setting-up-cloudtrail-multi-region

配置 CloudTrail 多区域追踪

概述

提供在 AWS 所有区域启用 CloudTrail 以完整捕获 API 活动日志的专业方案，并配置 CloudWatch Logs Insights 用于安全监控、合规审计及运维分析。

配置多区域追踪（Multi-Region Trail）

要创建包含 S3 存储、CloudWatch Logs 集成及日志分析功能的集中式多区域 CloudTrail 追踪，请严格按照以下步骤操作。
参见 CloudTrail 多区域配置指南。

故障排查

S3 Bucket 名称已被占用

更换一个全局唯一的名称，或在名称后加上时间戳、组织标识符。

权限不足错误（Permission denied）

使用 aws sts get-caller-identity 确认当前身份。确保对应的用户或角色已关联所需的操作权限。切勿直接使用 *FullAccess 类型的托管策略。

Trail 未记录日志

检查 IAM 角色权限，确认 S3 Bucket Policy 已授权 CloudTrail 访问，并确保追踪已通过 start-logging 启动。

CloudWatch 中缺失事件

首次日志交付可能需要 5-15 分钟，请耐心等待。确认 CloudWatch Logs 的角色 ARN 正确无误，且日志组与 Trail 位于同一区域。

手动开启区域（Opt-in Region）的事件未显示

属于正常现象 —— 手动开启区域的事件延迟可能长达数小时。在深入排查之前，建议最多等待 24 小时。