AWS CloudTrail および AWS Organizations - AWS Organizations
サービスリンクロールサービスプリンシパル信頼されたアクセスを有効にする信頼されたアクセスを無効にする委任管理者を有効にするCloudTrail 用の委任された管理者の無効化

AWS CloudTrail および AWS Organizations

AWS CloudTrail は、AWS アカウント のガバナンス、コンプライアンス、および運用とリスクの監査を行えるように支援する AWS サービスです。AWS CloudTrail を使用すると、管理アカウントのユーザーは組織の証跡を作成して、組織のすべての AWS アカウント に関するすべてのイベントをログに記録できます。組織の証跡は、組織内のすべてのメンバーアカウントに自動的に適用されます。メンバーアカウントは組織の証跡を表示できますが、これを変更または削除することはできません。デフォルトでは、メンバーアカウントは Amazon S3 バケット内にある組織の証跡のログファイルにはアクセスできません。これにより、組織内のすべてのアカウントに対してイベントのログ記録戦略を一律に適用および実施できます。

組織の証跡については、AWS CloudTrail ユーザーガイドの組織の証跡の作成を参照してください。

AWS CloudTrail と AWS Organizations の統合には、次の情報を参考にしてください。

統合を有効にする際に作成されるサービスにリンクされたロール

信頼されたアクセスを有効にすると、以下のサービスにリンクされたロールが組織の管理アカウントに自動的に作成されます。このロールにより、CloudTrail はサポートされているオペレーションを組織内のアカウントで実行できます。

このロールを削除または変更できるのは、CloudTrail と Organizations 間の信頼されたアクセスを無効にした場合か、組織から当該のメンバーアカウントを削除した場合だけです。

  • AWSServiceRoleForCloudTrail

サービスにリンクされたロールで使用されるサービスプリンシパル

前のセクションで説明したサービスにリンクされたロールを引き受けることができるのは、ロールに定義された信頼関係によって承認されたサービスプリンシパルだけです。CloudTrail によって使用されるサービスにリンクされたロールには、次のサービスプリンシパルへのアクセス許可が付与されます。

  • cloudtrail.amazonaws.com

CloudTrail との信頼されたアクセスの有効化

信頼されたアクセスの有効化に必要な権限に関しては、信頼されたアクセスを有効にするために必要なアクセス許可 を参照してください。

AWS CloudTrail コンソールから証跡を作成することで信頼されたアクセスを有効化する場合は、信頼されたアクセスが自動的に設定されます（推奨）。AWS Organizations コンソールを使用して信頼されたアクセスを有効にすることもできます。組織の証跡を作成するには、AWS Organizations 管理アカウントでサインインする必要があります。

AWS CLI または AWS API を使用して組織の証跡を作成することを選択した場合は、信頼されたアクセスを手動で設定する必要があります。詳細については、AWS CloudTrail ユーザーガイドの Enabling CloudTrail as a trusted service in AWS Organizationsを参照してください。

重要

Organizations との統合の有効化には、可能な場合は常に AWS CloudTrail コンソールまたはツールを使用することを強くお勧めします。

信頼されたアクセスの有効化には、Organizations の AWS CLI コマンドを実行する方法と、いずれかの AWS SDK で Organizations API オペレーションを呼び出す方法があります。

AWS CLI, AWS API
Organizations CLI/SDK を使用して信頼されたアクセスを有効にするには

信頼されたサービスのアクセスを有効にするには、次の AWS CLI コマンドまたは API オペレーションを使用できます。

  • AWS CLI: enable-aws-service-access

    次のコマンドを実行し、AWS CloudTrail を Organizations で信頼されたサービスとして有効にすることができます。

    $ aws organizations enable-aws-service-access \
    --service-principal cloudtrail.amazonaws.com

    このコマンドが成功した場合、出力は生成されません。

  • AWS API: EnableAWSServiceAccess

CloudTrail との信頼されたアクセスの無効化

信頼されたアクセスの無効化に必要なアクセス権限に関しては、信頼されたアクセスを無効にするために必要なアクセス許可 を参照してください。

AWS CloudTrail には、組織の証跡および組織のイベントデータストアに関する処理を行うにあたり、AWS Organizations との信頼されたアクセスが必要です。AWS CloudTrail を使用している最中に、AWS Organizations を使用して信頼されたアクセスを無効にすると、CloudTrail が組織にアクセスできなくなるため、メンバーアカウントのすべての組織の証跡は削除されます。すべての管理アカウントの組織証跡と組織イベントデータストアは、アカウントレベルの証跡とイベントデータストアに変換されます。CloudTrail と AWS Organizations の統合用に作成された AWSServiceRoleForCloudTrail ロールは、アカウント内に残ります。信頼されたアクセスを再度有効にした場合、CloudTrail は既存の証跡やイベントデータストアに対してアクションを実行しません。管理アカウントは、アカウントレベルの証跡とイベントデータストアを更新して、組織に適用する必要があります。

アカウントレベルの証跡またはイベントデータストアを組織証跡または組織イベントデータストアに変換するには、以下を実行します。

  • CloudTrail コンソールから、証跡またはイベントデータストアを更新し、[組織内のすべてのアカウントの有効化] オプションを選択します。

  • AWS CLI から、次を実行します。

    • 証跡を更新するには、update-trail コマンドを実行し、--is-organization-trail パラメータを含めます。

    • イベントデータストアを更新するには、update-event-data-store コマンドを実行し、--organization-enabled パラメータを含めます。

AWS Organizations 管理アカウントの管理者だけが AWS CloudTrail との信頼されたアクセスを無効にできます。信頼されたアクセスの無効にできるのは、Organizations ツールのみであり、AWS Organizations コンソールを使用する方法、Organizations の AWS CLI コマンドを実行する方法、いずれかの AWS SDK で Organizations API オペレーションを呼び出す方法があります。

信頼されたアクセスの無効化には、AWS Organizations コンソールを使用する方法、Organizations の AWS CLI コマンドを実行する方法、いずれかの AWS SDK で Organizations API オペレーションを呼び出す方法があります。

AWS Management Console
Organizations コンソールを使用して信頼されたアクセスを無効にするには

  1. AWS Organizations コンソールにサインインします。組織の管理アカウントで、IAM ユーザーとしてサインインするか、IAM ロールを引き受けるか、ルートユーザーとしてサインインする (推奨されません) 必要があります。

  2. ナビゲーションペインで [Services (サービス)] を選択します。

  3. サービスのリストで [AWS CloudTrail] を選択します。

  4. Disable trusted access (信頼されたアクセスを無効にする) を選択します。

  5. [AWS CloudTrail の信頼されたアクセスを無効にする] ダイアログボックスで、[無効にする] と入力して確定し、[信頼されたアクセスを無効にする] を選択します。

  6. AWS Organizations だけの管理者である場合は、AWS CloudTrail の管理者に、コンソールかツールを使用してそのサービスを無効にし、AWS Organizations との連携を停止できるようになったことを知らせます。

AWS CLI, AWS API
Organizations CLI/SDK を使用して信頼されたアクセスを無効にするには

サービスへの信頼されたアクセスを無効にするには、次の AWS CLI コマンドまたは API オペレーションを使用できます。

  • AWS CLI: disable-aws-service-access

    次のコマンドを実行し、AWS CloudTrail を Organizations で信頼されたサービスとして無効にすることができます。

    $ aws organizations disable-aws-service-access \
    --service-principal cloudtrail.amazonaws.com

    このコマンドが成功した場合、出力は生成されません。

  • AWS API: DisableAWSServiceAccess

CloudTrail 用の委任管理者アカウントの有効化

Organizations で CloudTrail を使用する場合、CloudTrail の委任管理者として組織内の任意のアカウントを登録できます。このアカウントは、組織に代わって組織の証跡やイベントデータストアを管理できます。委任管理者は、管理アカウントと同じ管理タスクを CloudTrail で実行できる組織のメンバーアカウントです。

最小アクセス許可

CloudTrail の委任管理者を登録できるのは、Organizations 管理アカウントの管理者だけです。

CloudTrail コンソール、あるいは Organizations RegisterDelegatedAdministrator CLI または SDK オペレーションを使用して委任管理者アカウントを登録できます。CloudTrail コンソールを使用して委任管理者を登録するには、「Add a CloudTrail delegated administrator」(委任管理者を登録する) を参照してください。

CloudTrail 用の委任された管理者の無効化

CloudTrail の委任管理者を削除できるのは、Organizations 管理アカウントの管理者だけです。CloudTrail コンソール、あるいは Organizations DeregisterDelegatedAdministrator CLI または SDK オペレーションを使用して、委任管理者を削除できます。CloudTrail コンソールを使用して委任管理者を削除する方法については、「Remove a CloudTrail delegated administrator」(CloudTrail の委任管理者を削除する) を参照してください。