データイベントの集約

データイベントでは、リソース上またはリソース内で実行されたリソースオペレーションについての情報が得られます。これらのイベントは、データプレーンオペレーションとも呼ばれます。データイベントは、多くの場合、高ボリュームのアクティビティです。

データイベントの集約を有効にすると、大量の個々のイベントを処理することなく、大量のデータアクセスパターンを効率的にモニタリングできます。この機能により、データイベントが 5 分の要約に自動的に統合され、アクセス頻度、エラー率、最もよく使用されるアクションなどの主要な傾向が表示されます。例えば、数千の個々の S3 バケットアクセスイベントを処理して使用パターンを理解する代わりに、トップユーザーとアクションを示す統合概要を受け取ります。

新しい証跡を作成するとき、またはデータイベントを収集する既存の証跡を更新するときに、データイベントの集約を有効にできます。3 つのout-of-the-boxテンプレートの 1 つまたはすべてを選択して、データイベントを集約できます。

• API アクティビティ。API コールに基づいてデータイベントの概要を 5 分取得します。これを使用して、頻度、発信者、ソースなど、API の使用パターンを理解します。

• リソースのアクティビティパターンを取得するためのAWSリソースアクセス。これを使用して、AWSリソースへのアクセス方法、5 分間のウィンドウでアクセスされる回数、リソースにアクセスするユーザー、実行されるアクションを理解します。

• ユーザー アカウントで API コールを行う IAM プリンシパルに基づいてアクティビティパターンを取得するアクション。

コンソールを使用してデータイベントの集計を有効にする

証跡の集約を有効にするには、証跡を作成または更新し、証跡のイベントをログに記録するようにデータイベントを設定するときに、まずデータイベントのログ記録を選択します。次に、イベント集約の設定ステップで、以下のスクリーンショットに示すように、集約テンプレートドロップダウンから API アクティビティやリソースアクセスなどのテンプレートを選択できます。

を使用してデータイベントの集計を有効にするAWS CLI

を使用してイベントを集約するように証跡を設定できますAWS CLI。

証跡がデータイベントを集約しているかどうかを確認するには、 get-event-configurations コマンドを実行します。

aws cloudtrail get-event-configuration --region us-east-1 --trail-name TrailName

コマンドは、証跡の集約設定を返します。

イベント集約を有効にする前に、証跡を作成し、その中にデータイベントを設定する必要があります。

証跡でイベント集約を有効にするには、以下のステップに従います。証跡は、 API_ACTIVITYおよび 集約テンプレートに基づいてイベントをRESOURCE_ACCESS集約します。

aws cloudtrail put-event-configuration --region us-east-1 --trail TrailName \
--aggregation-configurations \
'[
    {
        "EventCategory": "Data",
        "Templates":
        [
            "API_ACTIVITY",
            "RESOURCE_ACCESS"
        ]
    }
]'

例: API_ACTIVITY 集計イベント

テンプレートの集計イベントの例を次に示しますAPI_ACTIVITY。

{
    "eventVersion": "1.0",
    "accountId": "111122223333",
    "eventId": "62759c1a-6248-48e1-a6b3-d5fb7e6c4bc0",
    "eventCategory": "Aggregated",
    "eventType": "AwsAggregatedEvent",
    "awsRegion": "us-west-2",
    "eventSource": "s3.amazonaws.com",
    "timeWindow":
    {
        "windowStart": "2025-11-17T19:20:00Z",
        "windowEnd": "2025-11-17T19:25:00Z",
        "windowSize": "PT5M"
    },
    "summary":
    {
        "primaryDimension":
        {
            "dimension": "eventName",
            "statistics":
            [
                {
                    "name": "PutObject",
                    "value": 1000
                }
            ],
            "aggregationType": "Count"
        },
        "details":
        [
            {
                "dimension": "resourceARN",
                "statistics":
                [
                    {
                        "name": "arn:aws:s3:::bucket-1",
                        "value": 800
                    },
                    {
                        "name": "arn:aws:s3:::bucket-2",
                        "value": 150
                    },
                    {
                        "name": "arn:aws:s3:::bucket-3",
                        "value": 50
                    }
                ],
                "aggregationType": "Count"
            }
        ]
    }
}

例: RESOURCE_ACCESS 集計イベント

テンプレートの集計イベントの例を次に示しますRESOURCE_ACCESS。

{
    "eventVersion": "1.0",
    "accountId": "111122223333",
    "eventId": "2ed87efa-45c1-412d-bc38-7e0879faa6df",
    "eventCategory": "Aggregated",
    "eventType": "AwsAggregatedEvent",
    "awsRegion": "us-west-2",
    "eventSource": "s3.amazonaws.com",
    "timeWindow":
    {
        "windowStart": "2025-11-17T19:20:00Z",
        "windowEnd": "2025-11-17T19:25:00Z",
        "windowSize": "PT5M"
    },
    "summary":
    {
        "primaryDimension":
        {
            "dimension": "resourceARN",
            "statistics":
            [
                {
                    "name": "arn:aws:s3:::bucket-1",
                    "value": 800
                }
            ],
            "aggregationType": "Count"
        },
        "details":
        [
            {
                "dimension": "eventName",
                "statistics":
                [
                    {
                        "name": "PutObject",
                        "value": 800
                    }
                ],
                "aggregationType": "Count"
            }
        ]
    }
}