Зачем нужен CloudTrail и чем он отличается от CloudWatch?

CloudTrail записывает все API вызовы к AWS: кто, что, когда, откуда. Это audit trail для compliance и security расследований. CloudWatch собирает операционные метрики и логи приложений. CloudTrail хранит события в S3, интегрируется с Athena для запросов. Management Events — операции с ресурсами, Data Events — обращения к данным S3/Lambda. CloudTrail Insights находит аномальную активность.