Quem Deletou Meu EC2? Rastreando TerminateInstances com CloudTrail
Uma instância EC2 sumiu em produção e ninguém assume a responsabilidade. Antes de escalar o incidente, o primeiro passo é consultar o CloudTrail — ele registra cada chamada de API na sua conta, incluindo exatamente quem executou o TerminateInstances e quando. TL;DR — Resumo Rápido Etapa O que fazer 1 Abrir o CloudTrail Event History no console ou usar a CLI 2 Filtrar pelo nome do evento TerminateInstances 3 Identificar o campo userIdentity no evento retornado 4 Confirmar ARN, tipo de principal e hora exata da ação Como o CloudTrail Registra Ações de EC2 O CloudTrail captura chamadas de API feitas à AWS — via console, CLI, SDK ou serviços internos. Para o EC2, cada ação de controle (criar, parar, terminar instância) gera um evento de gerenciamento ( management event ) que fica disponível no Event History por 90 dias, sem necessidade de configurar uma trail separada. O evento TerminateInstances ...