証拠ファインダーの問題のトラブルシューティング

証拠ファインダーを有効にできない一般的な理由には、次のような状況があります。

権限がありません

証拠ファインダーを初めて有効にする場合は、証拠ファインダー を有効にするために必要なアクセス許可があることを確認してください。これらのアクセス許可により、証拠ファインダーの検索クエリをサポートするために必要なイベントデータストアを CloudTrail Lake で作成および管理できます。この権限により、証拠ファインダーで検索クエリを実行することもできます。

アクセス許可に関するヘルプが必要な場合は、 AWS 管理者にお問い合わせください。 AWS 管理者の場合は、必要なアクセス許可ステートメントをコピーして、IAMポリシー にアタッチできます。

組織の管理アカウントの使用

管理アカウントを使用して証拠ファインダーを有効にすることはできませんので、ご注意ください。委任管理者アカウントとしてサインインし、再試行してください。

以前に証拠ファインダーを無効にした

現在、証拠ファインダーの再有効化には対応されません。以前に証拠ファインダーを無効にした場合は、再度有効にすることはできません。

これは、次のいずれかの理由によって発生する可能性があります。

権限がありません

証拠ファインダーを無効にする場合は、証拠ファインダー を無効にするために必要なアクセス許可があることを確認してください。これらのアクセス許可により、証拠ファインダーを無効にするために必要な Lake の CloudTrailイベントデータストアを更新および削除できます。

アクセス許可に関するヘルプが必要な場合は、 AWS 管理者にお問い合わせください。 AWS 管理者の場合は、必要なアクセス許可ステートメントをコピーして、IAMポリシー にアタッチできます。

証拠ファインダーを有効にするリクエストはまだ進行中

証拠ファインダーの有効化をリクエストすると、証拠ファインダーのクエリをサポートするイベントデータストアが作成されます。イベントデータストアの作成中は、証拠ファインダーを無効にすることはできません。

続行するには、イベントデータストアが作成されてから、もう一度試してください。詳細については、「証拠ファインダーのステータスの確認」を参照してください。

証拠ファインダーを無効にするリクエストを既に行っています

証拠ファインダーの無効化をリクエストすると、証拠ファインダーのクエリに使用されていたイベントデータストアが削除されます。イベントデータストアの削除中に証拠ファインダーを再度無効にしようとすると、エラーメッセージが表示されます。

この場合、アクションは不要です。イベントデータストアが削除されるまでお待ちください。これが完了すると、証拠ファインダーはすぐに無効になります。詳細については、「証拠ファインダーのステータスの確認」を参照してください。

検索クエリが失敗する場合は、次のいずれかの理由が考えられます。

権限がありません

ユーザーが検索クエリの実行と検索結果へのアクセスに必要な権限を持っていることを確認してください。具体的には、以下の CloudTrail アクションに対するアクセス許可が必要です。

• StartQuery

• DescribeQuery

• CancelQuery

• GetQueryResults

アクセス許可に関するヘルプが必要な場合は、 AWS 管理者にお問い合わせください。 AWS 管理者の場合は、必要なアクセス許可ステートメントをコピーして、IAMポリシー にアタッチできます。

実行しているクエリの数が最大数です。

一度に最大 5 つのクエリを実行できます。同時に実行するクエリの数が最大数に達すると、MaxConcurrentQueriesExceptionエラーになります。このエラーメッセージが表示される場合は、いくつかのクエリが終了するまでしばらくお待ちください。　その後、クエリを再実行してください。

クエリステートメントに検証エラーがあります

API または を使用して CloudTrail Lake StartQueryオペレーションCLIを実行している場合は、 が有効queryStatementであることを確認してください。クエリステートメントに検証エラー、不正な構文、サポートされていないキーワードがある場合は、InvalidQueryStatementExceptionという結果になります。

クエリの記述についての詳細は、AWS CloudTrail ユーザーガイドのクエリの作成または編集を参照してください。

有効な構文の例については、Audit Manager イベントデータストアへのクエリに使用できる次のクエリステートメントの例を参照してください。

例 1: 証拠とそのコンプライアンス状況を調査する

この例では、指定された日付範囲内で、アカウント内のすべての評価にわたってコンプライアンスステータスを持つ証拠を検索します。

SELECT eventData.evidenceId, eventData.resourceArn, eventData.resourceComplianceCheck FROM $EDS_ID WHERE eventTime > '2022-11-02 00:00:00.000' AND eventTime < '2022-11-03 00:00:00.000'

例 2: コントロールの非準拠証拠を特定する

この例では、特定の評価とコントロールについて、指定された日付範囲内のすべての非準拠証拠を検索します。

SELECT * FROM $EDS_ID WHERE eventData.assessmentId = '11aa33bb-55cc-77dd-99ee-ff22gg44hh66' AND eventTime > '2022-10-27 22:05:00.000' AND eventTime < '2022-11-03 22:05:00.000' AND eventData.resourceComplianceCheck IN ('NON_COMPLIANT','FAILED','WARNING') AND eventData.controlId IN ('aa11bb22-cc33-dd44-ee55-ff66gg77hh88')

例 3: 証拠を名前で数える

この例では、指定された日付範囲内で、評価の証拠の総数を名前でグループ化し、証拠数の順に一覧表示します。

SELECT eventData.eventName as eventName, COUNT(*) as totalEvidence FROM  $EDS_ID WHERE eventData.assessmentId = '11aa33bb-55cc-77dd-99ee-ff22gg44hh66' AND eventTime > '2022-10-27 22:05:00.000' AND eventTime < '2022-11-03 22:05:00.000' GROUP BY eventData.eventName ORDER BY totalEvidence DESC

例 4: データソースとサービスごとに証拠を調べる

この例では、特定のデータソースとサービスについて、指定された日付範囲内のすべての証拠を検索します。

SELECT * FROM $EDS_ID WHERE eventTime > '2022-10-27 22:05:00.000' AND eventTime < '2022-11-03 22:05:00.000' AND eventData.service IN ('dynamodb') AND eventData.dataSource IN ('AWS API calls')

例 5: データソースとコントロールドメインごとに準拠している証拠を調べる

この例では、証拠が AWSConfig ではないデータソースから取得される特定のコントロールドメインの準拠証拠を見つけます。

 SELECT * FROM $EDS_ID WHERE eventData.resourceComplianceCheck IN ('PASSED','COMPLIANT') AND eventData.controlDomainName IN ('Logging and monitoring','Data security and privacy') AND eventData.dataSource NOT IN ('AWS Config')

その他のAPI例外

は、他のいくつかの理由で失敗StartQueryAPIすることがあります。考えられるエラーと説明の完全なリストについては、「 リファレンス」のStartQuery 「エラー」を参照してください。 AWS CloudTrail API

証拠ファインダーが正常に有効化されました

証拠ファインダーを有効にしていない場合、検索クエリを実行して検索結果をエクスポートすることはできません。

イベントデータストアのバックフィルが完了しました

有効にした直後に証拠ファインダーを使用し、証拠バックフィルがまだ進行中の場合は、結果が表示されない可能性があります。バックフィルステータスを確認するには、「」を参照してください証拠ファインダーのステータスの確認。

検索クエリは成功しました

Audit Manager は失敗したクエリの結果をエクスポートできません。失敗したクエリに対処するには、検索クエリが失敗しましたを参照してください。