DeleteObject的AWS S3日志？

Question

如何使用像CloudTrail或CloudWatch这样的AWS服务来检查哪个用户执行了事件DeleteObject？

我可以使用S3事件向SNS发送删除事件，通知电子邮件地址某个特定文件已从S3 bucket中删除，但消息中不包含删除该文件的用户名。

我可以使用CloudTrail将与S3 bucket相关的所有事件记录到另一个bucket，但我进行了测试，它记录了许多详细信息，只记录了事件，而没有记录删除对象。

有没有什么简单的方法来监控S3存储桶以找出哪个用户删除了哪个文件？

截至8月19日

按照Walt下面的回答，我能够记录DeleteObject事件。但是，我只能获取PutObject的文件名（Request estParameters.key），但不能获取DeleteObject的文件名。

| # | @timestamp | userIdentity.arn | eventName | requestParameters.key |
| - | ---------- | ---------------- | --------- | --------------------- |
| 1 | 2019-08-19T09:21:09.041-04:00 | arn:aws:iam::ID:user/me | DeleteObjects |
| 2 | 2019-08-19T09:18:35.704-04:00 | arn:aws:iam::ID:user/me | PutObject |test.txt |

看起来其他人也有同样的问题，AWS正在解决这个问题：https://forums.aws.amazon.com/thread.jspa?messageID=799831

Answer 1

自2021年4月12日起，CloudTrail不会记录删除对象调用的对象键或路径。

如果您使用S3控制台删除对象，它总是调用DeleteObject。

如果您想访问对象键以进行删除，您需要使用DeleteObject（减去s）删除单个文件。这可以通过AWS CLI（aws s3 rm s3：//thing-桶/单文件名）或直接API调用来完成。

Answer 2

这是我的设置。

有关在控制台中设置CloudTrail的详细说明。设置CloudTrail时，请仔细检查这两个选项。

如果对S3写日志记录进行了更改，则可能需要等待一段时间。如果你现在还没有吃过早餐、午餐、点心或晚餐，那将是一个好时机。

如果您使用的默认CloudWatch日志组与我上面的相同，那么指向CloudWatch Insight日志的链接应该适合您。

这是一个查询，将显示所有S3 DeleteObject调用。如果链接不起作用

1. 转到CloudWatch控制台

fields @timestamp, userIdentity.arn, eventName, requestParameters.bucketName, requestParameters.key
| filter eventSource == "s3.amazonaws.com"
| filter eventName == "DeleteObject"
| sort @timestamp desc
| limit 20

如果在过去30分钟内有任何CloudTrail S3 Delete对象调用，将显示最近20个事件。