翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

CloudWatch ログへのイベントの送信

ログにイベントを送信するように証跡を設定すると、 CloudWatch CloudTrail は証跡設定に一致するイベントのみを送信します。例えば、データイベントのみをログに記録するように証跡を設定すると、証跡はデータイベントのみを Logs CloudWatch ロググループに送信します。 は、データ、インサイト、管理イベントを CloudWatch Logs に送信すること CloudTrail をサポートします。詳細については、「 CloudTrail ログファイルの使用」を参照してください。

Logs CloudWatch ロググループにイベントを送信するには：

コンソールを使用した CloudWatch ログモニタリングの設定

を使用して AWS Management Console 、モニタリングのためにイベントを CloudWatch Logs に送信するように証跡を設定できます。

ロググループを作成するか、既存のロググループを指定する

CloudTrail は、 CloudWatch ログイベントの配信エンドポイントとして Logs ロググループを使用します。ユーザーは、ロググループを作成するか、既存のロググループを指定することができます。

IAM ロールを指定する

がログストリーム CloudTrail にイベントを配信するために引き受けるロールを指定できます。

CloudWatch コンソールでのイベントの表示

Logs CloudWatch ロググループにイベントを送信するように証跡を設定した後、 CloudWatch コンソールでイベントを表示できます。 CloudTrail 通常、 は API呼び出しから平均 5 分以内にロググループにイベントを配信します。この時間は保証されません。詳細については、「AWS CloudTrail サービスレベルアグリーメント」をご覧ください。

を使用した CloudWatch ログモニタリングの設定 AWS CLI

を使用して、モニタリングのためにイベントを CloudWatch ログ CloudTrail に送信するように AWS CLI を設定できます。

ロググループを作成する

ロールの作成

ロググループにイベントを送信 CloudTrail できるようにする CloudWatch のロールを作成します。IAM create-role コマンドは、ロール名とロール継承ポリシードキュメントへのファイルパスの 2 つのパラメータを JSON 形式で受け取ります。使用するポリシードキュメントは、 にアクセスAssumeRole許可を付与します CloudTrail。create-role コマンドを実行すると、必要なアクセス許可を持ったロールが作成されます。

ポリシードキュメントを含むJSONファイルを作成するには、テキストエディタを開き、次のポリシー内容を というファイルに保存しますassume_role_policy_document.json。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "",
      "Effect": "Allow",
      "Principal": {
        "Service": "cloudtrail.amazonaws.com"
      },
      "Action": "sts:AssumeRole"
    }
  ]
}

次のコマンドを実行して、 のAssumeRoleアクセス許可を持つロールを作成します CloudTrail。

aws iam create-role --role-name role_name --assume-role-policy-document file://<path to assume_role_policy_document>.json

コマンドが完了したら、出力内のロールを書き留めARNます。

ポリシードキュメントを作成する

の次のロールポリシードキュメントを作成します CloudTrail。このドキュメントは CloudTrail 、指定したロググループに CloudWatch ログログストリームを作成し、そのログストリームに CloudTrail イベントを配信するために必要なアクセス許可を付与します。

{
  "Version": "2012-10-17",
  "Statement": [
    {

      "Sid": "AWSCloudTrailCreateLogStream2014110",
      "Effect": "Allow",
      "Action": [
        "logs:CreateLogStream"
      ],
      "Resource": [
        "arn:aws:logs:region:accountID:log-group:log_group_name:log-stream:accountID_CloudTrail_region*"
      ]

    },
    {
      "Sid": "AWSCloudTrailPutLogEvents20141101",
      "Effect": "Allow",
      "Action": [
        "logs:PutLogEvents"
      ],
      "Resource": [
        "arn:aws:logs:region:accountID:log-group:log_group_name:log-stream:accountID_CloudTrail_region*"
      ]
    }
  ]
}

role-policy-document.json という名前のファイルにポリシードキュメントを保存します。

組織の証跡にも使用される可能性があるポリシーを作成している場合は、少し異なる方法で構成する必要があります。例えば、次のポリシーは、指定したロググループに CloudWatch Logs ログストリームを作成し、 AWS アカウント 111111111111 の証跡と、ID が の AWS Organizations 組織に適用される 111111111111 アカウントで作成された組織の証跡の両方について、そのログストリームに CloudTrail イベントを配信するために必要な CloudTrail アクセス許可を付与します。o-exampleorgid:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AWSCloudTrailCreateLogStream20141101",
            "Effect": "Allow",
            "Action": [
                "logs:CreateLogStream"
            ],
            "Resource": [
                "arn:aws:logs:us-east-2:111111111111:log-group:CloudTrail/DefaultLogGroupTest:log-stream:111111111111_CloudTrail_us-east-2*",
                "arn:aws:logs:us-east-2:111111111111:log-group:CloudTrail/DefaultLogGroupTest:log-stream:o-exampleorgid_*"
            ]
        },
        {
            "Sid": "AWSCloudTrailPutLogEvents20141101",
            "Effect": "Allow",
            "Action": [
                "logs:PutLogEvents"
            ],
            "Resource": [
                "arn:aws:logs:us-east-2:111111111111:log-group:CloudTrail/DefaultLogGroupTest:log-stream:111111111111_CloudTrail_us-east-2*",             
                "arn:aws:logs:us-east-2:111111111111:log-group:CloudTrail/DefaultLogGroupTest:log-stream:o-exampleorgid_*"
            ]
        }
    ]
}

組織の証跡の詳細については、「組織の証跡の作成」を参照してください。

次のマンドを実行して、ロールにポリシーを適用します。

aws iam put-role-policy --role-name role_name --policy-name cloudtrail-policy --policy-document file://<path to role-policy-document>.json

証跡を更新する

update-trail コマンドを使用して CloudTrail、ロググループとロール情報で証跡を更新します。

aws cloudtrail update-trail --name trail_name --cloud-watch-logs-log-group-arn log_group_arn --cloud-watch-logs-role-arn role_arn

AWS CLI コマンドの詳細については、AWS CloudTrail 「 コマンドラインリファレンス」を参照してください。

制限

CloudWatch ログと EventBridge 各 では、最大イベントサイズを 256 KB にすることができます。ほとんどのサービスイベントの最大サイズは 256 KB ですが、一部のサービスには、より大きなイベントがあります。これらのイベントは CloudWatch ログまたは に送信 CloudTrail されません EventBridge。

CloudTrail イベントバージョン 1.05 以降、イベントの最大サイズは 256 KB です。これは、悪意のあるアクターによる悪用を防ぎ、 CloudWatch ログや などの他の AWS のサービスでイベントを消費できるようにするためです EventBridge。