翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。
# コンソールを使用して CloudTrail イベント用にイベントデータストアを作成する
**注記**
AWS CloudTrail Lake は、2026 年 5 月 31 日以降、新規のお客様に公開されなくなります。CloudTrail Lake を使用する場合は、その日付より前にサインアップします。既存のお客様は、通常どおりサービスを引き続き使用できます。詳細については、「[CloudTrail Lake の可用性の変更](cloudtrail-lake-service-availability-change.md)」を参照してください。
CloudTrail イベントのイベントデータストアには、CloudTrail 管理イベント、データイベント、ネットワークアクティビティイベントを含めることができます。イベントデータをイベントデータストアに保存できる期間は、**[延長可能な 1 年間の保持料金]** オプションを選択した場合は最大 3,653 日 (約 10 年)、**[7 年間の保持料金]** オプションを選択した場合は最大 2,557 日 (約 7 年) です。
CloudTrail Lake のイベントデータストアには料金が発生します。イベントデータストアを作成する際に、イベントデータストアに使用する[料金オプション](cloudtrail-lake-manage-costs.md#cloudtrail-lake-manage-costs-pricing-option)を選択します。料金オプションによって、イベントの取り込みと保存にかかる料金、および、そのイベントデータストアのデフォルトと最長の保持期間が決まります。CloudTrail 料金の詳細については、 ユーザーガイドの「[AWS CloudTrail の料金](https://aws.amazon.com/cloudtrail/pricing/)」および「[CloudTrail Lake のコスト管理](cloudtrail-lake-manage-costs.md)」を参照してください。
## CloudTrail イベント用にイベントデータストアを作成するには
この手順を使用して、CloudTrail 管理イベント、データイベント、ネットワークアクティビティイベントをログに記録するイベントデータストアを作成します。
1. にサインイン AWS マネジメントコンソール し、[https://console.aws.amazon.com/cloudtrail/](https://console.aws.amazon.com/cloudtrail/) で CloudTrail コンソールを開きます。
1. ナビゲーションペインの **[Lake]** で、**[イベントデータストア]** を選択します。
1. **[Create event data store]** (イベントデータストアの作成) をクリックします。
1. **[Configure event data store]** (イベントデータストアの設定) ページの **[General details]** (全般的な詳細) で、イベントデータストアの名前を入力します。名前は必須です。
1. イベントデータストアで使用したい **[料金オプション]** を選択します。料金オプションによって、イベントの取り込みと保存にかかる料金、および、ご使用のイベントデータストアでのデフォルトと最長の保持期間が決まります。詳細については、「[AWS CloudTrail 料金表](https://aws.amazon.com/cloudtrail/pricing/)」と「[CloudTrail Lake のコスト管理](cloudtrail-lake-manage-costs.md)」を参照してください。
以下のオプションが利用できます。
+ **[1 年間の延長可能な保持料金]** – 1 か月あたり取り込むイベントデータが 25 TB 未満で、最大 10 年間の柔軟な保存期間を希望する場合、一般的に推奨されます。最初の 366 日間 (デフォルトの保持期間) のストレージは、取り込み料金に含まれており追加料金はありません。366 日経過後は、保存期間を従量制料金で延長してご利用いただけます。これはデフォルトのオプションです。
+ **デフォルトの保持期間:** 366 日間
+ **最長保持期間:** 3,653 日間
+ **[7 年間の保持料金]** – 1 か月あたり 25 TB を超えるイベントデータを取り込む予定で、最長 7 年間の保存期間が必要な場合に推奨されます。データの保持は取り込み料金に含まれており、追加料金は発生しません。
+ **デフォルトの保持期間:** 2,557 日間
+ **最長保持期間:** 2,557 日間
1. イベントデータストアの保存期間を日数単位で指定します。保持期間は、**1 年間の延長可能な保持料金**オプションの場合で 7 日から 3,653 日 (約 10 年)、**7 年間の保持料金**オプションでは 7 日から 2,557 日 (約 7 年) に設定できます。
CloudTrail Lake は、イベントの `eventTime` が指定した保持期間内にあるかどうかを確認し、イベントを保持するかどうかを決定します。たとえば、90 日間の保持期間を指定した場合、`eventTime` が 90 日前よりも古くなると、 CloudTrail はイベントを削除します。
**注記**
証跡イベントをこのイベントデータストアにコピーする場合、`eventTime` が指定した保存期間よりも古いと、CloudTrail はイベントをコピーしません。適切な保持期間を決定するには、コピーしたい最も古いイベントからの日数と、そのイベントをイベントデータストアに保持したい日数の合計を計算します (**保存期間** = *最も古いイベントからの日数* \$1 *保持する日数*)。例えば、コピーする最も古いイベントが 45 日前のもので、そのイベントをイベントデータストアにさらに 45 日間保持したい場合は、保持期間を 90 日間に設定します。
1. (オプション) を使用して暗号化を有効にするには AWS Key Management Service、**「独自の を使用する AWS KMS key**」を選択します。**新規** を選択して AWS KMS key を作成するか、**既存** を選択して既存の KMS キーを使用します。**[Enter KMS alias]** (KMS エイリアスを入力) で、`alias/`*MyAliasName* のフォーマットのエイリアスを指定します。独自の KMS キーを使用するには、KMS キーポリシーを編集して、イベントデータストアの暗号化と復号を許可する必要があります。詳細については、「[CloudTrail の AWS KMS キーポリシーを設定する](create-kms-key-policy-for-cloudtrail.md)」を参照してください。CloudTrail は AWS KMS マルチリージョンキーもサポートしています。マルチリージョンキーの詳細については、*AWS Key Management Service デベロッパーガイド*の「[マルチリージョンキーを使用する](https://docs.aws.amazon.com/kms/latest/developerguide/multi-region-keys-overview.html)」を参照してください。
独自の KMS キーを使用すると、暗号化と復号の AWS KMS コストが発生します。イベントデータストアを KMS キーに関連付けた後に、その KMS キーを削除または変更することはできません。
**注記**
組織のイベントデータストアの AWS Key Management Service 暗号化を有効にするには、管理アカウントに既存の KMS キーを使用する必要があります。
1. (オプション) Amazon Athena を使用してイベントデータに対しクエリを実行する場合は、**[Lake クエリフェデレーション]** で **[有効]** を選択します。フェデレーションを使用すると、 AWS Glue [データカタログ](https://docs.aws.amazon.com/glue/latest/dg/components-overview.html#data-catalog-intro)内のイベントデータストアに関連するメタデータを表示したり、Athena のイベントデータに対して SQL クエリを実行したりできます。 AWS Glue データカタログに保存されているテーブルメタデータにより、Athena クエリエンジンはクエリするデータを検索、読み取り、処理する方法を知ることができます。詳細については、「[イベントデータストアのフェデレーション](query-federation.md)」を参照してください。
Lake クエリフェデレーションを有効にするするには、**[有効]** を選択した後に、以下の操作を実行します。
1. 新しいロールを作成するか、既存の IAM ロールを使用するかを選択します。 [AWS Lake Formation](https://docs.aws.amazon.com/lake-formation/latest/dg/how-it-works.html) は、このロールを使用してフェデレーションイベントデータストアのアクセス許可を管理します。CloudTrail コンソールを使用して新しいロールを作成すると、必要なアクセス許可を付与したロールが CloudTrail により自動的に作成されます。既存のロールを選択する場合は、そのロールのポリシーが[必要最小限のアクセス許可](query-federation.md#query-federation-permissions-role)を提供していることを確認してください。
1. 新しいロールを作成する場合は、そのロールを識別する名前を指定します。
1. 既存のロールを使用している場合は、使用したいロールを選択します。ロールは、ご自身のアカウント内に存在する必要があります。
1. (オプション) イベントデータストアにリソースベースのポリシーを追加するには、**[リソースポリシーを有効化]** を選択します。リソースベースのポリシーにより、どのプリンシパルがイベントデータストアでアクションを実行できるかを制御できます。例えば、他のアカウントのルートユーザーにこのイベントデータストアへのクエリの実行やクエリ結果の表示を許可する、リソースベースのポリシーを追加できます。エンドポイントポリシーの例については、「[イベントデータストアのリソースベースのポリシーの例](security_iam_resource-based-policy-examples.md#security_iam_resource-based-policy-examples-eds)」を参照してください。
リソースベースのポリシーには 1 つ以上のステートメントが含まれます。ポリシー内の各ステートメントは、イベントデータストアへのアクセスを許可または拒否される[プリンシパル](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_principal.html)と、プリンシパルがイベントデータストアリソースに対して実行できるアクションを定義します。
イベントデータストアのリソースベースのポリシーでは、次のアクションがサポートされています。
+ `cloudtrail:StartQuery`
+ `cloudtrail:CancelQuery`
+ `cloudtrail:ListQueries`
+ `cloudtrail:DescribeQuery`
+ `cloudtrail:GetQueryResults`
+ `cloudtrail:GenerateQuery`
+ `cloudtrail:GenerateQueryResultsSummary`
+ `cloudtrail:GetEventDataStore`
[組織イベントデータストア](cloudtrail-lake-organizations.md)の場合、CloudTrail は、委任管理者アカウントが組織イベントデータストアで実行できるアクションを一覧表示する[デフォルトのリソースベースのポリシー](cloudtrail-lake-organizations.md#cloudtrail-lake-organizations-eds-rbp)を作成します。このポリシーのアクセス許可は、 AWS Organizationsの委任管理者アクセス許可から取得されます。このポリシーは、組織イベントデータストアまたは組織が変更されると自動的にアップデートされます (例えば、CloudTrail の委任管理者アカウントが登録または削除された場合)。
1. (オプション) **[Tag]** (タグ) セクションでは、イベントデータストアへのアクセスを特定、ソート、および制御できるようにするタグキーのペアを最大 50 個追加することができます。タグに基づいてイベントデータストアへのアクセスを認可するために IAM ポリシーを使用する方法の詳細については、「[例: タグに基づいたイベントデータストアを作成または削除するためのアクセスの拒否](security_iam_id-based-policy-examples.md#security_iam_id-based-policy-examples-eds-tags)」を参照してください。でタグを使用する方法の詳細については AWS、[「 AWS リソースのタグ付け](https://docs.aws.amazon.com/tag-editor/latest/userguide/tagging.html)*ユーザーガイド」の「 AWS リソースのタグ付け*」を参照してください。
1. **[次へ]** を選択して、イベントデータストアを設定します。
1. **[イベントの選択]** ページで **[AWS イベント]** を選択し、次に **[CloudTrail イベント]** を選択します。
1. **[CloudTrail events]** (CloudTrail イベント) で、少なくとも 1 つのイベントタイプを選択します。**[Management events]** (管理イベント) がデフォルトで選択されています。[管理イベント](logging-management-events-with-cloudtrail.md)、[データイベント](logging-data-events-with-cloudtrail.md)、および[ネットワークアクティビティイベント](logging-network-events-with-cloudtrail.md)をイベントデータストアに追加できます。
1. (オプション) 既存のトレイルからイベントをコピーして過去のイベントに関するクエリを実行する場合は、**[Copy trail events]** (トレイルイベントのコピー) を選択します。証跡イベントを組織のイベントデータストアにコピーするには、組織の管理アカウントを使用する必要があります。委任された管理者アカウントは、証跡イベントを組織のイベントデータストアにコピーできません。証跡イベントのコピーに関する考慮事項の詳細については、「[証跡イベントのコピーに関する留意事項](cloudtrail-copy-trail-to-lake-eds.md#cloudtrail-trail-copy-considerations-lake)」を参照してください。
1. イベントデータストアが AWS Organizations 内のすべてのアカウントからのイベントを収集するようにするには、**[Enable for all accounts in my organization]** (組織内のすべてのアカウントについて有効化) を選択します。組織に関するイベントを収集するイベントデータストアを作成するには、その組織の管理アカウントまたは委任された管理者アカウントにサインインする必要があります。
**注記**
証跡イベントをコピーしたり Insights イベントを有効にしたりするには、組織の管理アカウントにサインインする必要があります。
1. **追加設定**を展開して、イベントデータストアがすべてのイベントを収集するか AWS リージョン、現在のイベントのみを収集するかを選択し AWS リージョン、イベントデータストアがイベントを取り込むかどうかを選択します。デフォルトでは、イベントデータストアは、アカウントのすべてのリージョンからイベントを収集し、データストアの作成時にイベントの取り込みを開始します。
1. 現在のリージョンでログ記録されたイベントのみを含めるときは、**[イベントデータストアに現在のリージョンのみを含める]** を選択します。このオプションを選択しない場合、イベントデータストアにはすべてのリージョンからのイベントが含まれます。
1. イベントデータストアでイベントの取り込みを開始したくないときは、**[イベントを取り込む]** の選択を解除します。例えば、証跡イベントをコピーしており、イベントデータストアに未来のイベントを含めたくないときは、**[イベントを取り込む]** の選択を解除するとよいでしょう。デフォルトでは、イベントデータストアは作成されたときにイベントの取り込みを開始します。
1. イベントデータストアに管理イベントが含まれている場合は、次のオプションを選択できます。管理イベントの詳細については、「[管理イベントのログ記録](logging-management-events-with-cloudtrail.md)」を参照してください。
1. **[シンプルなイベント収集]** または **[高度なイベント収集]** を選択します。
+ すべてのイベントをログに記録する場合、読み取りイベントのみをログに記録する場合、または書き込みイベントのみをログに記録する場合は、**[シンプルなイベント収集]** を選択します。 AWS Key Management Service および Amazon RDS Data API イベントを除外することもできます。
+ `eventName`、`eventType`、`eventSource`、`sessionCredentialFromConsole`、`userIdentity.arn` などの高度なイベントセレクターフィールドの値に基づいて管理イベントを含めるか除外する場合は、**[高度なイベント収集]** を選択します。
1. **[シンプルなイベント収集]** を選択した場合、すべてのイベントをログに記録する、読み取りイベントのみをログに記録する、または書き込みイベントのみをログに記録するかを選択します。 AWS KMS および Amazon RDS Data API イベントを除外することもできます。
1. **[高度なイベント収集]** を選択した場合は、次の選択を行います。
1. **[ログセレクタテンプレート]** で、事前定義されたテンプレートを選択するか、**[カスタム]** を選択して、高度なイベントセレクタフィールド値に基づいてカスタム設定を構築します。
次の定義済みテンプレートから選択できます。
+ **[すべてのイベントをログに記録する]** – このテンプレートを選択すると、すべてのイベントを記録します。
+ **[読み取りイベントのみをログに記録する]** – このテンプレートを選択すると、読み取りイベントのみを記録します。読み取り専用イベントは、`Get*` または `Describe*` イベントなど、リソースの状態を変更しないイベントです。
+ **[書き込みイベントのみをログに記録する]** – このテンプレートを選択すると、書き込みイベントのみを記録します。書き込みイベントは、`Put*`、`Delete*`、または `Write*` イベントなどのリソース、属性、またはアーティファクトを追加、変更、または削除します。
+ **ログのみの AWS マネジメントコンソール イベント** – このテンプレートを選択すると、 から発生したイベントのみがログに記録されます AWS マネジメントコンソール。
+ ** AWS のサービス 開始されたイベントを除外**する – このテンプレートを選択すると、 `eventType`の を持つ AWS のサービス イベントと`AwsServiceEvent`、リンクされたロール (SLR) AWS のサービスで開始されたイベントを除外できます。 SLRs
1. (オプション) **[セレクタ名]** に、セレクタを識別する名前を入力します。セレクタ名は、 AWS マネジメントコンソール 「セッションからのログ管理イベント」など、高度なイベントセレクタのわかりやすい名前です。セレクタ名は、拡張イベントセレクタに「`Name`」と表示され、**[JSON ビュー]** を展開すると表示されます。
1. **[カスタム]** を選択した場合、**高度なイベントセレクタ**で、高度なイベントセレクタフィールド値に基づいて式を構築してください。
**注記**
セレクタは、`*` のようなワイルドカードの使用をサポートしていません。複数の値を 1 つの条件と一致させるには、`StartsWith`、`EndsWith`、`NotStartsWith`、または `NotEndsWith` を使用して、イベントフィールドの先頭または末尾を明示的に一致させることができます。
1. 次のフィールドから選択します。
+ **`readOnly`** - `readOnly` は、**[次と等しい]** として `true` または `false` の値に設定できます。`false` に設定すると、イベントデータストアは書き込み専用の管理イベントをログに記録します。読み取り専用管理イベントは、`Get*` または `Describe*` イベントなど、リソースの状態を変更しないイベントです。書き込みイベントは、`Put*`、`Delete*`、または `Write*` イベントなどのリソース、属性、またはアーティファクトを追加、変更、または削除します。**読み取り**イベントと**書き込み**イベントの両方を記録するには、`readOnly` セレクタを追加しないでください。
+ **`eventName`** - `eventName` では、任意の演算子を使用できます。これを使用して、`CreateAccessPoint` や `GetAccessPoint` などの管理イベントを含めたり除外したりします。
+ **`userIdentity.arn`** – 特定の IAM アイデンティティによって実行されたアクションのイベントを含めるか、除外します。詳細については、[CloudTrail userIdentity 要素](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/cloudtrail-event-reference-user-identity.html)を参照してください。
+ **`sessionCredentialFromConsole`** – AWS マネジメントコンソール セッションから発生するイベントを含めるか除外します。このフィールドは、`true` の値で **[次と等しい]** または **[次と等しくない]** に設定できます。
+ **`eventSource`** – これを使用して、特定のイベントソースを含めたり除外したりできます。`eventSource` は通常、スペースなしのサービス名の短縮形に `.amazonaws.com` を付けたものです。例えば、`eventSource` **[次と等しい]** を `ec2.amazonaws.com` に設定して、Amazon EC2 管理イベントのみをログに記録できます。
+ **`eventType`** – 含めるまたは除外する[イベントタイプ](cloudtrail-event-reference-record-contents.md#ct-event-type)。例えば、このフィールドを **[次と等しくない]** `AwsServiceEvent` に設定して、[AWS のサービス イベント](non-api-aws-service-events.md)を除外できます。
1. 各フィールドについて、**[条件の追加]** を選択して、必要な条件をすべて追加します。すべての条件に対して最大 500 個の指定値を設定できます。
CloudTrail が複数の条件を評価する方法については、「[CloudTrail がフィールドの複数の条件を評価する方法](filtering-data-events.md#filtering-data-events-conditions)」を参照してください。
**注記**
イベントデータストア上のすべてのセレクターに対して、最大 500 の値を設定できます。これには、`eventName` などのセレクタの複数の値の配列が含まれます。すべてのセレクタに単一の値がある場合、セレクタに最大 500 個の条件を追加できます。
1. **[フィールドの追加]** を選択し、必要に応じてフィールドを追加します。エラーを回避するには、フィールドに競合する値や重複する値を設定しないでください。
1. オプションで、**[JSON view]** (JSON ビュー) を展開して、高度なイベントセレクタを JSON ブロックとして表示します。
1. **[Insights イベントキャプチャを有効にする]** を選択して、Insights を有効にします。Insights を有効にするには、このイベントデータストア内の管理イベントアクティビティに基づいて Insights イベントを収集する[送信先イベントデータストア](query-event-data-store-insights.md#query-event-data-store-insights-procedure)を設定する必要があります。
Insights を有効にすることを選択した場合は、次の手順を実行します。
1. Insights イベントをログに記録する送信先イベントストアを選択します。送信先イベントデータストアは、このイベントデータストア内の管理イベントアクティビティに基づいて Insights イベントを収集します。送信先イベントデータストアの作成方法については、「[Insights イベントをログに記録する送信先イベントデータストアを作成するには](query-event-data-store-insights.md#query-event-data-store-insights-procedure)」を参照してください。
1. Insights タイプを選択します。**[API コールレート]**、**[API エラー率]** のいずれかまたは両方を選択できます。**[API コール率]** の Insights イベントをログに記録するには、**[Write]** 管理イベントをログ記録している必要があります。**[API エラー率]** の Insights イベントをログに記録するには、**[Read]** または **[Write]** 管理イベントをログ記録している必要があります。
1. イベントデータストアにデータイベントを含めるには、次の手順を実行します。
1. リソースタイプを選択します。これは、データイベントがログに記録される AWS のサービス および リソースです。
1. **[ログセレクタテンプレート]** で、事前定義されたテンプレートを選択するか、**[カスタム]** を選択して、高度なイベントセレクタフィールドの値に基づいて独自のイベント収集条件を定義します。
次の定義済みテンプレートから選択できます。
+ **[すべてのイベントをログに記録する]** – このテンプレートを選択すると、すべてのイベントを記録します。
+ **[読み取りイベントのみをログに記録する]** – このテンプレートを選択すると、読み取りイベントのみを記録します。読み取り専用イベントは、`Get*` または `Describe*` イベントなど、リソースの状態を変更しないイベントです。
+ **[書き込みイベントのみをログに記録する]** – このテンプレートを選択すると、書き込みイベントのみを記録します。書き込みイベントは、`Put*`、`Delete*`、または `Write*` イベントなどのリソース、属性、またはアーティファクトを追加、変更、または削除します。
+ ** AWS マネジメントコンソール イベントのみをログに記録する** – このテンプレートを選択すると、 から発生したイベントのみをログに記録します AWS マネジメントコンソール。
+ ** AWS のサービス 開始されたイベントを除外**する – このテンプレートを選択すると、 `eventType`の を持つ AWS のサービス イベントと`AwsServiceEvent`、リンクされたロール (SLR) AWS のサービスで開始されたイベントを除外できます。 SLRs
1. (オプション) **[セレクタ名]** に、セレクタを識別する名前を入力します。セレクタ名は、「2 つの S3 バケットだけのデータイベントを記録する」など、高度なイベントセレクタに関する説明的な名前です。セレクタ名は、拡張イベントセレクタに「`Name`」と表示され、**[JSON ビュー]** を展開すると表示されます。
1. **[カスタム]** を選択した場合、**[高度なイベントセレクタ]** で高度なイベントセレクタフィールドの値に基づいて式を構築します。
**注記**
セレクタは、`*` のようなワイルドカードの使用をサポートしていません。複数の値を 1 つの条件と一致させるには、`StartsWith`、`EndsWith`、`NotStartsWith`、または `NotEndsWith` を使用して、イベントフィールドの先頭または末尾を明示的に一致させることができます。
1. 次のフィールドから選択します。
+ **`readOnly`** – `readOnly` は、`true` または `false` の値と **[等しい]** になるように設定できます。読み取り専用データイベントは、`Get*` または `Describe*` イベントなどのリソースの状態を変更しないイベントです。書き込みイベントは、`Put*`、`Delete*`、または `Write*` イベントなどのリソース、属性、またはアーティファクトを追加、変更、または削除します。`read` および `write` イベントの両方を記録するには、`readOnly` セレクタを追加しないでください。
+ **`eventName`** - `eventName` は任意の演算子を使用できます。これを使用して、CloudTrail に記録されるデータイベント (`PutBucket`、`GetItem`、または `GetSnapshotBlock`) を含めるまたは除外します。
+ **`eventSource`** – 含めるまたは除外するイベントソース。このフィールドは任意の演算子を使用できます。
+ **[eventType]** – 含めるまたは除外するイベントタイプ。例えば、このフィールドを **[次と等しくない]** `AwsServiceEvent` に設定して、[AWS のサービス イベント](non-api-aws-service-events.md) を除外できます。イベントタイプのリストについては、[管理、データ、ネットワークアクティビティイベントの CloudTrail レコードコンテンツ](cloudtrail-event-reference-record-contents.md) の「[`eventType`](cloudtrail-event-reference-record-contents.md#ct-event-type)」を参照してください。
+ **sessionCredentialFromConsole** – AWS マネジメントコンソール セッションから発生するイベントを含めるか除外します。このフィールドは、`true` の値で **[次と等しい]** または **[次と等しくない]** に設定できます。
+ **[userIdentity.arn]** – 特定の IAM アイデンティティによって実行されたアクションのイベントを含めるか、除外します。詳細については、[CloudTrail userIdentity 要素](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/cloudtrail-event-reference-user-identity.html)を参照してください。
+ **`resources.ARN`** – `resources.ARN` には任意の演算子を使用することができますが、**[指定の値に等しい]** または **[指定の値に等しくない]** を使用する場合、値は、テンプレートで `resources.type` の値として指定したタイプの有効なリソースの ARN と正確に一致する必要があります。
**注記**
`resources.ARN` フィールドを使用して ARN を持たないリソースタイプをフィルタリングすることはできません。
データイベントリソースの ARN 形式の詳細については、「*サービス認可リファレンス*」の「[AWS のサービスのアクション、リソース、条件キー](https://docs.aws.amazon.com/service-authorization/latest/reference/reference_policies_actions-resources-contextkeys.html)」を参照してください。
1. 各フィールドについて、**[条件の追加]** を選択して、必要な条件をすべて追加します。すべての条件に対して最大 500 個の指定値を設定できます。例えば、イベントデータストアに記録されているデータイベントから 2 つの S3 バケットのデータイベントを除外するには、フィールドを **[resources.ARN]** に、演算子を **[指定の値で始まらない]** に設定し、イベントをログに記録しない S3 バケット ARN に貼り付けます。
2 番目の S3 バケットを追加するには、**[条件の追加]** を選択した後に上記の手順を繰り返し、ARN に貼り付けるか、別のバケットをブラウズします。
CloudTrail が複数の条件を評価する方法については、「[CloudTrail がフィールドの複数の条件を評価する方法](filtering-data-events.md#filtering-data-events-conditions)」を参照してください。
**注記**
イベントデータストア上のすべてのセレクターに対して、最大 500 の値を設定できます。これには、`eventName` などのセレクタの複数の値の配列が含まれます。すべてのセレクタに単一の値がある場合、セレクタに最大 500 個の条件を追加できます。
1. **[フィールドの追加]** を選択し、必要に応じてフィールドを追加します。エラーを回避するには、フィールドに競合する値や重複する値を設定しないでください。例えば、あるセレクタで ARN を値と等しく指定せず、次に、別のセレクタで同じ値に等しくない ARN を指定します。
1. オプションで、**[JSON view]** (JSON ビュー) を展開して、高度なイベントセレクタを JSON ブロックとして表示します。
1. データイベントをログに記録する別のリソースタイプを追加するには、[**データイベントタイプの追加**] を選択します。ステップ a からこのステップまでを繰り返し、リソースタイプの高度なセレクタを設定します。
1. イベントデータストアにネットワークアクティビティイベントを含めるには、次の手順を実行します。
1. **[ネットワークアクティビティイベントソース]** から、ネットワークアクティビティイベントのソースを選択します。
1. **[Log selector template]** (ログセレクタテンプレート) でテンプレートを選択します。すべてのネットワークアクティビティイベントをログに記録したり、すべてのネットワークアクティビティアクセス拒否イベントをログに記録したり、**[カスタム]** を選択してカスタムログセレクタを構築し、`eventName` や `vpcEndpointId` などの複数のフィールドでフィルタリングすることができます。
1. (オプション) セレクターを識別する名前を入力します。セレクタ名は、高度なイベントセレクタに**[名前]** として表示され、**[JSON ビュー]** を展開すると表示されます。
1. **[高度なイベントセレクタ]** で、**[フィールド]**、**[演算子]**、**[値]** の値を選択して式を作成します。事前定義済みのログテンプレートを使用している場合は、このステップをスキップできます。
1. ネットワークアクティビティイベントを除外するか含める場合は、コンソールの次のフィールドから選択できます。
+ **`eventName`** – `eventName` では任意の演算子を使用できます。これを使用して、`CreateKey` などの任意のイベントを含めるか除外することができます。
+ **`errorCode`** – エラーコードをフィルタリングするために使用できます。現在サポートされている `errorCode` は、`VpceAccessDenied` のみです。
+ **`vpcEndpointId`** – オペレーションが通過した VPC エンドポイントを識別します。`vpcEndpointId` では任意の演算子を使用できます。
1. 各フィールドについて、**[条件の追加]** を選択して、必要な条件をすべて追加します。すべての条件に対して最大 500 個の指定値を設定できます。
1. **[フィールドの追加]** を選択し、必要に応じてフィールドを追加します。エラーを回避するには、フィールドに競合する値や重複する値を設定しないでください。
1. ネットワークアクティビティイベントのログを記録する別のイベントソースを追加するには、**[ネットワークアクティビティイベントセレクタの追加]** を選択します。
1. オプションで、**[JSON view]** (JSON ビュー) を展開して、高度なイベントセレクタを JSON ブロックとして表示します。
1. イベントデータストアに既存の証跡イベントをコピーするには、次を実行します。
1. コピーするトレイルを選択します。デフォルトでは、CloudTrail は S3 バケットの`CloudTrail`プレフィックスとプレフィックス内の`CloudTrail`プレフィックスに含まれる CloudTrail イベントのみをコピーし、他の AWS サービスのプレフィックスはチェックしません。別のプレフィックスに含まれる CloudTrail イベントをコピーする場合は、**[Enter S3 URI]** (S3 URI を入力)、**[Browse S3]** (S3 を閲覧) の順に選択してプレフィックスを参照します。証跡のソース S3 バケットがデータ暗号化に KMS キーを使用している場合は、CloudTrail によるデータの復号を KMS キーポリシーが許可するようにしてください。ソース S3 バケットが複数の KMS キーを使用する場合、各キーのポリシーを更新して、CloudTrail によるバケット内のデータの復号を許可する必要があります。KMS キーポリシーの更新の詳細については、「[ソース S3 バケット内のデータを復号化するための KMS キーポリシー](cloudtrail-copy-trail-to-lake-eds.md#copy-trail-events-permissions-kms)」を参照してください。
1. イベントをコピーする時間範囲を選択します。CloudTrail は、証跡イベントのコピーを試みる前に、プレフィックスとログファイル名をチェックして、選択した開始日と終了日の間の日付が名前に含まれていることを確認します。**[Relative range]** (相対範囲) または**[Absolute range]** (絶対範囲) を選択することができます。ソース証跡と送信先イベントデータストア間でイベントが重複しないようにするには、イベントデータストアの作成よりも前の時間範囲を選択します。
**注記**
CloudTrail は、イベントデータストアの保持期間内の証跡イベントのうち、`eventTime` を持つもののみをコピーします。たとえば、イベントデータストアの保持期間が 90 日の場合、CloudTrail は `eventTime` が 90 日前よりも古い証跡イベントをコピーしません。
+ **[相対範囲]** を選択した場合、過去 6 か月、1 年、2 年、7 年またはカスタム範囲でログに記録されたイベントをコピーすることを選択できます。CloudTrail は、選択した期間内に記録されたイベントをコピーします。
+ **[Absolute range]** (絶対範囲) を選択した場合、特定の開始日と終了日を選択できます。CloudTrail は、選択した開始日と終了日の間に発生したイベントをコピーします。
1. **[Permissions]** (アクセス許可) については、以下の IAM ロールのオプションから選択します。既存の IAM ロールを選択する場合は、IAM ロールポリシーが必要なアクセス許可を提供していることを確認してください。IAM ロールの許可の更新の詳細については、「[証跡イベントをコピーするための IAM 許可](cloudtrail-copy-trail-to-lake-eds.md#copy-trail-events-permissions-iam)」を参照してください。
+ **[Create a new role (recommended)]** (新しいロールの作成 (推奨)) を選択して、新しい IAM ロールを作成します。**[Enter IAM role name]** (IAM ロール名を入力してください) に、ロールの名前を入力します。CloudTrail は、この新しいロールに必要なアクセス許可を自動的に作成します。
+ リストにないカスタム IAM ロールを使用するには、**[カスタム IAM ロール ARN を使用する]** を選択してください。**[Enter IAM role ARN]** (IAM ロールの ARN を入力) で、IAM ARN を入力します。
+ ドロップダウンリストから既存の IAM ロールを選択します。
1. **[次へ]** を選択し、リソースタグキーと IAM グローバル条件キーを追加して、イベントを強化します。
1. **[イベントを強化する]** で、最大 50 個のリソースタグキーと 50 個の IAM グローバル条件キーを追加して、イベントに関する追加のメタデータを提供します。これにより、関連するイベントを分類して整理できます。
リソースタグキーを追加すると、CloudTrail には API コールに関係したリソースに関連する選択したタグキーが含まれます。削除されたリソースに関連する API イベントにはリソースタグはありません。
IAM グローバル条件キーを追加すると、CloudTrail には、プリンシパル、セッション、ネットワーク、リクエスト自体に関する追加情報など、承認プロセス中に評価された選択した条件キーに関する情報が含まれます。
リソースタグキーと IAM グローバル条件キーに関する情報は、イベントの `eventContext` フィールドに表示されます。詳細については、「[リソースタグキーと IAM グローバル条件キーを追加して、CloudTrail イベントを強化する](cloudtrail-context-events.md)」を参照してください。
**注記**
イベントにイベントリージョンに属さないリソースが含まれている場合、タグの取得はイベントリージョンに制限されているため、CloudTrail はこのリソースのタグを入力しません。
1. **[イベントサイズの拡張]** を選択して、イベントペイロードを 256 KB から最大 1 MB まで拡張します。このオプションは、追加したすべてのキーがイベントに含まれるようにリソースタグキーまたは IAM グローバル条件キーを追加すると、自動的に有効になります。
イベントサイズを拡大すると、イベントペイロードが 1 MB 未満であれば、次のフィールドの完全なコンテンツを表示できるため、イベントの分析やトラブルシューティングに役立ちます。
+ `annotation`
+ `requestID`
+ `additionalEventData`
+ `serviceEventDetails`
+ `userAgent`
+ `errorCode`
+ `responseElements`
+ `requestParameters`
+ `errorMessage`
これらのフィールドの詳細については、「[CloudTrail レコードの内容](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/cloudtrail-event-reference-record-contents.html)」を参照してください。
1. **[Next]** (次へ) を選択して、選択内容を確認します。
1. **[Review and create]** (確認と作成) ページで、選択内容を確認します。セクションを変更するには、**[Edit]** (編集) をクリックします。イベントデータストアを作成する準備が整ったら、**[Create event data store]** (イベントデータストアの作成) をクリックします。
1. 新しいイベントデータストアが、**[イベントデータストア]** ページの **[イベントデータストア]** テーブルに表示されます。
これ以降、イベントデータストアは、高度なイベントセレクタに一致するイベントをキャプチャします (**[イベントを取り込む]** オプションを選択したままにしている場合)。イベントデータストアを作成する前に発生したイベントは、既存の証跡イベントをコピーすることを選択しない限り、イベントデータストアには保存されません。
これで、新しいイベントデータストアに対してクエリを実行できるようになりました。**[Sample queries]** (サンプルクエリ) タブは、使用を開始するためのサンプルクエリを提供します。クエリの作成と編集の詳細については、「[CloudTrail コンソールを使用してトレイルを編集する](query-create-edit-query.md)」を参照してください。
[マネージドダッシュボード](lake-dashboard-managed.md)を表示したり、[カスタムダッシュボードを作成](lake-dashboard-custom.md)して、イベントのトレンドを視覚化したりすることもできます。Lake ダッシュボードの詳細については、「[CloudTrail Lake ダッシュボード](lake-dashboard.md)」を参照してください。