本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

CloudTrail 湖泊仪表板

您可以使用 CloudTrail Lake 控制面板查看账户中事件数据存储的事件趋势。 CloudTrail Lake 提供以下类型的仪表板：

每个仪表板由一个或多个小组件组成，每个小组件都提供SQL查询结果的图形表示。要查看小组件的查询，请选择查看并编辑查询以打开查询编辑器。

刷新仪表板后， CloudTrail Lake 会运行查询以填充仪表板的微件。由于运行查询会产生成本，因此 CloudTrail 要求您确认与运行查询相关的成本。有关 CloudTrail 定价的更多信息，请参阅CloudTrail 定价。

先决条件

以下先决条件适用于 CloudTrail Lake 仪表板：

限制

以下限制适用于 CloudTrail Lake 仪表板：

区域支持

所有支持 CloudTrail Lake AWS 区域 的地方都支持 CloudTrail Lake 仪表板。

以下区域支持 “亮点” 仪表板上的 “活动摘要” 控件：

所有支持 CloudTrail Lake AWS 区域 的地方都支持所有其他控件。

有关 CloudTrail Lake 支持区域的信息，请参阅CloudTrail Lake 支持的区域。

所需的权限

本节介绍了 CloudTrail Lake 控制面板所需的权限，并讨论了两种类型的IAM策略：

基于身份的政策要求

基于身份的策略是可以附加到身份（例如IAM用户、用户组或角色）的JSON权限策略文档。这些策略控制用户和角色可在何种条件下对哪些资源执行哪些操作。要了解如何创建基于身份的策略，请参阅IAM用户指南中的使用客户托管策略定义自定义IAM权限。

要查看和管理 CloudTrail Lake 仪表板，您需要以下策略之一：

创建仪表板所需的权限

以下示例策略提供了创建仪表板所需的最低权限。将partition、regionaccount-id、和，eds-id替换为您的配置值。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "Statement1",
            "Effect": "Allow",
            "Action": [
                "cloudtrail:CreateDashboard",
                "cloudtrail:StartDashboardRefresh",
                "cloudtrail:StartQuery"
            ],
            "Resource": [
                "arn:partition:cloudtrail:region:account-id:dashboard/*",
                "arn:partition:cloudtrail:region:account-id:eventdatastore/eds-id"
            ]
        }
    ]
}

更新仪表板所需的权限

以下示例策略提供了更新仪表板所需的最低权限。将partition、regionaccount-id、和，eds-id替换为您的配置值。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "Statement1",
            "Effect": "Allow",
            "Action": [
                "cloudtrail:UpdateDashboard",
                "cloudtrail:StartDashboardRefresh",
                "cloudtrail:StartQuery"
            ],
            "Resource": [
                "arn:partition:cloudtrail:region:account-id:dashboard/*",
                "arn:partition:cloudtrail:region:account-id:eventdatastore/eds-id"
            ]
        }
    ]
}

刷新仪表板所需的权限

以下示例策略提供了刷新仪表板所需的最低权限。将partition、region、account-iddashboard-name、和eds-id替换为您的配置值。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "Statement1",
            "Effect": "Allow",
            "Action": [
                "cloudtrail:StartDashboardRefresh",
                "cloudtrail:StartQuery"
            ],
            "Resource": [
                "arn:partition:cloudtrail:region:account-id:dashboard/dashboard-name",
                "arn:partition:cloudtrail:region:account-id:eventdatastore/eds-id"
            ]
        }
    ]
}

仪表板和事件数据存储的基于资源的策略

基于资源的JSON策略是您附加到资源的策略文档。基于资源的策略的示例包括IAM角色信任策略和 Amazon S3 存储桶策略。对于在其中附加策略的资源，策略定义指定主体可以对该资源执行哪些操作以及在什么条件下执行。您必须在基于资源的策略中指定主体。

要在手动或计划刷新期间在仪表板上运行查询，必须将基于资源的策略附加到与仪表板上的小组件关联的每个事件数据存储。这允许 CloudTrail Lake 代表您运行查询。当您创建自定义仪表板或使用 CloudTrail 控制台启用 High li ghts 仪表板时， CloudTrail 您可以选择要向哪些事件数据存储应用权限。有关基于资源的策略的更多信息，请参阅示例：允许 CloudTrail 运行查询以刷新仪表板。

要为仪表板设置刷新计划，您必须将基于资源的策略附加到仪表板，以允许 CloudTrail Lake 代表您刷新仪表板。当您为自定义仪表板设置刷新计划或使用 CloudTrail 控制台启用 High li ghts 仪表板时， CloudTrail 您可以选择将基于资源的策略附加到仪表板。有关策略示例，请参阅仪表板基于资源的策略示例。

您可以使用 CloudTrail 控制台AWS CLI、或PutResourcePolicyAPI操作附加基于资源的策略。

KMS解密事件数据存储中数据的密钥权限

如果正在查询的事件数据存储使用KMS密钥加密，请确保KMS密钥策略 CloudTrail 允许解密事件数据存储中的数据。以下示例策略语句允许 CloudTrail 服务主体解密事件数据存储。

{
      "Sid": "AllowCloudTrailDecryptAccess",
      "Effect": "Allow",
      "Principal": {
          "Service": "cloudtrail.amazonaws.com"
        },
      "Action": "kms:Decrypt",
      "Resource": "*"
}