高度なイベントセレクタを使用してデータイベントをフィルタする

このセクションでは、高度なイベントセレクタを使用して、データイベントをログ記録するための詳細なセレクタを作成する方法について説明します。これにより、目的のデータイベントのみをログに記録することができるようになり、コストを管理できます。

例:

次の表は、データイベントをフィルタリングするためにサポートされているフィールドを示しています。各 CloudTrail イベントタイプでサポートされているフィールドのリストについては、「AWS CloudTrail API リファレンス」の「AdvancedEventSelector」を参照してください。

CloudTrail コンソールを使用してデータイベントのログを記録するには、証跡またはイベントデータストアを作成または更新するときに、[データイベント] オプションを選択し、目的の [リソースタイプ] を選択します。[データイベント] テーブルには、CloudTrail コンソールで選択できるリソースタイプが表示されます。

AWS CLI でデータイベントをログに記録するには、eventCategory が Data と等しくなり、resources.type の値がデータイベントをログに記録するリソースタイプの値と等しくなるように --advanced-event-selector パラメータを設定します。[データイベント] テーブルには、使用可能なリソースタイプが一覧表示されます。

例えば、すべての Cognito アイデンティティプールのデータイベントをログに記録する場合は、次のように --advanced-event-selectors パラメータを設定します。

--advanced-event-selectors '[
    {
       "Name": "Log Cognito data events on Identity pools",
       "FieldSelectors": [
         { "Field": "eventCategory", "Equals": ["Data"] },
         { "Field": "resources.type", "Equals": ["AWS::Cognito::IdentityPool"] }
       ]
     }
]'

上記の例では、すべてのアイデンティティプールの Cognito データイベントがログに記録されます。さらに高度なイベントセレクタを絞り込んで、eventName、readOnly、resources.ARN フィールドでフィルタリングし、特定の関心のあるイベントをログに記録したり、関心のないイベントを除外したりすることができます。

複数のフィールドに基づいてデータイベントをフィルタリングするように、高度なイベントセレクタを設定することができます。例えば、次の例に示すように、すべての Amazon S3 PutObject および DeleteObject API コールはログに記録して、特定の S3 バケットのイベントログは除外するように高度なイベントセレクタを設定することができます。amzn-s3-demo-bucket をバケットの名前に置き換えてください。

--advanced-event-selectors
'[
  {
    "Name": "Log PutObject and DeleteObject events for all but one bucket",
    "FieldSelectors": [
      { "Field": "eventCategory", "Equals": ["Data"] },
      { "Field": "resources.type", "Equals": ["AWS::S3::Object"] },
      { "Field": "eventName", "Equals": ["PutObject","DeleteObject"] },
      { "Field": "resources.ARN", "NotStartsWith": ["arn:aws:s3:::amzn-s3-demo-bucket/"] }
    ]
  }
]'

フィールドには複数の条件を含めることもできます。複数の条件を評価する方法については、「CloudTrail がフィールドの複数の条件を評価する方法」を参照してください。

高度なイベントセレクタを使用すれば、管理イベントとデータイベントの両方をログに記録できます。複数のリソースタイプのデータイベントのログを記録するには、データイベントのログを記録するリソースタイプごとにフィールドセレクタステートメントを追加します。

CloudTrail がフィールドの複数の条件を評価する方法

高度なイベントセレクタの場合、CloudTrail は フィールドの複数の条件を次のように評価します。

resources.ARN フィールドの複数の条件を示す例

次のイベントセレクタステートメント例では、AWS::S3::Object リソースタイプのデータイベントを収集し、resources.ARN フィールドに対して複数の条件を適用しています。

{
    "Name": "S3Select",
    "FieldSelectors": [
      {
        "Field": "eventCategory",
        "Equals": [
          "Data"
        ]
      },
      {
        "Field": "resources.type",
        "Equals": [
          "AWS::S3::Object"
        ]
      },
      {
        "Field": "resources.ARN",
        "Equals": [
          "arn:aws:s3:::amzn-s3-demo-bucket/object1"
        ],
        "StartsWith": [
          "arn:aws:s3:::amzn-s3-demo-bucket/"
        ],
        "EndsWith": [
          "object3"
        ],
        "NotStartsWith": [
          "arn:aws:s3:::amzn-s3-demo-bucket/deselect"
        ],
        "NotEndsWith": [
          "object5"
        ],
        "NotEquals": [
          "arn:aws:s3:::amzn-s3-demo-bucket/object6"
        ]
      }
    ]
  }

上記の例では、AWS::S3::Object リソースの Amazon S3 データイベントは、次の場合に配信されます。

評価ロジックに基づいて次のようになります。

AWS CLI データイベントをフィルタリングするための例

このセクションでは、さまざまなフィールドのデータイベントをフィルタリングする方法の AWS CLI 例を示します。その他の AWS CLI 例については、高度なイベントセレクタを使用して証跡のデータイベントをログに記録する および AWS CLI を使用したイベントデータストアのデータイベントのログ記録 を参照してください。

コンソールを使用してデータイベントをログに記録する方法の詳細については、「AWS マネジメントコンソール でのデータイベントのログ記録」を参照してください。

例 1: eventName フィールドでのフィルタリング

最初の例では、証跡の --advanced-event-selectors は、汎用バケットの Amazon S3 オブジェクトの GetObject、PutObject、および DeleteObject API コールのみをログに記録するように設定されています。

aws cloudtrail put-event-selectors \
--trail-name trailName \
--advanced-event-selectors '[
  {
    "Name": "Log GetObject, PutObject and DeleteObject S3 data events",
    "FieldSelectors": [
      { "Field": "eventCategory", "Equals": ["Data"] },
      { "Field": "resources.type", "Equals": ["AWS::S3::Object"] },
      { "Field": "eventName", "Equals": ["GetObject","PutObject","DeleteObject"] }
    ]
  }
]'   

次の例では、EBS Direct API のデータイベントは含めるものの、ListChangedBlocks API コールは除外してログを記録する新しいイベントデータストアを作成しています。update-event-data-store コマンドを使用して、既存のイベントデータストアを更新できます。

aws cloudtrail create-event-data-store \
--name "eventDataStoreName"
--advanced-event-selectors '[
    {
        "Name": "Log all EBS Direct API data events except ListChangedBlocks",
        "FieldSelectors": [
            { "Field": "eventCategory", "Equals": ["Data"] },
            { "Field": "resources.type", "Equals": ["AWS::EC2::Snapshot"] },
            { "Field": "eventName", "NotEquals": ["ListChangedBlocks"] }
         ]
    }
]'        

例 2: resources.ARN および userIdentity.arn フィールドでのフィルタリング

次の例は、特定の汎用 S3 バケット内のすべての Amazon S3 オブジェクトのデータイベントを含めますが、bucket-scanner-role userIdentity によって生成されたイベントを除外する方法を示しています。resources.type の S3 イベントの値フィールドは AWS::S3::Object です。S3 オブジェクトと S3 バケットの ARN 値はわずかに異なるため、resources.ARN の StartsWith 演算子を追加する必要があります。

aws cloudtrail put-event-selectors \
--trail-name trailName \
--advanced-event-selectors \
'[
    {
        "Name": "S3EventSelector",
        "FieldSelectors": [
            { "Field": "eventCategory", "Equals": ["Data"] },
            { "Field": "resources.type", "Equals": ["AWS::S3::Object"] },
            { "Field": "resources.ARN", "StartsWith": ["arn:partition:s3:::amzn-s3-demo-bucket/"] },
            { "Field": "userIdentity.arn", "NotStartsWith": ["arn:aws:sts::123456789012:assumed-role/bucket-scanner-role"]}
        ]
    }
]'

例 3: resources.type および eventName フィールドでフィルタリングして、Amazon S3 DeleteObjects イベントによって削除された個々のオブジェクトを除外する

次の例は、特定の汎用 Amazon S3 バケットのすべての Amazon S3 オブジェクトのすべてのデータイベントを含めますが、DeleteObject オペレーションによって削除された個々のオブジェクトを除外する方法を示しています。resources.type の S3 イベントの値フィールドは AWS::S3::Object です。イベント名の値は DeleteObject です。

aws cloudtrail put-event-selectors \
--trail-name trailName \
--advanced-event-selectors \

{
    "Name": "Exclude Events for DeleteObject operation",
    "FieldSelectors": [
      {
        "Field": "eventCategory",
        "Equals": [
          "Data"
        ]
      },
      {
        "Field": "resources.type",
        "Equals": [
          "AWS::S3::Object"
        ]
      },
      {
        "Field": "eventName",
        "NotEquals": [
          "DeleteObject"
        ]
      }
    ]
  },
  {
    "Name": "Exclude DeleteObject Events for individual objects deleted by DeleteObjects Operation",
    "FieldSelectors": [
      {
        "Field": "eventCategory",
        "Equals": [
          "Data"
        ]
      },
      {
        "Field": "resources.type",
        "Equals": [
          "AWS::S3::Object"
        ]
      },
      {
        "Field": "eventName",
        "Equals": [
          "DeleteObject"
        ]
      },
      {
        "Field": "eventType",
        "NotEquals": [
          "AwsServiceEvent"
        ]
      }
    ]
  }
] (edited)