CloudTrail ダイジェストファイル構造

各ダイジェストファイルには、過去 1 時間の間に Amazon S3 バケットに送られたログファイルの名前、これらのログファイルのハッシュ値、前のダイジェストファイルのデジタル署名が含まれます。現在のダイジェストファイルの署名は、ダイジェストファイルオブジェクトのメタデータプロパティに格納されます。デジタル署名とハッシュは、ログファイルおよびダイジェストファイル自体の整合性を検証するために使用されます。

ダイジェストファイルの場所

ダイジェストファイルは、次の構文で表される Amazon S3 バケットの場所に送られます。

s3://amzn-s3-demo-bucket/optional-prefix/AWSLogs/aws-account-id/CloudTrail-Digest/
    region/digest-end-year/digest-end-month/digest-end-date/
    aws-account-id_CloudTrail-Digest_region_trail-name_region_digest_end_timestamp.json.gz

s3://amzn-s3-demo-bucket/optional-prefix/AWSLogs/O-ID/aws-account-id/CloudTrail-Digest/
    region/digest-end-year/digest-end-month/digest-end-date/
    aws-account-id_CloudTrail-Digest_region_trail-name_region_digest_end_timestamp.json.gz

ダイジェストファイルの内容の例

次のダイジェストファイルの例には、 CloudTrail ログに関する情報が含まれています。

{
  "awsAccountId": "111122223333",
  "digestStartTime": "2015-08-17T14:01:31Z",
  "digestEndTime": "2015-08-17T15:01:31Z",
  "digestS3Bucket": "amzn-s3-demo-bucket",
  "digestS3Object": "AWSLogs/111122223333/CloudTrail-Digest/us-east-2/2015/08/17/111122223333_CloudTrail-Digest_us-east-2_your-trail-name_us-east-2_20150817T150131Z.json.gz",
  "digestPublicKeyFingerprint": "31e8b5433410dfb61a9dc45cc65b22ff",
  "digestSignatureAlgorithm": "SHA256withRSA",
  "newestEventTime": "2015-08-17T14:52:27Z",
  "oldestEventTime": "2015-08-17T14:42:27Z",
  "previousDigestS3Bucket": "amzn-s3-demo-bucket",
  "previousDigestS3Object": "AWSLogs/111122223333/CloudTrail-Digest/us-east-2/2015/08/17/111122223333_CloudTrail-Digest_us-east-2_your-trail-name_us-east-2_20150817T140131Z.json.gz",
  "previousDigestHashValue": "97fb791cf91ffc440d274f8190dbdd9aa09c34432aba82739df18b6d3c13df2d",
  "previousDigestHashAlgorithm": "SHA-256",
  "previousDigestSignature": "50887ccffad4c002b97caa37cc9dc626e3c680207d41d27fa5835458e066e0d3652fc4dfc30937e4d5f4cc7f796e7a258fb50a43ac427f2237f6e505d4efaf373d156e15e3b68dea9f58111d395b62628d6bd367a9024d2183b5c5f6e19466d3a996b92df705bc997b8a0e13430f241d733cf95df4e41bb6c304c3f58363043572ea57a27085639ce187e679c0d81c7519b1184fa77fb7ab0b0e40a32dace6e1eefc3995c5ae182da49b62b26398cebb52a2201a6387b75b89c83e5570bcb9bba6c34a80f2f00a1c6ebe07d1ff149eccd812dc805bb3eeff6657db32a6cb48d2d096404eb76181877bc6ebb8cd0b23f823200155b2fd8848d428e46e8456328a",
  "logFiles": [
    {
      "s3Bucket": "amzn-s3-demo-bucket",
      "s3Object": "AWSLogs/111122223333/CloudTrail/us-east-2/2015/08/17/111122223333_CloudTrail_us-east-2_20150817T1445Z_9nYN7gp2eWAJHIfT.json.gz",
      "hashValue": "9bb6196fc6b84d6f075a56548feca262bd99ba3c2de41b618e5b6e22c1fc71f6",
      "hashAlgorithm": "SHA-256",
      "newestEventTime": "2015-08-17T14:52:27Z",
      "oldestEventTime": "2015-08-17T14:42:27Z"
    }
  ]
}

ダイジェストファイルのフィールドの説明

以下では、ダイジェストファイルの各フィールドについて説明します。

開始ダイジェストファイル

ログファイルの整合性の検証が開始されると、開始ダイジェストファイルが生成されます。開始ダイジェストファイルは、ログファイルの整合性の検証が再開されるときにも生成されます (ログファイルの整合性検証をいったん無効にしてから再び有効にすることで、またはログ記録を停止してから検証を有効にしてログ記録を再び開始することで)。開始ダイジェストファイルでは、前のダイジェストファイルに関する以下のフィールドは null になります。

"空の" ダイジェストファイル

CloudTrail は、ダイジェストファイルが表す 1 時間の間にアカウントにAPIアクティビティがない場合でも、ダイジェストファイルを配信します。これは、ダイジェストファイルによって報告される 1 時間の間にログファイルが配信されなかったことをアサートする必要がある場合に役に立つことがあります。

次の例は、APIアクティビティが発生しなかった 1 時間を記録したダイジェストファイルの内容を示しています。ダイジェストファイルの内容の最後にある logFiles:[ ] フィールドが空であることに注意してください。

{
  "awsAccountId": "111122223333",
  "digestStartTime": "2015-08-20T17:01:31Z",
  "digestEndTime": "2015-08-20T18:01:31Z",
  "digestS3Bucket": "amzn-s3-demo-bucket",
  "digestS3Object": "AWSLogs/111122223333/CloudTrail-Digest/us-east-2/2015/08/20/111122223333_CloudTrail-Digest_us-east-2_example-trail-name_us-east-2_20150820T180131Z.json.gz",
  "digestPublicKeyFingerprint": "31e8b5433410dfb61a9dc45cc65b22ff",
  "digestSignatureAlgorithm": "SHA256withRSA",
  "newestEventTime": null,
  "oldestEventTime": null,
  "previousDigestS3Bucket": "amzn-s3-demo-bucket",
  "previousDigestS3Object": "AWSLogs/111122223333/CloudTrail-Digest/us-east-2/2015/08/20/111122223333_CloudTrail-Digest_us-east-2_example-trail-name_us-east-2_20150820T170131Z.json.gz",
  "previousDigestHashValue": "ed96c4bac9eaa8fe9716ca0e515da51938be651b1db31d781956416a9d05cdfa",
  "previousDigestHashAlgorithm": "SHA-256",
  "previousDigestSignature": "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",
  "logFiles": []
}

ダイジェストファイルの署名

ダイジェストファイルの署名情報は、Amazon S3 ダイジェストファイルオブジェクトの 2 つのオブジェクトメタデータプロパティにあります。各ダイジェストファイルには、次のメタデータエントリが含まれます。

ダイジェストファイルの連鎖

各ダイジェストファイルには以前のダイジェストファイルへの参照が含まれているため、 などの検証ツールがダイジェストファイルが削除されたかどうかを検出 AWS CLI できる「チェーン」が可能になります。また、指定された時間範囲内のダイジェストファイルを、新しいものから順に連続的に検査することもできます。

証跡の S3 バケットポリシーの設定が間違っていたり、予期しないサービス中断 CloudTrail が発生した場合、ダイジェストファイルの一部または全部が受信されないことがあります。証跡にダイジェスト配信エラーがあるかどうかを確認するには、 get-trail-status コマンドを実行し、 LatestDigestDeliveryErrorパラメータでエラーを確認します。配信の問題が解決されると (バケットポリシーの修正など）、 は欠落しているダイジェストファイルの再配信を試み CloudTrail ます。再配信期間中、ダイジェストファイルが順不同で配信される可能性があるため、チェーンが一時的に壊れているように見える場合があります。

ログ記録が停止するか、証跡が削除された場合、 CloudTrail は最終的なダイジェストファイルを配信します。このダイジェストファイルには、StopLogging イベントまでのイベントを対象とする残りのすべてのログファイルに関する情報が含まれている場合があります。