翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

CloudTrail Lake ダッシュボード

CloudTrail Lake ダッシュボードを使用して、アカウント内のイベントデータストアのイベント傾向を表示できます。CloudTrail Lake には、次のタイプのダッシュボードが用意されています。

各ダッシュボードは 1 つ以上のウィジェットで構成され、各ウィジェットは SQL クエリの結果をグラフィカルに表示します。ウィジェットのクエリを表示するには、クエリの表示と編集を選択してクエリエディタを開きます。

ダッシュボードが更新されると、CloudTrail Lake はクエリを実行してダッシュボードのウィジェットにデータを入力します。クエリを実行するとコストが発生するため、CloudTrail はクエリの実行に関連するコストを確認するよう求めます。CloudTrail の料金の詳細については、「CloudTrail の料金」を参照してください。

前提条件

CloudTrail Lake ダッシュボードには、次の前提条件が適用されます。

制限

CloudTrail Lake ダッシュボードには、次の制限が適用されます。

リージョンのサポート

CloudTrail Lake ダッシュボードは、CloudTrail Lake AWS リージョン がサポートされているすべての でサポートされています。

Highlights ダッシュボードのアクティビティ概要ウィジェットは、次のリージョンでサポートされています。

他のすべてのウィジェットは、CloudTrail Lake AWS リージョン がサポートされているすべての でサポートされています。

CloudTrail Lake がサポートされているリージョンについては、「CloudTrail Lake でサポートされるリージョン」を参照してください。

必要なアクセス許可

このセクションでは、CloudTrail Lake ダッシュボードに必要なアクセス許可について説明し、次の 2 種類の IAM ポリシーについて説明します。

アイデンティティベースのポリシー要件

アイデンティティベースポリシーは、IAM ユーザーグループ、ユーザーのグループ、ロールなど、アイデンティティにアタッチできる JSON 許可ポリシードキュメントです。これらのポリシーは、ユーザーとロールが実行できるアクション、リソース、および条件をコントロールします。アイデンティティベースポリシーの作成方法については、「IAM ユーザーガイド」の「カスタマー管理ポリシーでカスタム IAM アクセス許可を定義する」を参照してください。

CloudTrail Lake ダッシュボードを表示および管理するには、次のいずれかのポリシーが必要です。

ダッシュボードの作成に必要なアクセス許可

次のサンプルポリシーは、ダッシュボードの作成に必要な最小限のアクセス許可を提供します。partition、region、account-id、eds-id を、設定の値に置き換えます。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "Statement1",
            "Effect": "Allow",
            "Action": [
                "cloudtrail:CreateDashboard",
                "cloudtrail:StartDashboardRefresh",
                "cloudtrail:StartQuery"
            ],
            "Resource": [
                "arn:partition:cloudtrail:region:account-id:dashboard/*",
                "arn:partition:cloudtrail:region:account-id:eventdatastore/eds-id"
            ]
        }
    ]
}

ダッシュボードを更新するために必要なアクセス許可

次のサンプルポリシーは、ダッシュボードを更新するために必要な最小限のアクセス許可を提供します。partition、region、account-id、eds-id を、設定の値に置き換えます。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "Statement1",
            "Effect": "Allow",
            "Action": [
                "cloudtrail:UpdateDashboard",
                "cloudtrail:StartDashboardRefresh",
                "cloudtrail:StartQuery"
            ],
            "Resource": [
                "arn:partition:cloudtrail:region:account-id:dashboard/*",
                "arn:partition:cloudtrail:region:account-id:eventdatastore/eds-id"
            ]
        }
    ]
}

ダッシュボードを更新するために必要なアクセス許可

次のサンプルポリシーは、ダッシュボードを更新するために必要な最小限のアクセス許可を提供します。partition、region、account-id、dashboard-name、eds-id を設定の値に置き換えます。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "Statement1",
            "Effect": "Allow",
            "Action": [
                "cloudtrail:StartDashboardRefresh",
                "cloudtrail:StartQuery"
            ],
            "Resource": [
                "arn:partition:cloudtrail:region:account-id:dashboard/dashboard-name",
                "arn:partition:cloudtrail:region:account-id:eventdatastore/eds-id"
            ]
        }
    ]
}

ダッシュボードとイベントデータストアのリソースベースのポリシー

リソースベースのポリシーは、リソースに添付する JSON ポリシードキュメントです。リソースベースのポリシーには例として、IAM ロールの信頼ポリシーや Amazon S3 バケットポリシーがあげられます。ポリシーがアタッチされているリソースの場合、指定されたプリンシパルがそのリソースに対して実行できるアクションと条件は、ポリシーによって定義されます。リソースベースのポリシーでは、プリンシパルを指定する必要があります。

手動またはスケジュールされた更新中にダッシュボードでクエリを実行するには、ダッシュボード上のウィジェットに関連付けられているすべてのイベントデータストアにリソースベースのポリシーをアタッチする必要があります。これにより、CloudTrail Lake はユーザーに代わってクエリを実行できます。カスタムダッシュボードを作成するか、CloudTrail コンソールを使用して Highlights ダッシュボードを有効にすると、CloudTrail はアクセス許可を適用するイベントデータストアを選択するオプションを提供します。リソースベースのポリシーの詳細については、「」を参照してください例: CloudTrail がクエリを実行してダッシュボードを更新できるようにする。

ダッシュボードの更新スケジュールを設定するには、リソースベースのポリシーをダッシュボードにアタッチして、CloudTrail Lake がユーザーに代わってダッシュボードを更新できるようにする必要があります。カスタムダッシュボードの更新スケジュールを設定するか、CloudTrail コンソールを使用して Highlights ダッシュボードを有効にすると、CloudTrail はリソースベースのポリシーをダッシュボードにアタッチするオプションを提供します。ポリシーの例についてはダッシュボードのリソースベースのポリシーの例を参照してください。

CloudTrail コンソール、、または PutResourcePolicy API オペレーションを使用してAWS CLI、リソースベースのポリシーをアタッチできます。

イベントデータストア内のデータを復号するための KMS キーアクセス許可

クエリ対象のイベントデータストアが KMS キーで暗号化されている場合は、KMS キーポリシーで CloudTrail がイベントデータストア内のデータを復号化できることを確認してください。次のポリシーステートメントの例では、CloudTrail サービスプリンシパルがイベントデータストアを復号することを許可します。

{
      "Sid": "AllowCloudTrailDecryptAccess",
      "Effect": "Allow",
      "Principal": {
          "Service": "cloudtrail.amazonaws.com"
        },
      "Action": "kms:Decrypt",
      "Resource": "*"
}