所收集的資訊來判斷提出的請求AWS CloudHSM、提出請求的 IP 地址、提出請求的人員、提出請求的時間，以及其他詳細資訊。

若要進一步了解 CloudTrail，請參閱[「AWS CloudTrail 使用者指南」](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/)。如需 AWS CloudHSMAPI 操作的完整清單，請參閱 *AWS CloudHSMAPI 參考*中的[動作](https://docs.aws.amazon.com/cloudhsm/latest/APIReference/API_Operations.html)。

## AWS CloudHSMCloudTrail 中的資訊
<a name="service-name-info-in-cloudtrail"></a>

當您建立AWS帳戶時，會在您的帳戶上啟用 CloudTrail。當活動在 中發生時AWS CloudHSM，該活動會與**事件歷史記錄**中的其他服務AWS事件一起記錄在 CloudTrail 事件中。您可以檢視、搜尋和下載 AWS 帳戶的最新事件。如需詳細資訊，請參閱[使用 CloudTrail 事件歷史記錄檢視事件](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/view-cloudtrail-events.html)。

若要持續記錄您AWS帳戶中的事件，包括 的事件AWS CloudHSM，請建立追蹤。*線索*能讓 CloudTrail 將日誌檔案交付至 Amazon S3 儲存貯體。根據預設，當您在主控台建立追蹤記錄時，追蹤記錄會套用到所有 AWS 區域。線索會記錄AWS分割區中所有區域的事件，並將日誌檔案交付至您指定的 Amazon S3 儲存貯體。此外，您可以設定其他 AWS服務，以進一步分析和處理 CloudTrail 日誌中收集的事件資料。如需詳細資訊，請參閱下列內容：
+ [建立追蹤的概觀](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/cloudtrail-create-and-update-a-trail.html)
+ [CloudTrail 支援的服務和整合](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/cloudtrail-aws-service-specific-topics.html#cloudtrail-aws-service-specific-topics-integrations)
+ [設定 CloudTrail 的 Amazon SNS 通知](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/getting_notifications_top_level.html)
+ [從多個區域接收 CloudTrail 日誌檔案](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/receive-cloudtrail-log-files-from-multiple-regions.html)，以及[從多個帳戶接收 CloudTrail 日誌檔案](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/cloudtrail-receive-logs-from-multiple-accounts.html)

CloudTrail 會記錄所有AWS CloudHSM操作，包括唯讀操作，例如 `DescribeClusters`和 `ListTags`，以及管理操作，例如 `InitializeCluster`、 `CreatHsm`和 `DeleteBackup`。

每一筆事件或日誌專案都會包含產生請求者的資訊。身分資訊可協助您判斷下列事項：
+ 是否使用根或 AWS Identity and Access Management(IAM) 使用者登入資料提出請求。
+ 提出該請求時，是否使用了特定角色或聯合身分使用者的暫時安全憑證。
+ 請求是否由其他 AWS服務提出。

如需詳細資訊，請參閱 [CloudTrail userIdentity 元素](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/cloudtrail-event-reference-user-identity.html)。

## 了解AWS CloudHSM日誌檔案項目
<a name="understanding-service-name-entries"></a>

追蹤是一種組態，能讓事件以日誌檔案的形式交付到您指定的 Amazon S3 儲存貯體。CloudTrail 日誌檔案包含一或多個日誌專案。一個事件為任何來源提出的單一請求，並包含請求動作、請求的日期和時間、請求參數等資訊。CloudTrail 日誌檔並非依公有 API 呼叫的堆疊追蹤排序，因此不會以任何特定順序出現。

下列範例顯示示範 `CreateHsm`動作的AWS CloudHSM CloudTrail 日誌項目。

```
{
    "eventVersion": "1.05",
    "userIdentity": {
        "type": "AssumedRole",
        "principalId": "AROAJZVM5NEGZSTCITAMM:ExampleSession",
        "arn": "arn:aws:sts::111122223333:assumed-role/AdminRole/ExampleSession",
        "accountId": "111122223333",
        "accessKeyId": "ASIAIY22AX6VRYNBGJSA",
        "sessionContext": {
            "attributes": {
                "mfaAuthenticated": "false",
                "creationDate": "2017-07-11T03:48:44Z"
            },
            "sessionIssuer": {
                "type": "Role",
                "principalId": "AROAJZVM5NEGZSTCITAMM",
                "arn": "arn:aws:iam::111122223333:role/AdminRole",
                "accountId": "111122223333",
                "userName": "AdminRole"
            }
        }
    },
    "eventTime": "2017-07-11T03:50:45Z",
    "eventSource": "cloudhsm.amazonaws.com",
    "eventName": "CreateHsm",
    "awsRegion": "us-west-2",
    "sourceIPAddress": "205.251.233.179",
    "userAgent": "aws-internal/3",
    "requestParameters": {
        "availabilityZone": "us-west-2b",
        "clusterId": "cluster-fw7mh6mayb5"
    },
    "responseElements": {
        "hsm": {
            "eniId": "eni-65338b5a",
            "clusterId": "cluster-fw7mh6mayb5",
            "state": "CREATE_IN_PROGRESS",
            "eniIp": "10.0.2.7",
            "hsmId": "hsm-6lz2hfmnzbx",
            "subnetId": "subnet-02c28c4b",
            "availabilityZone": "us-west-2b"
        }
    },
    "requestID": "1dae0370-65ec-11e7-a770-6578d63de907",
    "eventID": "b73a5617-8508-4c3d-900d-aa8ac9b31d08",
    "eventType": "AwsApiCall",
    "recipientAccountId": "111122223333"
}
```

## AWS CloudHSMCloudTrail 中的 管理事件
<a name="cloudtrail-management-events"></a>

[管理事件](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/logging-management-events-with-cloudtrail.html#logging-management-events)提供有關在 資源上執行的管理操作的資訊AWS 帳戶。這些也稱為控制平面操作。根據預設，CloudTrail 記錄管理事件。

AWS CloudHSM會將所有控制平面操作記錄為管理事件。如需AWS CloudHSM記錄到 CloudTrail 的控制平面操作清單AWS CloudHSM，請參閱 *AWS CloudHSMAPI 參考*中的[動作](https://docs.aws.amazon.com/cloudhsm/latest/APIReference/API_Operations.html)。

## AWS CloudHSMCloudTrail 中的 服務事件
<a name="cloudtrail-service-events"></a>

AWS CloudHSM當服務自動對您的資源執行動作時， 會將服務事件記錄到 CloudTrail。這些事件可能不會直接由對公有 AWS CloudHSMAPI 的呼叫觸發。對於這些事件，`eventType` 欄位是 `AwsServiceEvent`。

以下是AWS CloudHSM記錄到 CloudTrail 的服務事件。
+ `DeleteBackup` – 當 根據您的備份保留政策AWS CloudHSM自動刪除備份時記錄。
+ `BackupDeletedPermanently` – 當 PENDING\_DELETION 備份永久清除且無法再還原時記錄。
+ `MigrationStart` – 當叢集的 HSM 類型遷移開始時記錄。
+ `MigrationEnd` – 當叢集的 HSM 類型遷移完成時記錄。
+ `RollbackStart` – 當叢集的 HSM 類型遷移復原開始時記錄。
+ `RollbackEnd` – 當叢集的 HSM 類型遷移復原完成時記錄。

您可以透過下列屬性值來識別 CloudTrail 日誌中的AWS CloudHSM服務事件：
+ `eventSource`: `cloudhsm.amazonaws.com`
+ `eventType`: `AwsServiceEvent`