CloudTrail のコンセプト

このセクションでは、CloudTrail に関連する概念について簡単に説明します。

CloudTrail のイベント

CloudTrail イベントは、AWS アカウントのアクティビティのレコードです。このアクティビティは、IAM アイデンティティによるアクション、または CloudTrail が監視するサービスです。CloudTrail イベントは、AWS マネジメントコンソール、AWS SDK、コマンドラインツール、およびその他の AWS のサービスを通じて行われた API アカウントアクティビティおよび API 以外のアカウントアクティビティの両方の履歴を提供します。

CloudTrail ログファイルは、パブリック API コールの順序付けられたスタックトレースではないため、イベントは特定の順序で表示されません。

CloudTrail は 4 種類のイベントをログに記録します。

すべてのイベントタイプで、CloudTrail JSON ログ形式が使用されます。

デフォルトでは、証跡とイベントデータストアは管理イベントをログ記録しますが、データイベントまたは Insights イベントは記録しません。

CloudTrail と AWS のサービスの統合の詳細については、「AWSCloudTrail の サービストピック」を参照してください。

管理イベント

管理イベントでは、AWS アカウントのリソースで実行される管理オペレーションについての情報が得られます。これらのイベントは、コントロールプレーンオペレーションとも呼ばれます。

管理イベントには、次のようなものがあります。

管理イベントは、アカウントで発生する非 API イベントを含む場合もあります。例えば、ユーザーがアカウントにサインインすると、CloudTrail は ConsoleLogin イベントをログに記録します。詳細については、「CloudTrail によってキャプチャされる API 以外のイベント」を参照してください。

デフォルトでは、CloudTrail 証跡と CloudTrail Lake イベントデータはログ管理イベントを保存します。管理イベントのログ記録に関する詳細については、「管理イベントのログ記録」を参照してください。

データイベント

データイベントでは、リソース上またはリソース内で実行されたリソースオペレーションについての情報が得られます。これらのイベントは、データプレーンオペレーションとも呼ばれます。データイベントは、多くの場合、高ボリュームのアクティビティです。

データイベントには、次のようなものがあります。

証跡およびイベントデータストアで使用できるリソースタイプは、以下の表のとおりです。[リソースタイプ (コンソール)] 列には、コンソールで適切な選択項目が表示されます。[resources.type 値] 列には、AWS CLI または CloudTrail API の証跡またはイベントデータストアで含めるように指定するデータイベントのタイプである resources.type 値が表示されます。

証跡の場合、ベーシックまたは高度なイベントセレクタを使用して、汎用バケット、Lambda 関数、DynamoDB テーブル (表の最初の 3 行に表示) の Amazon S3 オブジェクトのデータイベントのログを記録することができます。残りの行に表示されるリソースタイプをログに記録するには、高度なイベントセレクタのみを使用できます。

イベントデータストアの場合、データイベントを含めるには、詳細イベントセレクタのみを使用できます。

AWS CloudTrail でサポートされるデータイベント

証跡またはイベントデータストアの作成時、デフォルトでは、データイベントは記録されません。CloudTrail データイベントを記録するには、アクティビティを収集する各リソースタイプを明示的に追加する必要があります。データイベントのログ記録の詳細については、「データイベントをログ記録する」を参照してください。

データイベントのログ記録には追加料金が適用されます。CloudTrail の料金については、「AWS CloudTrail 料金」を参照してください。

ネットワークアクティビティイベント

CloudTrail ネットワークアクティビティイベントにより、VPC エンドポイント所有者は、プライベート VPC から AWS のサービスへの VPC エンドポイントを使用して行われた AWS API コールを記録できます。ネットワークアクティビティイベントでは、VPC 内で実行されたリソースオペレーションについて知ることができます。

次のサービスのネットワークアクティビティイベントを記録できます。

証跡またはイベントデータストアの作成時、デフォルトでは、アクティビティイベントはログに記録されません。CloudTrail ネットワークアクティビティイベントを記録するには、アクティビティを収集するイベントソースを明示的に設定する必要があります。詳細については、「ネットワークアクティビティイベントのログ記録」を参照してください。

ネットワークアクティビティイベントのログ記録には追加料金が適用されます。CloudTrail の料金については、「AWS CloudTrail 料金」を参照してください。

Insights イベント

CloudTrail Insights イベントは、CloudTrail の管理アクティビティを分析し、AWS アカウントの異常な API コール率やエラー率のアクティビティをキャプチャします。Insights イベントは、関連する API、エラーコード、インシデント時間、統計情報などの関連情報を提供し、異常なアクティビティについて理解して対処するのに役立ちます。CloudTrail の証跡あるいはイベントデータストアでキャプチャされた他のタイプのイベントとは異なり、Insights イベントは、CloudTrail がアカウントの API 使用量またはエラー率のログ記録において通常の使用パターンとは大きく異なる変更を検出した場合にのみログ記録されます。詳細については、「CloudTrail Insights の使用」を参照してください。

Insights イベントを生成する可能性のあるアクティビティの例を次に示します。

これらの例は、説明のみを目的としています。結果はユースケースによって異なる場合があります。

CloudTrail Insights イベントをログ記録するには、新規または既存の証跡もしくはイベントデータストアにおいて、Insights イベントを明示的に有効化する必要があります。証跡の作成方法の詳細については、「CloudTrail コンソールで証跡を作成する」を参照してください。イベントデータストアの作成方法の詳細については、「コンソールで Insights イベントのイベントデータストアを作成する」を参照してください。

Insights イベントには追加料金が適用されます。証跡とイベントデータストアの両方で Insights を有効にすると、それぞれ個別に課金されます。詳細については、AWS CloudTrail の料金を参照してください。

イベント履歴

CloudTrail イベント履歴は、AWS リージョン における過去 90 日間の CloudTrail 管理 イベントの表示、検索、ダウンロード可能、および不変な記録を提供します。この履歴を使用して、AWS、AWS マネジメントコンソール SDK、コマンドラインツール、およびその他の AWS のサービスの AWS アカウントで実行されたアクションの可視性を得ることができます。CloudTrail コンソールでイベント履歴の表示をカスタマイズするには、表示する列を選択します。詳細については、「CloudTrail イベント履歴の操作」を参照してください。

追跡

証跡とは、Amazon S3 バケット、およびオプションで CloudWatch Logs および Amazon EventBridge に CloudTrail イベントを配信できるようにするための設定です。証跡を使用して、配信する CloudTrail イベントの選択、AWS KMS キーを使用した CloudTrail イベントログファイルの暗号化、ログファイル配信のための Amazon SNS 通知の設定を行うことができます。証跡の作成と管理の詳細については、「AWS アカウント の証跡の作成」を参照してください。

マルチリージョン証拠と単一リージョン証跡

AWS アカウントのマルチリージョンとシングルリージョンの両方の証跡を作成できます。

マルチリージョン証跡には以下の利点があります。

マルチリージョン証跡を作成すると、次の効果があります。

証跡がマルチリージョンかシングルリージョンかにかかわらず、Amazon EventBridge に送信されたイベントは、単一のイベントバスではなく、各リージョンのイベントバスで受信されます。

1 リージョンに対する複数の証跡

デベロッパー、セキュリティ担当者、IT 監査者など、関連するユーザーグループが複数ある場合は、1 つのリージョンに対して複数の証跡を作成できます。これにより、各グループがログファイルの独自のコピーを受け取れるようになります。

CloudTrail では、リージョンごとに 5 つの証跡がサポートされます。マルチリージョン証跡は、リージョンごとに 1 つの証跡としてカウントされます。

次に示すのは、1 つのリージョンに 5 つの証跡を使用する場合の例です。

CloudTrail コンソールの [証拠] ページに、AWS リージョンの証跡リストを表示できます。詳細については、「CloudTrail コンソールで証跡を更新する」を参照してください。CloudTrail の料金については、「AWS CloudTrail 料金」を参照してください。

組織の証跡

組織の証跡とは、AWS Organizations 組織内の管理アカウントとすべてのメンバーアカウントの CloudTrail イベントを同じ Amazon S3 バケット、CloudWatch Logs、Amazon EventBridge に配信できるようにする設定です。組織の証跡を作成すると、組織のための統一されたイベントログ記録戦略を定義するのに役立ちます。

コンソールを使用して作成されたすべての組織の証跡は、組織内の各メンバーアカウントで有効になっている AWS リージョンからのイベントをログに記録するマルチリージョンの組織証跡です。組織内のすべての AWS パーティションで、イベントのログ記録を行うには、各パーティションに対してマルチリージョンの組織証跡を作成します。AWS CLI を使用して、単一リージョンまたはマルチリージョンの組織証跡を作成できます。単一リージョンの証跡を作成する場合は、証跡の AWS リージョン (ホームリージョンとも呼ばれる) 内のアクティビティのみがログに記録されます。

ほとんどの AWS リージョンは AWS アカウントでデフォルトで有効になっていますが、一部のリージョン (オプトインリージョンとも呼ばれる) は手動で有効にする必要があります。デフォルトで有効になっているリージョンの詳細については、「AWS アカウント管理 Reference Guide」の「Considerations before enabling and disabling Regions」を参照してください。CloudTrail がサポートするリージョンのリストについては、「CloudTrail がサポートされているリージョン」を参照してください。

組織の証跡を作成すると、指定した名前の証跡のコピーが組織に属するすべてのアカウントに作成されます。

メンバーアカウントで CloudTrail アクセス許可を持つユーザーは、AWS アカウントから CloudTrail コンソールにログインするか、describe-trails などの AWS CLI コマンドを実行することで組織の証跡 (証跡 ARN を含む) を表示することができます (ただし、AWS CLI を使用する場合、メンバーアカウントは名前ではなく、組織の証拠に ARN を使用する必要があります)。ただし、メンバーアカウントのユーザーには、組織の証跡の削除、ログ記録のオン/オフの切り替え、記録するイベントの種類の変更、または組織の証跡のいずれかの変更を行うアクセス許可は付与されていません。AWS Organizations の詳細については、「Organizations の用語と概念」を参照してください。組織の証跡を作成して作業する方法の詳細については、「組織の証跡の作成」を参照してください。

CloudTrail Lake とイベントデータストア

CloudTrail Lake を使用すると、イベントに対してきめ細かい SQL ベースのクエリを実行して、独自のアプリケーションや CloudTrail と統合されているパートナーなど、AWS 外部のソースからのイベントをログに記録できます。CloudTrail Lake を使用するために、アカウントで証跡を設定しておく必要はありません。

イベントはイベントデータストアに集約されます。イベントデータストアは、高度なイベントセレクタを適用することによって選択する条件に基いたイベントのイミュータブルなコレクションです。イベントデータをイベントデータストアに保存できる期間は、[1 年間の延長可能な保存料金] オプションを選択した場合は最大 3,653 日 (約 10 年)、[7 年間の保存料金] オプションを選択した場合は最大 2,557 日 (約 7 年間) です。将来使用するために Lake クエリを保存することができ、クエリの結果は最大 7 日間表示できます。クエリ結果を S3 バケットに保存することもできます。CloudTrail Lake は、AWS Organizations 内の組織からのイベント、または複数のリージョンとアカウントからのイベントをイベントデータストアに保存することもできます。CloudTrail Lake は、セキュリティ関連の調査とトラブルシューティングを実行するために役立つ監査ソリューションの一部です。詳細については、「AWS CloudTrail Lake の使用」および「CloudTrail Lake の概念と用語」を参照してください。

CloudTrail Insights

CloudTrail Insights は、CloudTrail 管理イベントを継続的に分析することで、AWS ユーザーが異常な量の API コールまたはエラーを特定し、それに応答するのに役立ちます。Insights イベントは、異常なレベルの write 管理 API アクティビティ、または管理 API アクティビティで返された異常なレベルのエラーの記録です。証跡とイベントデータストアのデフォルトでは、CloudTrail Insights イベントはログ記録されません。コンソールでは、証跡あるいはイベントデータストアを作成または更新する際に Insights イベントがログ記録されるように選択できます。CloudTrail API を使用すると、PutInsightSelectors API で既存の証跡もしくはイベントデータストアの設定を編集することで、Insights イベントをログ記録できます。CloudTrail Insights イベントの記録には追加料金が適用されます。証跡とイベントデータストアの両方で Insights を有効にすると、それぞれ個別に課金されます。詳細については、「CloudTrail Insights の使用」と「AWS CloudTrail 料金表」を参照してください。

タグ

タグとは、CloudTrail の証跡、イベントデータストア、チャネル、CloudTrail ログファイルの保存に使用される S3 バケット、AWS Organizations 組織および組織単位など、AWS リソースに割り当てることができる、ユーザー定義のキーとオプションの値のことです。証跡と証跡のログファイルを保存するために使用する S3 バケットに同じタグを追加することで、AWS Resource Groups でこれらのリソースを管理、検索、およびフィルタリングするのが簡単になります。タグ付け戦略を実装して、リソースを一貫して効果的に、そして簡単に検索して管理できます。詳細については、「Best Practices for Tagging AWS Resources」を参照してください。

AWS Security Token Service および CloudTrail

AWS Security Token Service (AWS STS) は、グローバルエンドポイントを持つとともに、リージョン固有のエンドポイントもサポートしているサービスです。エンドポイントとは、ウェブサービスリクエストのエントリポイントとなる URL のことす。例えば、https://cloudtrail.us-west-2.amazonaws.com は、AWS CloudTrail サービスの米国西部 (オレゴン) リージョンのエントリポイントです。リージョンのエンドポイントは、アプリケーションのレイテンシーを低減するのに役立ちます。

AWS STS のリージョン固有エンドポイントを使用した場合、そのリージョンの証跡は、そのリージョンで発生した AWS STS イベントのみを配信します。たとえば、エンドポイント sts.us-west-2.amazonaws.com を使用している場合、us-west-2 の証跡は、us-west-2 から発生した AWS STS イベントのみを配信します。AWS STS のリージョンエンドポイントの詳細については、IAM ユーザーガイド の「AWS リージョンでの AWS STS のアクティブ化と非アクティブ化」を参照してください。

AWS リージョンエンドポイントの完全なリストについては、AWSの「AWS 全般のリファレンス のリージョンとエンドポイント」を参照してください。グローバル AWS STS エンドポイントからのイベントの詳細については、「グローバルサービスイベント」を参照してください。

グローバルサービスイベント

ほとんどのサービスの場合、イベントはアクションが発生したリージョンで記録されます。AWS Identity and Access Management (IAM)、AWS STS、Amazon CloudFront などのグローバルサービスの場合、イベントはグローバルサービスが含まれている証跡に配信されます。

ほとんどのグローバルサービスの場合、イベントは米国東部 (バージニア北部) リージョンで発生しているものとしてログに記録されますが、一部のグローバルサービスイベントは米国東部 (オハイオ) リージョンや米国西部 (オレゴン) リージョンなどのその他のリージョンで発生しているものとしてログに記録されます。

グローバルサービスイベントを重複して受信しないようにするには、次の点に注意してください。

例: