CloudTrailによる操作監査を理解する
設定が変わっていたとき、「誰が、いつ、どの操作をしたか」を調べる手掛かりがCloudTrailです。CPUの監視や構成基準の評価とは異なり、AWS上の活動の証跡を扱います。記録する操作の種類と保存範囲も合わせて学びます。
この単元で学ぶこと
- CloudTrailの操作監査と運用監視を区別できる
- 管理イベントとデータイベントの違いを説明できる
- 監査に必要な記録範囲・保持・権限を考えられる
本文解説
操作の証跡 CloudTrailはAWSアカウントの活動を記録するサービスです。イベントには時刻、操作名、利用した主体など、調査の手掛かりが含まれます。Consoleから操作しても、その裏でAWS APIが呼ばれるため、APIという語をCLIだけの操作と考えないようにします。
管理イベント EC2の作成や設定変更など、リソースの管理に関する操作を管理イベントとして扱います。変更を実行した主体を調べる際は、対象のアカウントやリージョン、時刻を合わせて検索します。操作名だけでなく対象リソースや結果も確認します。
データイベント S3オブジェクトの取得・書込み・削除などはデータに対する操作です。データイベントは対象リソースや操作範囲の記録設定を確認する必要があります。管理イベントの履歴が見えることを理由に、全オブジェクトの取得履歴も自動的に揃っているとは考えません。
イベント履歴の範囲 CloudTrailのイベント履歴で参照できるのは、各リージョンの過去90日間の管理イベントです。永久保存やすべてのデータイベントの一覧ではありません。監査期間が長い場合や追加のイベントが必要な場合は、その条件に合う記録・保存の構成を準備します。
必要な監査を先に決める 何を調べたいかによって、管理操作だけでよいのか、特定のS3オブジェクト操作まで必要かが変わります。データイベントは大量になることがあり、料金も考慮します。重要な対象を記録から外さず、不要な量だけで監査しにくくしない設計を行います。
記録を守る 証跡には操作主体や資源の情報が含まれます。読む人を限定し、不要な削除や変更から保護し、必要な期間保持します。記録サービスを有効にしたことと、後から信頼して調査できる形で保存することは別の作業です。
他サービスとの違い CPUが上昇したかはCloudWatch、構成が社内基準に準拠するかはConfigが中心です。CloudTrailの操作証跡だけで現在のCPU状態や、あらゆる構成の適否まで分かるわけではありません。障害調査では各情報を組み合わせます。
例題：削除操作を追う 重要なS3ファイルの削除を監査したいなら、対象のデータイベント記録を事前に確認します。削除後に設定を有効にしても、それ以前の未記録操作を遡って作れるわけではありません。記録対象と保存・調査手順を平常時に検証します。
図解
重要ポイント
- 操作主体・時刻・API・対象を証跡として読む。
- 管理とデータのイベントを区別する。
- イベント履歴は90日間のリージョン別管理イベントである。
- 必要な記録は事前に設定し保管と権限も管理する。
間違えやすい点
- 全データイベントが標準履歴にあると思わない。
- 後から有効化すれば過去の未記録操作も復元できると考えない。
- 操作記録だけで性能や準拠を保証しない。
用語解説
- メトリクス
- CPU使用率や要求数など、時刻とともに記録される数値。単位・集計期間・対象を合わせて読む。
- アラーム
- メトリクスなどの評価条件に応じて状態が変わり、設定した通知や対応へつなげる仕組み。
- 管理イベント
- AWSリソースの作成や設定変更など、管理面の操作を記録するイベント。
- データイベント
- S3オブジェクトへの取得・書込みなど、資源内のデータに対する操作を記録するイベント。対象の明示設定を確認する。
- 構成項目
- AWS Configが記録する、対象資源のある時点での属性や関係などの情報。
- 準拠評価
- 定めたルールに対象構成が合っているかを判定すること。未設定の要件まで保証するものではない。
関連教材
参考資料
教材データに登録された参考リンクです。リンク先の内容や更新日は提供元でご確認ください。
確認問題の出題・採点や学習履歴の保存にはログインが必要です。