S3 バケットとオブジェクトの CloudTrail イベントログ記録の有効化 - Amazon Simple Storage Service

新しい Amazon S3 ユーザーガイドにようこそ! Amazon S3 ユーザーガイドは、使用中止された 3 つのガイド (Amazon S3 開発者ガイドAmazon S3 コンソールユーザーガイドAmazon S3 入門ガイド) の情報と手順をまとめたものです。

S3 バケットとオブジェクトの CloudTrail イベントログ記録の有効化

CloudTrail データイベントを使用して、Amazon S3 のバケットおよびオブジェクトレベルのリクエストに関する情報を取得できます。すべてのバケットまたは特定のバケットのリストの CloudTrail データイベントを有効にするには、CloudTrail で手動で証跡を作成する必要があります。

注記
  • CloudTrail のデフォルト設定では、管理イベントのみが検出されます。アカウントに対してデータイベントを有効にしていることをチェックして確認します。

  • 高いワークロードを生成している S3 バケットがある場合、短期間で数千のログを生成する可能性があります。ビジーなバケットでは、CloudTrail データイベントを有効にする期間にご注意ください。

CloudTrail は、選択した S3 バケットに Amazon S3 データイベントを保存します。クエリと分析を簡素化するには、所有する可能性がある複数のバケットのイベントを適切にまとめられるように個別の AWS アカウントでバケットを使用することを検討してください。AWS Organizations では、モニタリングしているバケットを所有しているアカウントにリンクされた AWS アカウントを簡単に作成できます。詳細については、AWS Organizations ユーザーガイドの「AWS Organizations とは何ですか?」を参照してください。

CloudTrail で証跡を作成する場合、データイベントセクションで、[アカウントのすべての S3 バケットを選択する] チェックボックスを選択して、すべてのオブジェクトレベルイベントをログ記録できます。

注記

コンソールを使用してバケット内のオブジェクトのログ記録を有効にする

Amazon S3 コンソールを使用して、AWS CloudTrail トレイルを有効にして、S3 バケット内のオブジェクトのデータイベントをログに記録できます。CloudTrail では、GetObjectDeleteObjectPutObject など、Amazon S3 オブジェクトレベルの API オペレーションのログ記録がサポートされます。これらのイベントは、データイベントと呼ばれます。

デフォルトでは CloudTrail 証跡はデータイベントを記録しませんが、証跡を設定して、指定した S3 バケットのデータイベントを記録するか、ご使用の AWS アカウントですべての Amazon S3 バケットのデータイベントを記録するようにできます。詳細については、「AWS CloudTrail を使用した Amazon S3 API コールのログ記録」を参照してください。

CloudTrail では、CloudTrail イベント履歴にデータイベントが設定されません。さらに、すべてのバケットレベルのアクションが CloudTrail イベント履歴に入力されるわけではありません。詳細については、Amazon CloudWatch Logs のフィルターパターンと Amazon Athena を使用した CloudTrail ログのクエリに関する AWS ナレッジセンターの記事を参照してください。

S3 バケットのログデータイベントを記録するように証跡を設定するには、AWS CloudTrail コンソールまたは Amazon S3 コンソールのいずれかを使用できます。AWS アカウント内のすべての Amazon S3 バケットのデータイベントを記録するように証跡を設定する場合は、CloudTrail コンソールを使用する方が簡単です。CloudTrail コンソールを使用して S3 データイベントを記録するように証跡を設定する方法については、AWS CloudTrail ユーザーガイドの「データイベント」を参照してください。

重要

追加の変更がイベントデータに適用されます。詳細については、「AWS CloudTrail の料金」を参照してください。

以下の手順では、Amazon S3 コンソールを使用して、CloudTrail の証跡で S3 バケットのデータイベントの記録を有効にする方法を示します。

S3 バケットでオブジェクトの CloudTrail データイベントの記録を有効にするには

  1. AWS マネジメントコンソールにサインインして Amazon S3 コンソール (https://console.aws.amazon.com/s3/) を開きます。

  2. [バケット名] リストで、バケットの名前を選択します。

  3. [プロパティ] を選択します。

  4. [AWS CloudTrail データイベント] で、[CloudTrail で設定] を選択します。

    CloudTrail コンソールで証跡を作成する方法については、AWS CloudTrail ユーザーガイドの「コンソールでの証跡の作成および更新」を参照してください。

  5. バケットのオブジェクトレベルのログ記録を無効にする場合は、CloudTrail コンソールを開き、証跡の [データイベント] からバケット名を削除する必要があります。

    注記

    CloudTrail コンソールまたは Amazon S3 コンソールを使用して、S3 バケットのデータイベントを記録するように証跡を設定すると、Amazon S3 コンソールにはバケットのオブジェクトレベルのログ記録が有効であることが示されます。

S3 バケットを作成するときにオブジェクトレベルのログ記録を有効にする方法の詳細については、「バケットの作成」を参照してください。

S3 バケットを使用した CloudTrail ログ記録の詳細については、以下のトピックを参照してください。