リソースタグキーと IAM グローバル条件キーを追加して、CloudTrail イベントを強化する

イベントデータストアを作成または更新するときにリソースタグキー、プリンシパルタグキー、および IAM グローバル条件キーを追加することで、CloudTrail 管理イベントとデータイベントを強化できます。これにより、コスト配分、財務管理、運用、データセキュリティ要件など、ビジネスコンテキストに基づいて CloudTrail イベントを分類、検索、分析できます。CloudTrail Lake でクエリを実行することで、イベントを分析できます。イベントデータストアをフェデレーションし、Amazon Athena でクエリを実行することを選択することもできます。CloudTrail コンソール、AWS CLI、および SDK を使用して、リソースタグキーと IAM グローバル条件キーをイベントデータストアに追加できます。

リソースタグキーを強化イベントに追加すると、CloudTrail イベントには API コールに関係したリソースに関連付けられた選択したタグキーが含まれます。

IAM グローバル条件キーをイベントデータストアに追加すると、CloudTrail には、プリンシパル、セッション、およびリクエスト自体に関する追加情報など、承認プロセス中に評価された選択した条件キーに関する情報が含まれます。

リソースタグキーまたは IAM 条件キーを追加すると、CloudTrail は API アクション用に選択されたコンテキスト情報を提供する eventContext フィールドを CloudTrail イベントに含めます。

イベントに eventContext フィールドが含まれない場合のいくつかの例外は、以下の通りです。

AWS のサービス リソースタグのサポート

すべての はリソースタグ AWS のサービス をサポートします。詳細については、「AWS Resource Groups Tagging APIをサポートするサービス」を参照してください。

強化イベントの CloudTrail でのリソースタグの更新

それを行うように設定すると、CloudTrail はリソースタグに関する情報をキャプチャし、それらを使用して強化イベントで情報を提供します。リソースタグを使用する場合、イベントに対するシステムリクエスト時にリソースタグが正確に反映されない特定の条件があります。標準オペレーション中、リソース作成時に適用されるタグは常に存在し、遅延は最小限またはまったく発生しません。ただし、以下のサービスでは、CloudTrail イベントに表示されるリソースタグの変更に遅延が生じることが予想されます。

サービス停止により、リソースタグ情報の更新が遅延する可能性もあります。サービス停止の遅延が発生した場合、後続の CloudTrail イベントには、リソースタグの変更に関する情報を含む addendum フィールドが含まれます。この追加情報は、指定されたとおりに使用され、強化された CloudTrail イベントを提供します。

AWS のサービス IAM グローバル条件キーのサポート

次の は、強化イベントの IAM グローバル条件キー AWS のサービス をサポートしています。

強化イベント用のサポートされている IAM グローバル条件キー

次の表に、CloudTrail 強化イベントでサポートされている IAM グローバル条件キーと、値の例を一覧表示します。

イベント例

次の例では、eventContext フィールドには、API コールが AWS のサービスによって行われなかったことを示す、false の値を持つ IAM グローバル条件キー aws:ViaAWSService が含まれています。

{
    "eventVersion": "1.11",
    "userIdentity": {
        "type": "AssumedRole",
        "principalId": "ASIAIOSFODNN7EXAMPLE",
        "arn": "arn:aws:sts::123456789012:assumed-role/admin",
        "accountId": "123456789012",
        "accessKeyId": "ASIAIOSFODNN7EXAMPLE",
        "sessionContext": {
            "sessionIssuer": {
                "type": "Role",
                "principalId": "ASIAIOSFODNN7EXAMPLE",
                "arn": "arn:aws:iam::123456789012:role/admin",
                "accountId": "123456789012",
                "userName": "admin"
            },
            "attributes": {
                "creationDate": "2025-01-22T22:05:56Z",
                "mfaAuthenticated": "false"
            }
        }
    },
    "eventTime": "2025-01-22T22:06:16Z",
    "eventSource": "cloudtrail.amazonaws.com",
    "eventName": "GetTrailStatus",
    "awsRegion": "us-east-1",
    "sourceIPAddress": "192.168.0.0",
    "userAgent": "Mozilla/5.0 (Macintosh; Intel Mac OS X 10.15; rv:133.0) Gecko/20100101 Firefox/133.0",
    "requestParameters": {
        "name": "arn:aws:cloudtrail:us-east-1:123456789012:trail/myTrail"
    },
    "responseElements": null,
    "requestID": "d09c4dd2-5698-412b-be7a-example1a23",
    "eventID": "9cb5f426-7806-46e5-9729-exampled135d",
    "readOnly": true,
    "eventType": "AwsApiCall",
    "managementEvent": true,
    "recipientAccountId": "123456789012",
    "eventCategory": "Management",
    "tlsDetails": {
        "tlsVersion": "TLSv1.3",
        "cipherSuite": "TLS_AES_128_GCM_SHA256",
        "clientProvidedHostHeader": "cloudtrail.us-east-1.amazonaws.com"
    },
    "sessionCredentialFromConsole": "true",
    "eventContext": {
        "requestContext": {
            "aws:ViaAWSService": "false"
        },
        "tagContext": {}
    }
}