Insights イベントのログ記録

CloudTrail コンソールの左側のナビゲーションペインで、証跡ページを開き、証跡名を選択します。

[Insights events] で、[編集] を選択します。

[Event type] (イベントタイプ) で、[Insights events] (Insights イベント) を選択します。

[Insights events] (Insights イベント) の [Choose Insights types] (Insights の種類を選択) で、[API call rate] (API コールレート) と [API error rate] (API エラー率) のどちらか一方、または両方を選択選択します。[API コール率] の Insights イベントをログに記録するには、証跡が [Write] 管理イベントをログ記録している必要があります。[API エラー率] の Insights イベントをログに記録するには、証跡が [Read] または [Write] 管理イベントをログ記録している必要があります。

[変更を保存] を選択して、変更を保存します。

CloudTrail コンソールの左側のナビゲーションペインの Lake で、イベントデータストア を選択します。

イベントデータストアの名前を選択します。

[管理イベント] で、[編集] を選択します。

[Insights を有効にする] を選択します。

が Insights イベントを配信 CloudTrail する送信先イベントデータストアを選択します。送信先イベントデータストアは、このイベントデータストア内の管理イベントアクティビティに基づいて Insights イベントを収集します。送信先イベントデータストアの作成方法については、「Insights イベントをログに記録する送信先イベントデータストアを作成するには」を参照してください。

[Insights タイプを選択] で、[API コールレート] と [API エラー率] のどちらか一方、または両方を選択します。[API コールレート] の Insights イベントをログ記録するには、イベントデータストアが [書き込み] 管理イベントを記録している必要があります。[API エラー率] の Insights イベントをログ記録するには、イベントデータストアが [読み出し] または [書き込み] の管理イベントを記録している必要があります。

[変更を保存] を選択して、変更を保存します。

aws cloudtrail create-event-data-store コマンドを実行して、Insights イベントを収集する送信先イベントデータストアを作成します。eventCategory の値は Insight にする必要があります。を、イベントデータストアにイベントを保持する日数retention-period-daysに置き換えます。

AWS Organizations 組織の管理アカウントでサインインしている場合は、委任された管理者にイベントデータストアへのアクセスを許可する場合は、 --organization-enabledパラメータを含めます。

aws cloudtrail create-event-data-store \
--name insights-event-data-store \
--no-multi-region-enabled \
--retention-period retention-period-days \
--advanced-event-selectors '[
    {
      "Name": "Select Insights events",
      "FieldSelectors": [
          { "Field": "eventCategory", "Equals": ["Insight"] }
        ]
    }
  ]'
            

以下に、応答の例を示します。

{
    "Name": "insights-event-data-store",
    "ARN": "arn:aws:cloudtrail:us-east-1:111122223333:eventdatastore/EXAMPLEf852-4e8f-8bd1-bcf6cEXAMPLE",
    "AdvancedEventSelectors": [
        {
           "Name": "Select Insights events",
           "FieldSelectors": [
              {
                  "Field": "eventCategory",
                  "Equals": [
                      "Insight"
                    ]
                }
            ]
        }
    ],
    "MultiRegionEnabled": false,
    "OrganizationEnabled": false,
    "BillingMode": "EXTENDABLE_RETENTION_PRICING",
    "RetentionPeriod": "90",
    "TerminationProtectionEnabled": true,
    "CreatedTimestamp": "2023-11-08T15:22:33.578000+00:00",
    "UpdatedTimestamp": "2023-11-08T15:22:33.714000+00:00"
}

この応答の ARN (または ARN の ID サフィックス) は、ステップ 3 で --insights-destination パラメータの値として使用します。

管理イベントをログ記録するソースイベントデータストアを作成するには、aws cloudtrail create-event-data-store コマンドを実行します。イベントデータストアのデフォルトでは、すべてのログ管理イベントをログ記録します。すべての管理イベントをログ記録するのであれば、高度なイベントセレクタを指定する必要はありません。を、イベントデータストアにイベントを保持する日数retention-period-daysに置き換えます。組織のイベントデータストアを作成する場合は、--organization-enabled パラメータを含めます。

aws cloudtrail create-event-data-store --name source-event-data-store --retention-period retention-period-days

以下に、応答の例を示します。

{
    "EventDataStoreArn": "arn:aws:cloudtrail:us-east-1:111122223333:eventdatastore/EXAMPLE9952-4ab9-49c0-b788-f4f3EXAMPLE",
    "Name": "source-event-data-store",
    "Status": "CREATED",
    "AdvancedEventSelectors": [
        {
            "Name": "Default management events",
            "FieldSelectors": [
                {
                    "Field": "eventCategory",
                    "Equals": [
                        "Management"
                    ]
                }
            ]
        }
    ],
    "MultiRegionEnabled": true,
    "OrganizationEnabled": false,
    "BillingMode": "EXTENDABLE_RETENTION_PRICING",
    "RetentionPeriod": 90,
    "TerminationProtectionEnabled": true,
    "CreatedTimestamp": "2023-11-08T15:25:35.578000+00:00",
    "UpdatedTimestamp": "2023-11-08T15:25:35.714000+00:00"
}

この応答の ARN (または ARN の ID サフィックス) は、ステップ 3 で --event-data-store パラメータの値として使用します。

put-insight-selectors コマンドを実行して Insights イベントを有効にします。Insights セレクターの値は、ApiCallRateInsight、ApiErrorRateInsight、または両方になります。--event-data-store パラメータには、管理イベントをログに記録して Insights を有効にするソースイベントデータストアの ARN (または ARN の ID サフィックス) を指定します。--insights-destination パラメータには、Insights イベントをログ記録する送信先イベントデータストアの ARN (または ARN の ID サフィックス) を指定します。

aws cloudtrail put-insight-selectors --event-data-store arn:aws:cloudtrail:us-east-1:111122223333:eventdatastore/EXAMPLE9952-4ab9-49c0-b788-f4f3EXAMPLE --insights-destination arn:aws:cloudtrail:us-east-1:111122223333:eventdatastore/EXAMPLEf852-4e8f-8bd1-bcf6cEXAMPLE --insight-selectors '[{"InsightType": "ApiCallRateInsight"},{"InsightType": "ApiErrorRateInsight"}]'

次の結果は、イベントデータストア用に設定された Insights イベントセレクタを表示しています。

{
  "EventDataStoreARN": "arn:aws:cloudtrail:us-east-1:111122223333:eventdatastore/EXAMPLE9952-4ab9-49c0-b788-f4f3EXAMPLE",
  "InsightsDestination": "arn:aws:cloudtrail:us-east-1:111122223333:eventdatastore/EXAMPLEf852-4e8f-8bd1-bcf6cEXAMPLE",
  "InsightSelectors":
      [
         {
            "InsightType": "ApiErrorRateInsight"
         },
         {
            "InsightType": "ApiCallRateInsight"
         }
      ]
}

イベントデータストアで CloudTrail Insights を初めて有効にすると、異常なアクティビティが検出された場合、 が最初の Insights イベントを配信 CloudTrail するまでに最大 7 日間かかることがあります。

CloudTrail Insights は、グローバルではなく単一のリージョンで発生する管理イベントを分析します。 CloudTrail Insights イベントは、サポートする管理イベントが生成されるのと同じリージョンで生成されます。

組織のイベントデータストアの場合、 は組織のすべての管理イベントの集計 CloudTrail を分析する代わりに、各メンバーのアカウントから管理イベントを分析します。