翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。
# AWS で外部からのイベントをログに記録する統合を作成する AWS CLI
このセクションでは、 を使用して CloudTrail Lake 統合を作成し AWS CLI 、 の外部からイベントをログに記録する方法について説明します AWS。
では AWS CLI、4 つのコマンドで統合を作成します (条件を満たすイベントデータストアが既にある場合は 3 つ）。統合の送信先として使用するイベントデータストアは、1 つのリージョンと 1 つのアカウント用である必要があります。マルチリージョンにすることはできません。また、組織のイベントをログに記録することもできず AWS Organizations、アクティビティイベントのみを含めることもできます。コンソール内のイベントタイプは、**[Events from integrations]** (統合からのイベント) にする必要があります。API 内での `eventCategory` 値は `ActivityAuditLog` にする必要があります。統合の詳細については、「[の外部でイベントソースとの統合を作成する AWS](query-event-data-store-integration.md)」を参照してください。
1. 統合に使用可能なイベントデータストアをまだ 1 つも作成していない場合は、[https://awscli.amazonaws.com/v2/documentation/api/latest/reference/cloudtrail/index.html](https://awscli.amazonaws.com/v2/documentation/api/latest/reference/cloudtrail/index.html) を実行してそれを作成します。
次の AWS CLI コマンド例では、外部からイベントをログに記録するイベントデータストアを作成します AWS。アクティビティイベントの場合、`eventCategory` フィールドのセレクタ値は `ActivityAuditLog` です。このイベントデータストアでは、保持期間は 90 日に設定されています。デフォルトでは、イベントデータストアはすべてのリージョンからイベントを収集しますが、これはイベント以外のAWS イベントを収集するため、 `--no-multi-region-enabled`オプションを追加して 1 つのリージョンに設定します。終了保護はデフォルトで有効化されます。また、このイベントデータストアでは、組織内のアカウントのためのイベント収集は行いません。
```
aws cloudtrail create-event-data-store \
--name my-event-data-store \
--no-multi-region-enabled \
--retention-period 90 \
--advanced-event-selectors '[
{
"Name": "Select all external events",
"FieldSelectors": [
{ "Field": "eventCategory", "Equals": ["ActivityAuditLog"] }
]
}
]'
```
以下に、応答の例を示します。
```
{
"EventDataStoreArn": "arn:aws:cloudtrail:us-east-1:123456789012:eventdatastore/EXAMPLEf852-4e8f-8bd1-bcf6cEXAMPLE",
"Name": "my-event-data-store",
"AdvancedEventSelectors": [
{
"Name": "Select all external events",
"FieldSelectors": [
{
"Field": "eventCategory",
"Equals": [
"ActivityAuditLog"
]
}
]
}
],
"MultiRegionEnabled": true,
"OrganizationEnabled": false,
"BillingMode": "EXTENDABLE_RETENTION_PRICING",
"RetentionPeriod": 90,
"TerminationProtectionEnabled": true,
"CreatedTimestamp": "2023-10-27T10:55:55.384000-04:00",
"UpdatedTimestamp": "2023-10-27T10:57:05.549000-04:00"
}
```
次のステップに進みチャネルの作成を行うには、イベントデータストアの ID (ARN のサフィックス、または前出の応答例にある `EXAMPLEf852-4e8f-8bd1-bcf6cEXAMPLE`) が必要になります。
1. [https://awscli.amazonaws.com/v2/documentation/api/latest/reference/cloudtrail/create-channel.html](https://awscli.amazonaws.com/v2/documentation/api/latest/reference/cloudtrail/create-channel.html) コマンドを実行してチャネルを作成し、CloudTrail のイベントデータストアに向けて、パートナーまたはソースアプリケーションがイベントを送信できるようにします。
チャネルは、以下のコンポーネントを含みます。
**ソース**
CloudTrail はこの情報を使用して、ユーザーに代わって CloudTrail にイベントデータを送信しているパートナーを特定します。ソースは必須で、AWS 以外のすべての有効なイベント用に `Custom` とするか、パートナーイベントソースの名前を使用するか、どちらかを選びます。ソースごとに最大 1 つのチャネルが許可されます。
利用可能なパートナーの `Source` 値については、「[統合パートナーに関する追加情報](query-event-data-store-integration.md#cloudtrail-lake-partner-information)」を参照してください。
**取り込みステータス**
チャネルステータスでは、チャネルソースからの最後のイベントが、いつ受信されたかを知ることができます。
**送信先**
送信先は、チャネルからイベントを受信している CloudTrail Lake イベントデータストアを示します。チャネルのための送信先イベントデータストアは、変更することが可能です。
ソースからのイベントの受信を停止するには、対象のチャネルを削除します。
このコマンドを実行するには、送信先イベントデータストアの ID が少なくとも 1 つ必要です。送信先として有効な型は `EVENT_DATA_STORE` です。取り込んだイベントは、複数のイベントデータストアに送信することができます。次のコマンドの例では、`--destinations` パラメーターの `Location` 属性内にある ID で表される、2 つのイベントデータストアに対しイベントを送信するチャネルを作成します。`--destinations`、`--name`、および `--source` パラメータが必要です。CloudTrail パートナーからイベントを取り込むには、`--source` の値としてパートナーの名前を指定します。外部で独自のアプリケーションからイベントを取り込むには AWS、 を の値`Custom`として指定します`--source`。
```
aws cloudtrail create-channel \
--region us-east-1 \
--destinations '[{"Type": "EVENT_DATA_STORE", "Location": "EXAMPLEf852-4e8f-8bd1-bcf6cEXAMPLE"}, {"Type": "EVENT_DATA_STORE", "Location": "EXAMPLEg922-5n2l-3vz1- apqw8EXAMPLE"}]'
--name my-partner-channel \
--source $partnerSourceName \
```
**create-channel** コマンドに対する応答の中から、新しいチャネルの ARN をコピーします。以降の手順で `put-resource-policy` および `put-audit-events` コマンドを実行する際には、この ARN が必要になります。
1. **put-resource-policy** コマンドを実行して、リソースポリシーをチャネルにアタッチします。リソースポリシーとは、JSON によるポリシードキュメントです。このドキュメントでは、指定したプリンシパルが対象のリソースにおいて実行できるアクションの種類と、その際の条件を指定します。チャネルのリソースポリシーでプリンシパルとして定義されているアカウントは、`PutAuditEvents` API を呼び出してイベントを配信することができます。
**注記**
チャネルのリソースポリシーを作成しない場合は、そのチャネルの所有者だけが、チャネル内で `PutAuditEvents` API を呼び出すことができます。
ポリシーに必要な情報は、統合タイプによって決まります。
+ 方向統合の場合、CloudTrail はポリシーにパートナーの AWS アカウント IDs を含める必要があり、パートナーから提供された一意の外部 ID を入力する必要があります。CloudTrail コンソールを使用して統合を作成すると、CloudTrail はパートナーの AWS アカウント IDs をリソースポリシーに自動的に追加します。ポリシーに必要な AWS アカウント番号を取得する方法については、[パートナーのドキュメント](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/query-event-data-store-integration.html#cloudtrail-lake-partner-information#lake-integration-partner-documentation)を参照してください。
+ ソリューション統合では、少なくとも 1 つの AWS アカウント ID をプリンシパルとして指定する必要があり、必要に応じて外部 ID を入力して混乱した代理を防ぐことができます。
リソースポリシーには、以下の要件があります。
+ ポリシーで定義されているリソース ARN は、ポリシーがアタッチされているチャネル ARN と一致する必要があります。
+ ポリシーには、cloudtrail-data:PutAuditEvents というアクションを 1 つだけ含めます。
+ ポリシーには、少なくとも 1 つのステートメントを含めます。ポリシーには、最大 20 個のステートメントを記述できます。
+ 各ステートメントには、少なくとも 1 つのプリンシパルを含めます。1 つのステートメントには、最大 50 個のプリンシパルを記述できます。
```
aws cloudtrail put-resource-policy \
--resource-arn "channelARN" \
--policy "{
"Version": "2012-10-17",
"Statement":
[
{
"Sid": "ChannelPolicy",
"Effect": "Allow",
"Principal":
{
"AWS":
[
"arn:aws:iam::111122223333:root",
"arn:aws:iam::444455556666:root",
"arn:aws:iam::123456789012:root"
]
},
"Action": "cloudtrail-data:PutAuditEvents",
"Resource": "arn:aws:cloudtrail:us-east-1:777788889999:channel/EXAMPLE-80b5-40a7-ae65-6e099392355b",
"Condition":
{
"StringEquals":
{
"cloudtrail:ExternalId": "UniqueExternalIDFromPartner"
}
}
}
]
}"
```
リソースポリシーの詳細については、「[AWS CloudTrail リソースベースのポリシーの例](security_iam_resource-based-policy-examples.md)」を参照してください。
1. [https://docs.aws.amazon.com/awscloudtraildata/latest/APIReference/API_PutAuditEvents.html](https://docs.aws.amazon.com/awscloudtraildata/latest/APIReference/API_PutAuditEvents.html) API を実行して、アクティビティイベントを CloudTrail に取り込みます。CloudTrail に追加させるイベントのペイロードが必要になります。CloudTrail に取り込む前の段階では、イベントペイロードに機密情報や個人を特定できる情報が含まれることはない点に注意してください。`PutAuditEvents` API では、`cloudtrail` エンドポイントではなく `cloudtrail-data` CLI エンドポイントが使用されることに注意してください。
次に、**put-audit-events** CLI コマンドの使用例を示します。**--audit-events** および **--channel-arn** パラメータが必要です。**--external-id** パラメータは、リソースポリシーで外部 ID が定義されている場合に必要です。前述のステップで作成したチャネルの ARN が必要です。**--audit-events** の値は、イベントオブジェクトで構成された JSON 形式の配列です。 `--audit-events` には、イベントからの必須 ID、`EventData` の値として必要なイベントのペイロード、CloudTrail に取り込んだ後のイベントの整合性を検証するのに役立つオプションの[チェックサム](#lake-cli-integration-checksum.title)が含まれます。
```
aws cloudtrail-data put-audit-events \
--channel-arn $ChannelArn \
--external-id $UniqueExternalIDFromPartner \
--audit-events \
id="event_ID",eventData='"{event_payload}"' \
id="event_ID",eventData='"{event_payload}"',eventDataChecksum="optional_checksum"
```
次に、2 つのイベントを処理するコマンドの例を示します。
```
aws cloudtrail-data put-audit-events \
--channel-arn arn:aws:cloudtrail:us-east-1:123456789012:channel/EXAMPLE8-0558-4f7e-a06a-43969EXAMPLE \
--external-id UniqueExternalIDFromPartner \
--audit-events \
id="EXAMPLE3-0f1f-4a85-9664-d50a3EXAMPLE",eventData='"{\"eventVersion\":\0.01\",\"eventSource\":\"custom1.domain.com\", ...
\}"' \
id="EXAMPLE7-a999-486d-b241-b33a1EXAMPLE",eventData='"{\"eventVersion\":\0.02\",\"eventSource\":\"custom2.domain.com\", ...
\}"',eventDataChecksum="EXAMPLE6e7dd61f3ead...93a691d8EXAMPLE"
```
次のコマンドの例では、イベントペイロードの JSON ファイル (`custom-events.json`) を指定するための `--cli-input-json` パラメーターを追加しています。
```
aws cloudtrail-data put-audit-events --channel-arn $channelArn --external-id $UniqueExternalIDFromPartner --cli-input-json file://custom-events.json --region us-east-1
```
次は、JSON ファイル (`custom-events.json`) の内容の例です。
```
{
"auditEvents": [
{
"eventData": "{\"version\":\"eventData.version\",\"UID\":\"UID\",
\"userIdentity\":{\"type\":\"CustomUserIdentity\",\"principalId\":\"principalId\",
\"details\":{\"key\":\"value\"}},\"eventTime\":\"2021-10-27T12:13:14Z\",\"eventName\":\"eventName\",
\"userAgent\":\"userAgent\",\"eventSource\":\"eventSource\",
\"requestParameters\":{\"key\":\"value\"},\"responseElements\":{\"key\":\"value\"},
\"additionalEventData\":{\"key\":\"value\"},
\"sourceIPAddress\":\"12.34.56.78\",\"recipientAccountId\":\"152089810396\"}",
"id": "1"
}
]
}
```
[https://awscli.amazonaws.com/v2/documentation/api/latest/reference/cloudtrail/get-channel.html](https://awscli.amazonaws.com/v2/documentation/api/latest/reference/cloudtrail/get-channel.html) コマンドを実行すると、その統合が機能していることや、CloudTrail がソースから適切にイベントを取り込んでいることを確認できます。**get-channel** の出力には、CloudTrail がイベントを受信した最近のタイムスタンプが表示されます。
```
aws cloudtrail get-channel --channel arn:aws:cloudtrail:us-east-1:01234567890:channel/EXAMPLE8-0558-4f7e-a06a-43969EXAMPLE
```
## (オプション) チェックサム値を計算する
`PutAuditEvents` リクエストで `EventDataChecksum` 値として指定したチェックサムは、その値と一致するイベントを CloudTrail が受信したことを確認でき、イベントの整合性を検証するのに役立ちます。チェックサム値は、次のコマンドを実行することで、Base64-SHA256 アルゴリズムによって計算されます。
```
printf %s "{"eventData": "{\"version\":\"eventData.version\",\"UID\":\"UID\",
\"userIdentity\":{\"type\":\"CustomUserIdentity\",\"principalId\":\"principalId\",
\"details\":{\"key\":\"value\"}},\"eventTime\":\"2021-10-27T12:13:14Z\",\"eventName\":\"eventName\",
\"userAgent\":\"userAgent\",\"eventSource\":\"eventSource\",
\"requestParameters\":{\"key\":\"value\"},\"responseElements\":{\"key\":\"value\"},
\"additionalEventData\":{\"key\":\"value\"},
\"sourceIPAddress\":\"source_IP_address\",
\"recipientAccountId\":\"recipient_account_ID\"}",
"id": "1"}" \
| openssl dgst -binary -sha256 | base64
```
このコマンドは、 チェックサムを返します。以下に例を示します。
```
EXAMPLEDHjkI8iehvCUCWTIAbNYkOgO/t0YNw+7rrQE=
```
このチェックサム値が、`PutAuditEvents` リクエストの `EventDataChecksum` 値になります。このチェックサムと受け取ったイベントのチェックサム値とが一致しない場合、CloudTrail は `InvalidChecksum` エラーによりそのイベントを拒否します。