翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

設定を確認して更新し、AMS Accelerate が CloudTrail 証跡を使用できるようにします。

AMS Accelerate は、アカウント内のすべてのリソースの監査とコンプライアンスを管理するために AWS CloudTrail ログ記録に依存しています。オンボーディング中に、 Accelerate がプライマリ AWS リージョンに CloudTrail 証跡をデプロイするか、既存の CloudTrail アカウントまたは Organization 証跡によって生成されたイベントを使用するかを選択します。アカウントに証跡が設定されていない場合、 Accelerate はオンボーディング中にマネージド CloudTrail 証跡をデプロイします。

Cloud Architect (CA) を使用して、CloudTrail イベント配信先の CloudTrail 証跡設定、Amazon S3 バケットポリシー、および AWS KMS キーポリシーを確認します。 Amazon S3

Accelerate が CloudTrail 証跡を使用する前に、Cloud Architect (CA) と協力して Accelerate の要件を満たすように設定を確認して更新する必要があります。Accelerate を CloudTrail Organization 証跡と統合することを選択した場合、CA はお客様と協力して CloudTrail イベント配信先の Amazon S3 バケットと AWS KMS キーポリシーを更新し、Accelerate アカウントからのクロスアカウントクエリを有効にします。Amazon S3 バケットは、 Accelerate が管理するアカウント、またはユーザーが管理するアカウントにあることができます。オンボーディング中、 Accelerate は CloudTrail Organization 証跡イベントの配信先に対してクエリを実行できることを検証し、クエリが失敗するとオンボーディングを一時停止します。CA と協力してこれらの設定を修正し、オンボーディングを再開できるようにします。

CloudTrail アカウントまたは組織の証跡設定を確認して更新する

CloudTrail アカウントまたは Organization 証跡リソースの Accelerate CloudTrail ログ管理を統合するには、次の設定が必要です。

CloudTrail イベント配信先の Amazon S3 バケットポリシーを確認して更新する

オンボーディング中、Cloud Architect (CA) と協力してAmazon S3 バケットポリシーステートメントを CloudTrail イベント配信先に追加します。ユーザーが Accelerate アカウントから CloudTrail イベント配信先 Amazon S3 バケットの変更をクエリできるようにするには、Accelerate が管理する Organization の各アカウントに統一された名前の IAM ロールをデプロイし、すべての Amazon S3 バケットポリシーステートメントaws:PrincipalArnのリストに追加します。この設定では、ユーザーは Athena を使用して Accelerate でアカウントの CloudTrail Organization 証跡イベントをクエリおよび分析できます。Amazon S3 バケットポリシーを更新する方法の詳細については、Amazon Simple Storage Service ユーザーガイドのAmazon S3コンソールを使用したバケットポリシーの追加」を参照してください。

次の 3 つの Amazon S3 バケットポリシーステートメントは、 Accelerate アカウントからイベント配信先 Amazon S3 バケット内の CloudTrail イベントを分析するための の設定を取得して AWS Athena クエリを実行するアクセスを Accelerate に付与します。

{
    "Sid": "DONOTDELETE-AMS-ALLOWBUCKETCONFIGAUDIT",
    "Effect": "Allow",
    "Principal": {
        "AWS": "*"
    },
    "Action": [
        "s3:GetBucketLogging",
        "s3:GetBucketObjectLockConfiguration",
        "s3:GetLifecycleConfiguration",
        "s3:GetEncryptionConfiguration"
    ],
    "Resource": "arn:aws:s3:::amzn-s3-demo-bucket",
    "Condition": {
        "StringEquals": {
            "aws:PrincipalOrgID": "your-organization-id"
        },
        "ArnLike": {
            "aws:PrincipalArn": [
                "arn:aws:iam::*:role/ams-access-*"
            ]
        }
    }
},
{
    "Sid": "DONOTDELETE-AMS-ALLOWLISTBUCKET",
    "Effect": "Allow",
    "Principal": {
        "AWS": "*"
    },
    "Action": "s3:ListBucket",
    "Resource": "arn:aws:s3:::amzn-s3-demo-bucket",
    "Condition": {
        "ForAnyValue:StringEquals": {
            "aws:CalledVia": "athena.amazonaws.com"
        },
        "StringLike": {
            "s3:prefix": "your-optional-s3-log-delievery-prefix/AWSLogs/*"
        },
        "StringEquals": {
            "aws:PrincipalOrgID": "your-organization-id"
        },
        "ArnLike": {
            "aws:PrincipalArn": [
                "arn:aws:iam::*:role/ams-access-*"
            ]
        }
    }
},
{
    "Sid": "DONOTDELETE-AMS-ALLOWGETOBJECT",
    "Effect": "Allow",
    "Principal": {
        "AWS": "*"
    },
    "Action": "s3:GetObject",
    "Resource": "arn:aws:s3:::amzn-s3-demo-bucket/your-optional-s3-log-delievery-prefix/AWSLogs/*",
    "Condition": {
        "ForAnyValue:StringEquals": {
            "aws:CalledVia": "athena.amazonaws.com"
        },
        "StringEquals": {
            "aws:PrincipalOrgID": "your-organization-id"
        },
        "ArnLike": {
            "aws:PrincipalArn": [
                "arn:aws:iam::*:role/ams-access-*"
            ]
        }
    }
}

CloudTrail イベント配信先の AWS KMS キーポリシーを確認して更新する

オンボーディング中、Cloud Architect (CA) と協力して、Amazon S3 バケットに配信される CloudTrail 証跡イベントの暗号化に使用される AWS KMS キーポリシーを更新します。参照 AWS KMS キーポリシーステートメントを既存の AWS KMS キーに追加してください。これにより、 Accelerate が既存の CloudTrail 証跡イベント配信先 Amazon S3 バケットと統合され、イベントが復号化されるように設定されます。ユーザーが Accelerate アカウントから CloudTrail イベント配信先 Amazon S3 バケットの変更をクエリできるようにするには、Accelerate が管理している Organization の各アカウントに統一された名前の IAM ロールをデプロイし、それを「aws:PrincipalArn」リストに追加します。この設定では、ユーザーはイベントをクエリできます。

考慮すべき AWS KMS キーポリシーの更新シナリオはさまざまです。すべてのイベントを暗号化するために CloudTrail 証跡に設定された AWS KMS キーのみがあり、Amazon S3 バケット内のオブジェクトを暗号化する AWS KMS キーがない場合があります。または、CloudTrail によって配信されるイベントを暗号化する AWS KMS キーと、Amazon S3 バケットに保存されているすべてのオブジェクトを暗号化する AWS KMS 別のキーがある場合があります。 AWS KMS キーが 2 つある場合は、各 AWS KMS キーのキーポリシーを更新して、Accelerate に CloudTrail イベントへのアクセスを許可します。ポリシーを更新する前に、参照 AWS KMS キーポリシーステートメントを既存の AWS KMS キーポリシーに修正してください。 AWS KMS キーポリシーを更新する方法の詳細については、「 AWS Key Management Service ユーザーガイド」の「キーポリシーの変更」を参照してください。

この AWS KMS キーポリシーステートメントは、Accelerate が CloudTrail イベントのクエリと分析に使用する Athena に制限されたアクセスを持つ、組織内の各アカウントから Amazon S3 バケットに配信される証跡イベントの復号化とクエリへのアクセスを高速化します。 CloudTrail

{
    "Sid": "DONOTDELETE-AMS-ALLOWTRAILOBJECTDECRYPTION",
    "Effect": "Allow",
    "Principal": {
        "AWS": "*"
    },
    "Action": [
        "kms:Decrypt",
        "kms:DescribeKey"
    ],
    "Resource": "*",
    "Condition": {
        "ForAnyValue:StringEquals": {
            "aws:CalledVia": "athena.amazonaws.com"
        },
        "StringEquals": {
            "aws:PrincipalOrgID": "YOUR-ORGANIZATION-ID"
        },
        "ArnLike": {
            "aws:PrincipalArn": [
                "arn:aws:iam::*:role/ams-access-*"
            ]
        }
    }
}