CloudTrail ログファイルの取得と表示

証跡を作成して必要なログファイルをキャプチャするように設定した後は、ログファイルを検索し、含まれる情報を解釈できるようにする必要があります。

CloudTrail は、証跡の作成時に指定した Amazon S3 バケットにログファイルを配信します。 CloudTrail は通常、 API 呼び出しから平均 5 分以内にログを配信します。この時間は保証されません。詳細については、「AWS CloudTrail サービスレベルアグリーメント」をご覧ください。インサイトイベントは、通常、異常なアクティビティから 30 分以内にバケットに配信されます。インサイトイベントを初めて有効にした後、異常なアクティビティが検出された場合に、最初のインサイトイベントが表示されるまで最大 36 時間かかります。

CloudTrail ログファイルの検索

CloudTrail は、ログファイルを gzip アーカイブの S3 バケットに発行します。S3 バケットでは、ログファイルに次の要素を含む形式の名前が付けられます。

次の例は、完全なログファイルオブジェクト名を示しています。

amzn-s3-demo-bucket/prefix_name/AWSLogs/Account ID/CloudTrail/region/YYYY/MM/DD/file_name.json.gz

amzn-s3-demo-bucket/prefix_name/AWSLogs/O-ID/Account ID/CloudTrail/Region/YYYY/MM/DD/file_name.json.gz

ログファイルを取得するには、Amazon S3 コンソール、Amazon S3 コマンドラインインターフェイス (CLI）、または を使用できますAPI。

次の例のように、オブジェクト階層を移動しますが、バケット名、アカウント ID、リージョン、および日付は異なります。

All Buckets
    amzn-s3-demo-bucket
        AWSLogs
            123456789012
                CloudTrail
                    us-west-1
                        2014
                            06
                                20

先のオブジェクト階層のログファイルは、次のようになります。

123456789012_CloudTrail_us-west-1_20140620T1255ZHdkvFTXOA3Vnhbc.json.gz