如何在CloudTrail中配置仅捕获单个DynamoDB表的数据事件

你看到的单表选择选项置灰，是因为当前配置页开启了记录所有当前及未来DynamoDB表数据事件的全局开关，该开关启用时单资源选择入口会被强制锁定，不支持单独选表。

有两种可行配置方式可以实现仅捕获单个指定DynamoDB表的事件：

• 直接在Trail中配置单表采集（推荐，无额外配置成本）
  1. 先取消DynamoDB数据事件配置区「记录所有表」的勾选，页面加载完成后，原本灰色的单资源选择选项就会恢复可点击状态
  2. 资源类型选择AWS::DynamoDB::Table，下拉选中你要监控的目标表，保存配置即可

  注意：如果是组织级Trail，单表选择仅支持Trail所属管理账号下的表，成员账号下的表无法在组织级Trail中直接单选，这种场景用第二种方案。

• 自定义事件选择器过滤目标表事件
  如果因为Trail类型限制不能取消全表采集的全局配置，可以先开启所有DynamoDB表的数据事件采集，再给Trail配置自定义事件筛选规则，只保留目标表的事件：
  1. 进入Trail的事件选择器配置页，选择自定义事件选择器模式
  2. 新增筛选条件，字段选resources.ARN，匹配规则设为Equals，值填入目标DynamoDB表的完整ARN，格式为arn:aws:dynamodb:<区域ID>:<账号ID>:table/<表名>（中国区资源ARN前缀为arn:aws-cn:dynamodb）
  3. 保存配置后，Trail会在采集端直接丢弃不匹配该ARN的事件，最终存储到S3、CloudWatch Logs等目标端的只有目标单表的事件，不会产生多余的事件计费。

内容的提问来源于stack exchange，提问作者Joey Yi Zhao