翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

CloudTrail の概念

このセクションでは、 に関連する基本的な概念をまとめます CloudTrail。

CloudTrail イベント

のイベント CloudTrail は、 AWS アカウントのアクティビティの記録です。このアクティビティは、 によってモニタリング可能な IAM ID またはサービスによって実行されるアクションです CloudTrail。 CloudTrail イベントは AWS Management Console、、コマンドラインツール、およびその他の AWS サービスを通じて行われたアカウント以外のAPIアクティビティAPIと AWS SDKsの両方の履歴を提供します。

CloudTrail ログファイルはパブリックAPIコールの順序付けられたスタックトレースではないため、イベントは特定の順序で表示されません。

CloudTrail は 4 種類のイベントを記録します。

すべてのイベントタイプは CloudTrail JSONログ形式を使用します。

デフォルトでは、証跡とイベントデータストアは管理イベントをログ記録しますが、データイベントまたは Insights イベントは記録しません。

と AWS のサービス の統合方法の詳細については CloudTrail、「」を参照してくださいAWS のサービストピック CloudTrail。

管理イベント

管理イベントは、 AWS アカウントのリソースに対して実行される管理オペレーションに関する情報を提供します。これらのイベントは、コントロールプレーンオペレーションとも呼ばれます。

管理イベントには、次のようなものがあります。

管理イベントには、アカウントで発生する非APIイベントを含めることもできます。例えば、ユーザーがアカウントにサインインすると、 はConsoleLoginイベントを CloudTrail ログに記録します。詳細については、「によってキャプチャされた 以外のAPIイベント CloudTrail」を参照してください。

デフォルトでは、 CloudTrail 証跡と CloudTrail Lake イベントデータはログ管理イベントを保存します。管理イベントのログ記録の詳細については、「」を参照してください管理イベントのログ記録。

データイベント

データイベントでは、リソース上またはリソース内で実行されたリソースオペレーションについての情報が得られます。これらのイベントは、データプレーンオペレーションとも呼ばれます。データイベントは、多くの場合、高ボリュームのアクティビティです。

データイベントには、次のようなものがあります。

証跡およびイベントデータストアで使用できるデータイベントタイプは、以下の表のとおりです。[データイベントタイプ (コンソール)] 列には、コンソールで有効な選択項目が表示されます。resources.type 値列には、 AWS CLI または を使用して証跡またはイベントデータストアにそのタイプのデータイベントを含めるように指定するresources.type値が表示されます CloudTrail APIs。

証跡では、基本イベントセレクタまたはアドバンストイベントセレクタを使用して、汎用バケット、Lambda 関数、DynamoDB テーブル (テーブルの最初の 3 行に表示) 内の Amazon S3 オブジェクトのデータイベントをログ記録できます。残りの行に表示されるデータイベントタイプをログに記録するには、高度イベントセレクタのみを使用できます。

イベントデータストアの場合、データイベントを含めるには、詳細イベントセレクタのみを使用できます。

証跡またはイベントデータストアの作成時、デフォルトでは、データイベントは記録されません。 CloudTrail データイベントを記録するには、アクティビティを収集する各リソースタイプを明示的に追加する必要があります。データイベントのログ記録の詳細については、「データイベントをログ記録する」を参照してください。

データイベントのログ記録には追加料金が適用されます。 CloudTrail 料金については、AWS CloudTrail 「料金」を参照してください。

ネットワークアクティビティイベント

CloudTrail ネットワークアクティビティイベントを使用すると、VPCエンドポイント所有者は、プライベートから VPCへのVPCエンドポイントを使用して行われた呼び出しを記録 AWS APIできます AWS のサービス。ネットワークアクティビティイベントは、 内で実行されるリソースオペレーションを可視化しますVPC。

次のサービスのネットワークアクティビティイベントを記録できます。

ネットワークアクティビティイベントは、証跡またはイベントデータストアを作成するときにデフォルトではログに記録されません。 CloudTrail ネットワークアクティビティイベントを記録するには、アクティビティを収集するイベントソースを明示的に設定する必要があります。詳細については、「ネットワークアクティビティイベントのログ記録」を参照してください。

ネットワークアクティビティイベントのログ記録には追加料金が適用されます。 CloudTrail 料金については、AWS CloudTrail 「 の料金」を参照してください。

Insights イベント

CloudTrail Insights イベントは、 CloudTrail 管理アクティビティを分析することで、アカウント内の異常なAPI通話レートまたはエラーレートアクティビティをキャプチャします AWS 。Insights イベントは、関連する API、エラーコード、インシデント時間、統計などの関連情報を提供し、異常なアクティビティを理解して対処するのに役立ちます。 CloudTrail 証跡またはイベントデータストアでキャプチャされた他のタイプのイベントとは異なり、Insights イベントは、アカウントの一般的なAPI使用パターンと大きく異なるアカウントの使用またはエラーレートのログ記録の変更 CloudTrail を検出した場合にのみログに記録されます。

Insights イベントを生成する可能性のあるアクティビティの例を次に示します。

これらの例は、説明のみを目的としています。結果はユースケースによって異なる場合があります。

CloudTrail Insights イベントを記録するには、新規または既存の証跡またはイベントデータストアで Insights イベントを明示的に有効にする必要があります。証跡の作成方法の詳細については、「 CloudTrail コンソールを使用した証跡の作成」を参照してください。イベントデータストアの作成方法の詳細については、「コンソールを使用して Insights イベントのイベントデータストアを作成する」を参照してください。

Insights イベントには追加料金が適用されます。証跡とイベントデータストアの両方で Insights を有効にすると、それぞれ個別に課金されます。詳細については、「AWS CloudTrail 料金」を参照してください。

イベント履歴

CloudTrail イベント履歴は、 内の過去 90 日間の CloudTrail 管理イベントの表示可能、検索可能、ダウンロード可能、およびイミュータブルなレコードを提供します AWS リージョン。この履歴を使用して、 AWS Management Console、、 AWS SDKsコマンドラインツール、およびその他の AWS サービスの AWS アカウントで実行されたアクションを可視化できます。コンソールでイベント履歴の表示をカスタマイズするには CloudTrail 、表示する列を選択します。詳細については、「 CloudTrail イベント履歴の操作」を参照してください。

追跡

証跡は、イベントを S3 バケット CloudTrail に配信できる設定で、オプションで CloudWatch Logs と Amazon EventBridgeに配信できます。証跡を使用して、配信する CloudTrail イベントを選択し、 CloudTrail イベントログファイルを AWS KMS キーで暗号化し、ログファイル配信用の Amazon SNS通知を設定できます。証跡の作成と管理の詳細については、「の証跡の作成 AWS アカウント」を参照してください。

マルチリージョンとシングルリージョンの証跡

のマルチリージョンとシングルリージョンの両方の証跡を作成できます AWS アカウント。

マルチリージョン証跡には以下の利点があります。

すべての AWS リージョンに証跡を適用すると、 は特定のリージョンで作成した証跡 CloudTrail を使用して、作業しているAWS パーティション内の他のすべてのリージョンで同じ設定の証跡を作成します。

その結果、次のことが起こります。

証跡がマルチリージョンかシングルリージョンかにかかわらず、Amazon に送信されるイベント EventBridge は、1 つのイベントバスではなく、各リージョンのイベントバス で受信されます。

1 リージョンに対する複数の証跡

デベロッパー、セキュリティ担当者、IT 監査者など、関連するユーザーグループが複数ある場合は、1 つのリージョンに対して複数の証跡を作成できます。これにより、各グループがログファイルの独自のコピーを受け取れるようになります。

CloudTrail は、リージョンごとに 5 つの証跡をサポートします。マルチリージョン証跡は、リージョンごとに 1 つの証跡としてカウントされます。

以下は、5 つの証跡があるリージョンの例です。

証跡のリストは、 CloudTrail コンソールの AWS リージョン 証跡ページで確認できます。詳細については、「 CloudTrail コンソールを使用した証跡の更新」を参照してください。 CloudTrail 料金については、AWS CloudTrail 「 の料金」を参照してください。

組織の証跡

組織証跡は、管理アカウントと AWS Organizations 組織内のすべてのメンバーアカウントの CloudTrail イベントを同じ Amazon S3 バケット、 CloudWatch ログ、および Amazon に配信できるようにする設定です EventBridge。組織の証跡を作成すると、組織のための統一されたイベントログ記録戦略を定義するのに役立ちます。

コンソールを使用して作成されたすべての組織証跡は、組織内の各メンバーアカウントで有効 AWS リージョン になっている からのイベントを記録するマルチリージョン組織証跡です。組織内のすべての AWS パーティションのイベントを記録するには、各パーティションにマルチリージョンの組織証跡を作成します。を使用して、単一リージョンまたは複数リージョンの組織証跡を作成できます AWS CLI。単一リージョンの証跡を作成する場合は、証跡 AWS リージョン の (ホームリージョンとも呼ばれる) でのみアクティビティを記録します。

ほとんどの AWS リージョン は でデフォルトで有効になっていますが AWS アカウント、特定のリージョン (オプトインリージョンとも呼ばれます) を手動で有効にする必要があります。デフォルトで有効になっているリージョンの詳細については、AWS Account Management リファレンスガイドの「リージョンを有効または無効にする前に考慮すべき事項」を参照してください。がサポートするリージョンのリストについては、 CloudTrail「」を参照してくださいCloudTrail サポートされているリージョン。

組織証跡を作成すると、指定した名前の証跡のコピーが、組織に属するメンバーアカウントで作成されます。

メンバーアカウントで CloudTrail アクセス許可を持つユーザーは、アカウントから AWS CloudTrail AWS コンソールにログインするとき、または などの AWS CLI コマンドを実行するときに、組織の証跡 (証跡 を含むARN) を表示できます describe-trails (ただし、メンバーアカウントは を使用する場合、名前ではなく、組織証跡ARNに を使用する必要があります AWS CLI）。ただし、メンバーアカウントのユーザーには、組織証跡の削除、ログのオン/オフの切り替え、ログに記録されるイベントのタイプの変更、または組織証跡の変更を行うのに十分なアクセス許可はありません。 AWS Organizationsの詳細については、「Organizations の用語と概念」を参照してください。組織の証跡を作成して作業する方法の詳細については、「組織の証跡の作成」を参照してください。

CloudTrail Lake およびイベントデータストア

CloudTrail Lake では、イベントに対してきめ細かな SQLベースのクエリを実行し、独自のアプリケーションや と統合されたパートナーなど AWS、 外のソースからイベントをログに記録します CloudTrail。 CloudTrail Lake を使用するには、アカウントに証跡を設定する必要はありません。

イベントはイベントデータストアに集約されます。イベントデータストアは、高度なイベントセレクタを適用することによって選択する条件に基いたイベントのイミュータブルなコレクションです。イベントデータをイベントデータストアに保存できる期間は、[1 年間の延長可能な保存料金] オプションを選択した場合は最大 3,653 日 (約 10 年)、[7 年間の保存料金] オプションを選択した場合は最大 2,557 日 (約 7 年間) です。将来使用するために Lake クエリを保存することができ、クエリの結果は最大 7 日間表示できます。クエリ結果を S3 バケットに保存することもできます。 CloudTrail Lake は、 の組織からのイベントをイベントデータストア AWS Organizations に保存したり、複数のリージョンやアカウントからのイベントを保存することもできます。 CloudTrail Lake は、セキュリティ調査とトラブルシューティングの実行に役立つ監査ソリューションの一部です。詳細については、「AWS CloudTrail Lake の使用」および「CloudTrail Lake の概念と用語」を参照してください。

CloudTrail インサイト

CloudTrail Insights は、 CloudTrail 管理イベントを継続的に分析することで、 AWS ユーザーが異常なボリュームのAPI呼び出しやAPI呼び出しに記録されたエラーを識別して応答するのに役立ちます。Insights イベントは、異常なレベルのwrite管理APIアクティビティ、または管理APIアクティビティで返される異常なレベルのエラーの記録です。デフォルトでは、証跡とイベントデータストアは CloudTrail Insights イベントを記録しません。コンソールでは、証跡あるいはイベントデータストアを作成または更新する際に Insights イベントがログ記録されるように選択できます。を使用すると CloudTrail API、 を使用して既存の証跡またはイベントデータストアの設定を編集することで、PutInsightSelectorsInsights イベントをログに記録することができますAPI。 CloudTrail Insights イベントのログ記録には追加料金が適用されます。証跡とイベントデータストアの両方で Insights を有効にすると、それぞれ個別に課金されます。詳細については、「Insights イベントのログ記録」と「AWS CloudTrail 料金表」を参照してください。

タグ

タグは、証 CloudTrail 跡、イベントデータストア、チャネル、 CloudTrail ログファイルの保存に使用される S3 バケット、 AWS Organizations 組織、組織単位などのリソースに割り当てる AWS ことができる、ユーザー定義のキーとオプションの値です。証跡と証跡のログファイルの保存に使用する S3 バケットに同じタグを追加することで、これらのリソースの管理、検索、フィルタリングを で簡単に行うことができますAWS Resource Groups。タグ付け戦略を実装して、リソースを一貫して効果的に、そして簡単に検索して管理できます。詳細については、「 AWS リソースのタグ付けのベストプラクティス」を参照してください。

AWS Security Token Service および CloudTrail

AWS Security Token Service （AWS STS) は、グローバルエンドポイントがあり、リージョン固有のエンドポイントもサポートするサービスです。エンドポイントは、ウェブサービスリクエストのエントリポイントURLである です。例えば、 https://cloudtrail.us-west-2.amazonaws.comは AWS CloudTrail サービスの米国西部 (オレゴン) リージョンエントリポイントです。リージョンのエンドポイントは、アプリケーションのレイテンシーを低減するのに役立ちます。

AWS STS リージョン固有のエンドポイントを使用する場合、そのリージョンの証跡は、そのリージョンで発生した AWS STS イベントのみを配信します。たとえば、エンドポイント sts.us-west-2.amazonaws.com を使用している場合、us-west-2 の証跡は、us-west-2 から発生した AWS STS イベントのみを配信します。 AWS STS リージョンエンドポイントの詳細については、 IAM ユーザーガイドのAWS 「リージョン AWS STS でのアクティブ化と非アクティブ化」を参照してください。

AWS リージョンエンドポイントの完全なリストについては、AWS 「」の「リージョンとエンドポイント」を参照してくださいAWS 全般のリファレンス。グローバル AWS STS エンドポイントからのイベントの詳細については、「グローバルサービスイベント」を参照してください。

グローバルサービスイベント

ほとんどのサービスの場合、イベントはアクションが発生したリージョンで記録されます。 AWS Identity and Access Management （IAM） AWS STS、、Amazon などのグローバルサービスの場合 CloudFront、イベントはグローバルサービスを含むすべての証跡に配信されます。

ほとんどのグローバルサービスの場合、イベントは米国東部 (バージニア北部) リージョンで発生しているものとしてログに記録されますが、一部のグローバルサービスイベントは米国東部 (オハイオ) リージョンや米国西部 (オレゴン) リージョンなどのその他のリージョンで発生しているものとしてログに記録されます。

グローバルサービスイベントを重複して受信しないようにするには、次の点に注意してください。

例: