AWS を使用して外部からのイベントをログに記録する統合を作成する AWS CLI

統合に使用可能なイベントデータストアをまだ 1 つも作成していない場合は、create-event-data-store を実行してそれを作成します。

次の AWS CLI コマンド例では、 の外部からイベントをログに記録するイベントデータストアを作成します AWS。アクティビティイベントの場合、eventCategory フィールドのセレクタ値は ActivityAuditLog です。このイベントデータストアでは、保持期間は 90 日に設定されています。デフォルトでは、イベントデータストアはすべてのリージョンからイベントを収集しますが、これはAWS イベント以外のイベントを収集するため、 --no-multi-region-enabledオプションを追加して 1 つのリージョンに設定します。終了保護はデフォルトで有効化されます。また、このイベントデータストアでは、組織内のアカウントのためのイベント収集は行いません。

aws cloudtrail create-event-data-store \
--name my-event-data-store \
--no-multi-region-enabled \
--retention-period 90 \
--advanced-event-selectors '[
    {
      "Name": "Select all external events",
      "FieldSelectors": [
          { "Field": "eventCategory", "Equals": ["ActivityAuditLog"] }
        ]
    }
  ]'

以下に、応答の例を示します。

{
    "EventDataStoreArn": "arn:aws:cloudtrail:us-east-1:123456789012:eventdatastore/EXAMPLEf852-4e8f-8bd1-bcf6cEXAMPLE",
    "Name": "my-event-data-store",
    "AdvancedEventSelectors": [
        {
           "Name": "Select all external events",
           "FieldSelectors": [
              {
                  "Field": "eventCategory",
                  "Equals": [
                      "ActivityAuditLog"
                    ]
                }
            ]
        }
    ],
    "MultiRegionEnabled": true,
    "OrganizationEnabled": false,
    "BillingMode": "EXTENDABLE_RETENTION_PRICING",
    "RetentionPeriod": 90,
    "TerminationProtectionEnabled": true,
    "CreatedTimestamp": "2023-10-27T10:55:55.384000-04:00",
    "UpdatedTimestamp": "2023-10-27T10:57:05.549000-04:00"
}

次のステップに進み、チャンネルを作成するにはARN、イベントデータストア ID ( EXAMPLEf852-4e8f-8bd1-bcf6cEXAMPLE のサフィックス、または前のレスポンス例の ) が必要です。

create-channel コマンドを実行して、パートナーまたはソースアプリケーションが のイベントデータストアにイベントを送信できるようにするチャネルを作成します CloudTrail。

チャネルは、以下のコンポーネントを含みます。

ソースからのイベントの受信を停止するには、対象のチャネルを削除します。

このコマンドを実行するには、送信先イベントデータストアの ID が少なくとも 1 つ必要です。送信先として有効な型は EVENT_DATA_STORE です。取り込んだイベントは、複数のイベントデータストアに送信することができます。次のコマンド例では、 --destinationsパラメータの Location 属性の で表される 2 つのイベントデータストアIDsにイベントを送信するチャネルを作成します。--destinations、--name、および --source パラメータが必要です。 CloudTrail パートナーからイベントを取り込むには、パートナーの名前を の値として指定します--source。の外部にある独自のアプリケーションからイベントを取り込むには AWS、 を の値Customとして指定します--source。

aws cloudtrail create-channel \
    --region us-east-1 \
    --destinations '[{"Type": "EVENT_DATA_STORE", "Location": "EXAMPLEf852-4e8f-8bd1-bcf6cEXAMPLE"}, {"Type": "EVENT_DATA_STORE", "Location": "EXAMPLEg922-5n2l-3vz1- apqw8EXAMPLE"}]'
    --name my-partner-channel \
    --source $partnerSourceName \

create-channel コマンドへのレスポンスで、新しいチャンネルARNの をコピーします。次のステップで put-resource-policyおよび put-audit-events コマンドを実行するARNには、 が必要です。

put-resource-policy コマンドを実行して、リソースポリシーをチャネルにアタッチします。リソースポリシーは、指定されたプリンシパルがリソースに対して実行できるアクションと条件を指定するJSONポリシードキュメントです。チャネルのリソースポリシーでプリンシパルとして定義されたアカウントは、 を呼び出しPutAuditEventsAPIてイベントを配信できます。

ポリシーに必要な情報は、統合タイプによって決まります。

リソースポリシーには、以下の要件があります。

aws cloudtrail put-resource-policy \
    --resource-arn "channelARN" \
    --policy "{
    "Version": "2012-10-17",
    "Statement":
    [
        {
            "Sid": "ChannelPolicy",
            "Effect": "Allow",
            "Principal":
            {
                "AWS":
                [
                    "arn:aws:iam::111122223333:root",
                    "arn:aws:iam::444455556666:root",
                    "arn:aws:iam::123456789012:root"
                ]
            },
            "Action": "cloudtrail-data:PutAuditEvents",
            "Resource": "arn:aws:cloudtrail:us-east-1:777788889999:channel/EXAMPLE-80b5-40a7-ae65-6e099392355b",
            "Condition":
            {
                "StringEquals":
                {
                    "cloudtrail:ExternalId": "UniqueExternalIDFromPartner"
                }
            }
        }
    ]
}"
                    

リソースポリシーの詳細については、「AWS CloudTrail リソースベースのポリシーの例」を参照してください。

を実行してPutAuditEventsAPI、アクティビティイベントを に取り込みます CloudTrail。 CloudTrail 追加するイベントのペイロードが必要になります。に取り込む前に、イベントペイロードに機密情報や個人を特定できる情報がないことを確認してください CloudTrail。はcloudtrail-dataCLIエンドポイントではなくエンドポイントPutAuditEventsAPIを使用することに注意してくださいcloudtrail。

次の例は、 put-audit-events CLI コマンドの使用方法を示しています。--audit-events および --channel-arn パラメータが必要です。--external-id パラメータは、リソースポリシーで外部 ID が定義されている場合に必要です。前のステップで作成したチャンネルARNの が必要です。の値は、イベントオブジェクトのJSON配列--audit-eventsです。 --audit-eventsには、イベントから必要な ID、 の値としてイベントの必要なペイロードEventData、および への取り込み後にイベントの整合性を検証するのに役立つオプションのチェックサムが含まれます CloudTrail。

aws cloudtrail-data put-audit-events \
--channel-arn $ChannelArn \
--external-id $UniqueExternalIDFromPartner \
--audit-events \
id="event_ID",eventData='"{event_payload}"' \
id="event_ID",eventData='"{event_payload}"',eventDataChecksum="optional_checksum"

次に、2 つのイベントを処理するコマンドの例を示します。

aws cloudtrail-data put-audit-events \
--channel-arn arn:aws:cloudtrail:us-east-1:123456789012:channel/EXAMPLE8-0558-4f7e-a06a-43969EXAMPLE \
--external-id UniqueExternalIDFromPartner \
--audit-events \
id="EXAMPLE3-0f1f-4a85-9664-d50a3EXAMPLE",eventData='"{\"eventVersion\":\0.01\",\"eventSource\":\"custom1.domain.com\", ...
\}"' \
id="EXAMPLE7-a999-486d-b241-b33a1EXAMPLE",eventData='"{\"eventVersion\":\0.02\",\"eventSource\":\"custom2.domain.com\", ...
\}"',eventDataChecksum="EXAMPLE6e7dd61f3ead...93a691d8EXAMPLE"

次のコマンド例では、 --cli-input-jsonパラメータを追加して、イベントペイロードのJSONファイル (custom-events.json) を指定します。

aws cloudtrail-data put-audit-events --channel-arn $channelArn --external-id $UniqueExternalIDFromPartner --cli-input-json file://custom-events.json --region us-east-1

以下は、サンプルJSONファイル のサンプルコンテンツですcustom-events.json。

{
    "auditEvents": [
      {
        "eventData": "{\"version\":\"eventData.version\",\"UID\":\"UID\",
        \"userIdentity\":{\"type\":\"CustomUserIdentity\",\"principalId\":\"principalId\",
        \"details\":{\"key\":\"value\"}},\"eventTime\":\"2021-10-27T12:13:14Z\",\"eventName\":\"eventName\",
        \"userAgent\":\"userAgent\",\"eventSource\":\"eventSource\",
        \"requestParameters\":{\"key\":\"value\"},\"responseElements\":{\"key\":\"value\"},
        \"additionalEventData\":{\"key\":\"value\"},
        \"sourceIPAddress\":\"12.34.56.78\",\"recipientAccountId\":\"152089810396\"}",
        "id": "1"
      }
   ]
}