組織の証跡に関する問題のトラブルシューティング

CloudTrail コンソールで、証跡の詳細ページを確認します。S3 バケットに問題がある場合は、詳細ページに S3 バケットへの配信が失敗したことを示す警告が表示されます。

から AWS CLI、 get-trail-status コマンド。障害が発生した場合、コマンド出力には LatestDeliveryErrorフィールドが含まれます。このフィールドには、指定されたバケットにログファイルを配信しようとしたときに発生した Amazon S3 エラー CloudTrail が表示されます。このエラーは、送信先 S3 バケットに問題がある場合にのみ発生し、タイムアウトしたリクエストでは発生しません。この問題を解決するには、 がバケットに CloudTrail 書き込めるようにバケットポリシーを修正するか、新しいバケットを作成してから、 update-trail を呼び出して新しいバケットを指定します。組織バケットポリシーの詳細については、「Create or update an Amazon S3 bucket to use to store the log files for an organization trail」を参照してください。

CloudTrail コンソールで、証跡の詳細ページを確認します。 CloudWatch ログに問題がある場合、詳細ページには CloudWatch ログの配信が失敗したことを示す警告が表示されます。

から AWS CLI、 get-trail-status コマンド。障害が発生した場合、コマンド出力には LatestCloudWatchLogsDeliveryErrorフィールドが含まれます。このフィールドには、 CloudWatch ログを ログに配信しようとしたときに で CloudTrail 発生した CloudWatch ログエラーが表示されます。この問題を解決するには、 CloudWatch ログロールポリシーを修正します。 CloudWatch ログロールポリシーの詳細については、「」を参照してくださいCloudTrail がモニタリングに CloudWatch Logs を使用するためのロールポリシードキュメント。

ホームリージョンの証跡をチェックして、それがオプトインリージョンであるかどうかを確認します。

ほとんどの AWS リージョン は でデフォルトで有効になっていますが AWS アカウント、特定のリージョン (オプトインリージョンとも呼ばれます) を手動で有効にする必要があります。デフォルトで有効になっているリージョンの詳細については、「AWS Account Management Reference Guide」の「Considerations before enabling and disabling Regions」を参照してください。が CloudTrail サポートするリージョンのリストについては、「」を参照してくださいCloudTrail がサポートされているリージョン。

組織の証跡がマルチリージョンで、ホームリージョンがオプトインリージョンである場合、 AWS リージョン マルチリージョン証跡が作成された をオプトインしない限り、メンバーアカウントは組織の証跡にアクティビティを送信しません。例えば、マルチリージョンの証跡を作成し、証跡のホームリージョンとして欧州 (スペイン) リージョンを選択した場合、アカウントで欧州 (スペイン) リージョンを有効にしているメンバーアカウントのみが、そのアカウントアクティビティを組織の証跡に送信します。問題を解決するには、組織内の各メンバーアカウントのオプトインリージョンを有効にします。オプトインリージョンの有効化に関する情報については、「AWS Account Management Reference Guide」の「Enable or disable a Region in your organization」を参照してください。

組織のリソースベースのポリシーが CloudTrail サービスにリンクされたロールポリシーと競合していないか確認する

CloudTrail は、 という名前のサービスにリンクされたロールAWSServiceRoleForCloudTrailを使用して組織の証跡をサポートします。このサービスにリンクされたロールにより、 CloudTrail は などの組織リソースに対してアクションを実行できますorganizations:DescribeOrganization。組織のリソースベースのポリシーが、サービスにリンクされたロールポリシーで許可されているアクションを拒否 CloudTrail した場合、 は、サービスにリンクされたロールポリシーで許可されている場合でも、アクションを実行できません。問題を解決するには、サービスにリンクされたロールポリシーで許可されているアクションを拒否しないように、組織のリソースベースのポリシーを修正します。

CloudTrail コンソールで、証跡の詳細ページを確認します。認可に失敗した場合、詳細ページには警告が表示されSNS authorization failed、SNSトピックポリシーを修正するよう に指示します。

から AWS CLI、 get-trail-status コマンド。認証に失敗した場合、コマンド出力には AuthorizationError の値を持つ LastNotificationError フィールドが含まれます。この問題を解決するには、Amazon SNSトピックポリシーを修正します。Amazon SNSトピックポリシーの詳細については、「」を参照してくださいCloudTrail の Amazon SNS トピックポリシー。