CloudWatch Lake无法创建Signin类事件数据源问题求助

你要查询的signin.amazonaws.com的ConsoleLogin事件属于AWS CloudTrail的管理事件，而非你当前看到的「数据事件类型」（S3、Lambda等），所以在创建事件数据源时需要选择正确的事件类别：

• 在CloudWatch Lake创建事件数据源的步骤中，选择CloudTrail作为数据源类型
• 进入配置环节后，选择「管理事件」选项，而非「数据事件」
• 可进一步筛选事件源为signin.amazonaws.com，或直接导入所有管理事件，后续通过查询过滤

另外，你的查询语句可以修正语法（补全闭合括号），确保执行正常：

SELECT
    *
FROM
    $EDS_ID 
WHERE
    eventsource = 'signin.amazonaws.com'  
    AND eventname = 'ConsoleLogin'  
    AND Element_at(additionaleventdata, 'MFAUsed') = 'No'

完成数据源配置后，即可正常查询未启用MFA的控制台登录事件。

内容的提问来源于stack exchange，提问作者shantanuo