AWS CLI CloudTrail“查找事件”过滤器accessKeyId

Question

我只想使用特定的accessKeyId从CloudTrail读取事件。

我看到了“ aws cloudtrail lookup-events”命令，但过滤器的属性仅为：事件ID，事件名称，事件源，资源名称，资源类型，用户名

我该怎么办？

谢谢！

Answer 1

aws cloudtrail查找事件--lookup-attributes AttributeKey = AccessKeyId，AttributeValue = $ {ACCESS_KEY_ID}

从这里： https://deeb.me/20190201/list-ips-from-cloudtrail-events

Answer 2

如果您愿意使用AWS CLI下载数据：

aws s3 sync s3://path/to/CloudTrail/data/2020/05/27 .

然后，您可以使用jq进行多个单行查询，例如：

zcat *.gz | jq '.Records[] | select(.userIdentity.accessKeyId == "ACCESS_KEY_ID")

Answer 3

aws cloudtrail查找事件--lookup-attributes AttributeKey = AccessKeyId，AttributeValue = accessKeyId