翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

# AWS KMS キーを使用した CloudTrail ログファイル、ダイジェストファイル、イベントデータストアの暗号化 (SSE-KMS)
<a name="encrypting-cloudtrail-log-files-with-aws-kms"></a>

デフォルトでは、CloudTrail から バケットに配信されるログファイルとダイジェストファイルは、[KMS キーによるサーバー側の暗号化 (SSE-KMS)](https://docs.aws.amazon.com/AmazonS3/latest/userguide/UsingKMSEncryption.html) を使用して暗号化されます。SSE-KMS 暗号化を有効にしない場合、ログファイルとダイジェストファイルは [SSE-S3 暗号化](https://docs.aws.amazon.com/AmazonS3/latest/userguide/UsingServerSideEncryption.html)を使用して暗号化されます。

**注記**  
既存の S3 バケットと [S3 バケットキー](https://docs.aws.amazon.com/AmazonS3/latest/userguide/bucket-key.html)を使用している場合、 AWS KMS アクション `GenerateDataKey`および を使用するには、CloudTrail にキーポリシーでアクセス許可を付与する必要があります`DescribeKey`。もし `cloudtrail.amazonaws.com` にキーポリシーの許可が与えられていない場合、証跡の作成や更新は行なえません。

CloudTrail で SSE-KMS を使用するには、[AWS KMS key](https://docs.aws.amazon.com/kms/latest/developerguide/concepts.html) を作成して管理します。CloudTrail のログファイルとダイジェストファイルの暗号化と復号化に、どのユーザーがキーを使用できるかを決定するポリシーをキーにアタッチします。復号は、S3 を通じてシームレスです。キーの承認されたユーザーが CloudTrail のログファイルまたはダイジェストファイルを読み取ると、S3 は復号を管理し、許可されたユーザーは暗号化されていない形式でそのファイルを読み取ることができます。

このアプローチには以下の利点があります。
+ お客様自身で KMS キー を作成および管理できます。
+ 単一の KMS キーを使用して、すべてのリージョンの複数のアカウントのログファイルとダイジェストファイルを暗号化および復号化できます。
+ CloudTrail ログファイルとダイジェストファイルを暗号化および復号化するためにキーを使用できるユーザーを制御できます。要件に応じて、組織のユーザーにキーのアクセス権限を割り当てることができます。
+ セキュリティが強化されました。この機能では、ログファイルまたはダイジェストファイルを読み取るために、次のアクセス許可が必要です。
  + ユーザーには、ログファイルとダイジェストファイルを含むバケットに対する S3 の読み取り権限が必要です。
  + ユーザーには、KMS キーポリシーによるアクセス許可の復号化を許可するポリシーまたは役割も適用する必要があります。
+ S3 では、KMS キーの使用を許可されたユーザーからの要求に対してログファイルとダイジェストファイルが自動的に復号されるため、そのファイルの SSE-KMS 暗号化は、CloudTrail ログデータを読み取るアプリケーションとの下位互換性があります。

**注記**  
選択した KMS キーは、ログファイルとダイジェストファイルを受信する Amazon S3 バケットと同じ AWS リージョンに作成する必要があります。例えば、ログファイルとダイジェストファイルが 米国東部 (オハイオ) リージョンのバケットに保存される場合は、そのリージョンで作成された KMS キーを作成または選択する必要があります。Amazon S3 バケットのリージョンを確認するには、Amazon S3 コンソールでそのプロパティを調べます。

デフォルトでは、イベントデータストアは CloudTrail によって暗号化されます。イベントデータストアを作成または更新するときに、暗号化に独自の KMS キーを使用するオプションがあります。

## ログファイルの暗号化を有効にする
<a name="encrypting-cloudtrail-log-files-with-aws-kms-enabling"></a>

**注記**  
CloudTrail コンソールで KMS キーを作成すると、CloudTrail により必要な KMS キーポリシーセクションが追加されます。IAM コンソールまたは でキーを作成し AWS CLI 、必要なポリシーセクションを手動で追加する必要がある場合は、次の手順に従います。

CloudTrail ログファイルに対して SSE-KMS 暗号化を有効にするには、次の必要な手順を実行します。

1. KMS キーを作成します。
   + を使用して KMS キーを作成する方法については AWS マネジメントコンソール、「 *AWS Key Management Service デベロッパーガイド*」の[「キーの作成](https://docs.aws.amazon.com/kms/latest/developerguide/create-keys.html)」を参照してください。
   + を使用して KMS キーを作成する方法については AWS CLI、[「create-key](https://docs.aws.amazon.com/cli/latest/reference/kms/create-key.html)」を参照してください。
**注記**  
選択する KMS キーは、ログファイルとダイジェストファイルを受け取る S3 バケットと同じリージョンにある必要があります。S3 バケットのリージョンを確認するには、S3 コンソールでバケットのプロパティを調べます。

1. CloudTrail で暗号化を有効にし、ユーザーがログファイルとダイジェストファイルを復号化できるようにするポリシーセクションをキーに追加します。
   + ポリシーに含める内容の詳細については、「[CloudTrail の AWS KMS キーポリシーを設定する](create-kms-key-policy-for-cloudtrail.md)」を参照してください。
**警告**  
ログファイルまたはダイジェストファイルを読み取る必要があるすべてのユーザーに対して、ポリシーに復号のアクセス権限を含めるようにしてください。証跡の設定にキーを追加する前にこの手順を実行しない場合、復号のアクセス権限のないユーザーは、それらにアクセス権限を付与するまで暗号化されたファイルを読み取ることができません。
   + IAM コンソールを使用したポリシーの編集の詳細については、*AWS Key Management Service デベロッパーガイド*の「[キーポリシーの編集](https://docs.aws.amazon.com/kms/latest/developerguide/key-policies.html#key-policy-editing)」を参照してください。
   + を使用して KMS キーにポリシーをアタッチする方法については AWS CLI、[put-key-policy](https://docs.aws.amazon.com/cli/latest/reference/kms/put-key-policy.html)」を参照してください。

1. CloudTrail 用にポリシーを変更した KMS キーを使用するために証跡またはイベントデータストアを更新します。
   + CloudTrail コンソールを使用して証跡またはイベントデータストアを更新するには、「[コンソールで KMS キーを使用するようにリソースを更新する](create-kms-key-policy-for-cloudtrail-update-trail.md)」を参照してください。
   + を使用して証跡またはイベントデータストアを更新するには AWS CLI、「」を参照してください[を使用した CloudTrail ログファイル、ダイジェストファイル、イベントデータストアの暗号化の有効化と無効化 AWS CLI](cloudtrail-log-file-encryption-cli.md)。

CloudTrail は AWS KMS マルチリージョンキーもサポートしています。マルチリージョンキーの詳細については、*AWS Key Management Service デベロッパーガイド*の「[マルチリージョンキーを使用する](https://docs.aws.amazon.com/kms/latest/developerguide/multi-region-keys-overview.html)」を参照してください。

次のセクションでは、CloudTrail で使用するために KMS キーポリシーが必要とするポリシーセクションについて説明します。