如何创建仅传输Quicksight事件的CloudTrail Trail以减少S3日志冗余

一、通过CloudTrail数据事件筛选QuickSight操作 #

CloudTrail默认管理事件会覆盖全服务API调用，你可以通过自定义数据事件筛选精准锁定QuickSight相关操作：

• 创建或编辑CloudTrail时，在「数据事件」模块选择「自定义数据事件」
• 资源类型选择 AWS::QuickSight::*（覆盖所有QuickSight资源），也可细分指定AWS::QuickSight::Dashboard、AWS::QuickSight::User等具体类型
• 设置事件筛选规则，选择包含quicksight:前缀的所有操作，或直接列出需要跟踪的具体操作（如quicksight:CreateDashboard、quicksight:DescribeUser）
• 配置目标S3存储桶，确保存储桶权限满足CloudTrail日志写入要求

二、用事件选择器进一步缩小范围 #

如果需要更精细的控制，可在事件选择器中添加规则：

• 排除非QuickSight的API调用，过滤掉无关服务事件
• 仅包含你关注的QuickSight操作（比如仪表板访问、用户活动类操作），避免捕获冗余的内部操作

三、备选方案：通过EventBridge过滤后转发到S3 #

若CloudTrail筛选灵活性不足，可结合EventBridge实现更精准的事件过滤：

• 创建EventBridge规则，指定事件源为aws.quicksight，匹配所有QuickSight相关事件
• 配置目标为S3存储桶，或先通过Lambda清洗掉不需要的事件类型，再写入S3
• 这种方式能在日志写入S3前完成过滤，有效减少无效存储占用

四、日志生命周期优化 #

即使筛选后仍有少量冗余日志，可通过S3生命周期规则降低存储成本：

• 设置规则定期将旧日志归档到S3 Glacier，或直接删除超过指定期限的日志
• 启用S3智能分层，自动将低频访问日志移至低成本存储层

内容的提问来源于stack exchange，提问作者ben890