イベントデータストアへ証跡イベントをコピーします

証跡イベントを CloudTrail Lake イベントデータストアにコピーして、証跡に記録されたイベントの point-in-time スナップショットを作成できます。証跡イベントをコピーしても、イベントをログに記録する証跡の機能が損なわれることはなく、証跡が変更されることもありません。

証跡イベントをイベント用に設定された既存のイベントデータストアにコピーすることも CloudTrail 、新しい CloudTrail イベントデータストアを作成して、イベントデータストアの作成の一部として証跡イベントのコピーオプションを選択することもできます。証跡イベントを既存のイベントデータストアにコピーする方法の詳細については、「コンソールを使用して証跡イベントを既存のイベントデータストアにコピーする」を参照してください。新しいイベントデータストアの作成方法に関する詳細は、「コンソールを使用してイベントのイベントデータストア CloudTrailを作成する」を参照してください。

証跡イベントを組織のイベントデータストアにコピーするには、組織の管理アカウントを使用する必要があります。組織の委任された管理者アカウントを使用して、証跡イベントをコピーすることはできません。

CloudTrail Lake イベントデータストアには料金が発生します。イベントデータストアを作成する際に、イベントデータストアに使用する料金オプションを選択します。料金オプションによって、イベントの取り込みと保存にかかる料金、および、そのイベントデータストアのデフォルトと最長の保持期間が決まります。Lake CloudTrail の料金設定と管理の詳細については、AWS CloudTrail 「の料金」および「」を参照してください CloudTrail Lake コストの管理。

Lake イベントデータストアに証跡 CloudTrail イベントをコピーすると、イベントデータストアが取り込む非圧縮データの量に基づいて料金が発生します。

証跡イベントを CloudTrail Lake にコピーすると、は gzip (圧縮) 形式で保存されているログを CloudTrail 解凍し、ログに含まれるイベントをイベントデータストアにコピーします。非圧縮データのサイズは、実際の S3 ストレージサイズよりも大きくなる可能性があります。圧縮されていないデータのサイズを概算するには、S3 バケット内のログのサイズに 10 を掛けます。

コピーするイベントの時間範囲を短くすることで、コストを削減できます。コピーしたイベントのクエリにイベントデータストアのみを使用する予定の場合は、イベントの取り込みを無効にして、今後のイベントで料金が発生しないようにすることができます。詳細については、「AWS CloudTrail 料金表」と「 CloudTrail Lake コストの管理」を参照してください。

シナリオ

次の表は、証跡イベントのコピーに関する一般的なシナリオと、コンソールを使用して各シナリオを実行する方法について示したものです。

シナリオ	どうすればコンソールでこれを実行できますか?
新しいイベントを取り込まずに CloudTrail Lake の履歴証跡イベントを分析してクエリする	新しいイベントデータストアを作成し、イベントデータストアを作成する一環として [証跡イベントをコピー] を選択します。イベントデータストアを作成する際には、[イベントを取り込む] (手順のステップ 15) の選択を解除し、イベントデータストアが確実に証跡の過去のイベントのみを含み、未来のイベントは含まれないようにします。
既存の証跡を CloudTrail Lake イベントデータストアに置き換える	証跡と同じイベントセレクターを持つイベントデータストアを作成し、イベントデータストアの対象範囲が証跡と同じであることを確認します。ソース証跡と送信先イベントデータストア間でイベントが重複しないようにするには、イベントデータストアの作成より前の、コピーされたイベントの日付範囲を選択します。イベントデータストアを作成したら、証跡のログ記録をオフにします。そうすれば、追加料金の発生を防げます。

シナリオ

どうすればコンソールでこれを実行できますか?

新しいイベントを取り込まずに CloudTrail Lake の履歴証跡イベントを分析してクエリする

新しいイベントデータストアを作成し、イベントデータストアを作成する一環として [証跡イベントをコピー] を選択します。イベントデータストアを作成する際には、[イベントを取り込む] (手順のステップ 15) の選択を解除し、イベントデータストアが確実に証跡の過去のイベントのみを含み、未来のイベントは含まれないようにします。

既存の証跡を CloudTrail Lake イベントデータストアに置き換える

証跡と同じイベントセレクターを持つイベントデータストアを作成し、イベントデータストアの対象範囲が証跡と同じであることを確認します。

ソース証跡と送信先イベントデータストア間でイベントが重複しないようにするには、イベントデータストアの作成より前の、コピーされたイベントの日付範囲を選択します。

イベントデータストアを作成したら、証跡のログ記録をオフにします。そうすれば、追加料金の発生を防げます。

トピック

証跡イベントのコピーに関する留意事項

証跡イベントをコピーする場合は、以下の要素を考慮してください。

証跡イベントをコピーする場合、 CloudTrail は S3 GetObjectAPIオペレーションを使用して、ソース S3 バケット内の証跡イベントを取得します。S3 Glacier Flexible Retrieval、S3 Glacier Deep Archive、S3 Outposts、S3 Intelligent-Tiering Deep Archive 階層など、一部の S3 でアーカイブされたストレージクラスには、GetObject を使用してアクセスできません。これらのアーカイブ済みストレージクラスに保存されている証跡イベントをコピーするには、まず S3 RestoreObject オペレーションでコピーを復元する必要があります。アーカイブされたオブジェクトの復元の詳細については、「Amazon S3 ユーザーガイド」の「アーカイブされたオブジェクトの復元」を参照してください。
証跡イベントをイベントデータストアにコピーすると、は、送信先イベントデータストアのイベントタイプ、高度なイベントセレクタ、またはの設定に関係なく、すべての証跡イベント CloudTrail をコピーします AWS リージョン。
証跡イベントを既存のイベントデータストアにコピーする前に、そのイベントデータストアの料金設定オプションと保持期間が、ご自身のユースケースについて適切に設定されていることを確認してください。
- 料金オプション: 料金オプションによって、イベントの取り込みと保存にかかるコストが決まります。料金オプションの詳細については、「AWS CloudTrail 料金表」および「イベントデータストアの料金オプション」を参照してください。
- 保持期間： 保持期間は、イベントデータがイベントデータストアに保持される期間を決定します。は、イベントデータストアの保持期間eventTime内のを持つ証跡イベント CloudTrail のみをコピーします。適切な保持期間を決定するには、コピーする最も古いイベントの合計を日数で、イベントデータストアにイベントを保持する日数 (保持期間 = oldest-event-in-days + number-days-to-retain）。例えば、コピーする最も古いイベントが 45 日経過していて、イベントデータストアにさらに 45 日間イベントを保持する場合は、保持期間を 90 日間に設定します。
調査のため証跡イベントをイベントデータストアにコピーしており、それ以上のイベントを取り込む必要がない場合は、イベントデータストアへの取り込みを停止できます。イベントデータストアを作成する際に、[イベントを取り込む] オプション (手順のステップ 15) の選択を解除し、イベントデータストアは確実に証跡の過去のイベントのみを含み、未来のイベントは含まれないようにします。
証跡イベントをコピーする前に、ソース S3 バケットにアタッチされているアクセスコントロールリスト (ACLs) をすべて無効にし、宛先イベントデータストアの S3 バケットポリシーを更新します。S3 バケットとポリシーの更新の詳細については、「証跡イベントのコピー用の Amazon S3 バケットポリシー」を参照してください。の無効化の詳細についてはACLs、「オブジェクトの所有権の制御」と「バケットの無効化ACLs」を参照してください。
CloudTrail は、ソース S3 バケットにある Gzip 圧縮ログファイルからのみ証跡イベントをコピーします。 CloudTrail は、非圧縮ログファイル、または Gzip 以外の形式で圧縮されたログファイルから証跡イベントをコピーしません。
ソース証跡と送信先イベントデータストア間でイベントが重複しないようにするには、イベントデータストアの作成よりも前の、コピーされたイベントの時間範囲を選択します。
デフォルトでは、は S3 バケットのCloudTrailプレフィックスとプレフィックス内のCloudTrailプレフィックスに含まれる CloudTrail イベント CloudTrail のみをコピーし、他の AWS サービスのプレフィックスはチェックしません。別のプレフィックスに含まれる CloudTrail イベントをコピーする場合は、証跡イベントをコピーするときにプレフィックスを選択する必要があります。
証跡イベントを組織のイベントデータストアにコピーするには、組織の管理アカウントを使用する必要があります。委任された管理者アカウントを使用して、組織のイベントデータストアに証跡イベントをコピーすることはできません。

証跡イベントのコピーに必要な許可

証跡イベントをコピーする前に、IAMロールに必要なすべてのアクセス許可があることを確認してください。証跡イベントをコピーするために既存のIAMロールを選択した場合のみ、IAMロールのアクセス許可を更新する必要があります。新しいIAMロールを作成することを選択した場合、はロールに必要なすべてのアクセス許可 CloudTrail を提供します。

ソース S3 バケットがデータ暗号化にKMSキーを使用している場合は、KMSキーポリシーでバケット内のデータを復号 CloudTrail 化できることを確認してください。ソース S3 バケットが複数のKMSキーを使用する場合は、がバケット内のデータを復 CloudTrail 号できるように、各キーのポリシーを更新する必要があります。

IAM 証跡イベントをコピーするためのアクセス許可

証跡イベントをコピーする場合、新しいIAMロールを作成するか、既存のIAMロールを使用するかを選択できます。新しいIAMロールを選択すると、は必要なアクセス許可を持つ IAM ロール CloudTrail を作成し、ユーザー側でそれ以上のアクションは必要ありません。

既存のロールを選択した場合は、IAMロールのポリシーでがソース S3 バケットから証跡イベントをコピー CloudTrail できることを確認します。このセクションでは、必要なIAMロールのアクセス許可と信頼ポリシーの例を示します。

次の例は、がソース S3 バケットから証跡イベントをコピー CloudTrail できるようにするアクセス許可ポリシーを示しています。置換 amzn-s3-demo-bucket, myAccountID, region, prefix および eventDataStoreId 設定に適切な値を指定します。- myAccountID は CloudTrail Lake に使用される AWS アカウント ID であり、S3 バケットの AWS アカウント ID とは異なる場合があります。

置換 key-region, keyAccountID および keyID ソース S3 バケットの暗号化に使用されるKMSキーの値を指定します。ソース S3 バケットが暗号化にKMSキーを使用しない場合は、 AWSCloudTrailImportKeyAccessステートメントを省略できます。


{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AWSCloudTrailImportBucketAccess",
      "Effect": "Allow",
      "Action": ["s3:ListBucket", "s3:GetBucketAcl"],
      "Resource": [
        "arn:aws:s3:::amzn-s3-demo-bucket"
      ],
      "Condition": {
        "StringEquals": {
          "aws:SourceAccount": "myAccountID",
          "aws:SourceArn": "arn:aws:cloudtrail:region:myAccountID:eventdataStore/eventDataStoreId"
         }
       }
    },
    {
      "Sid": "AWSCloudTrailImportObjectAccess",
      "Effect": "Allow",
      "Action": ["s3:GetObject"],
      "Resource": [
        "arn:aws:s3:::amzn-s3-demo-bucket/prefix",
        "arn:aws:s3:::amzn-s3-demo-bucket/prefix/*"
      ],
      "Condition": {
        "StringEquals": {
          "aws:SourceAccount": "myAccountID",
          "aws:SourceArn": "arn:aws:cloudtrail:region:myAccountID:eventdataStore/eventDataStoreId"
         }
       }
    },
    {
      "Sid": "AWSCloudTrailImportKeyAccess",
      "Effect": "Allow",
      "Action": ["kms:GenerateDataKey","kms:Decrypt"],
      "Resource": [
        "arn:aws:kms:key-region:keyAccountID:key/keyID"
      ]
    }
  ]
}

次の例では、が IAMロールを引き受け CloudTrail てソース S3 バケットから証跡イベントをコピーできるようにするIAM信頼ポリシーを示します。置換 myAccountID, region および eventDataStoreArn 設定に適切な値を指定します。- myAccountID は CloudTrail Lake に使用される AWS アカウント ID であり、S3 バケットの AWS アカウント ID とは異なる場合があります。


{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "cloudtrail.amazonaws.com"
      },
      "Action": "sts:AssumeRole",
      "Condition": {
        "StringEquals": {
          "aws:SourceAccount": "myAccountID",
          "aws:SourceArn": "arn:aws:cloudtrail:region:myAccountID:eventdataStore/eventDataStoreId"
        }
      }
    }
  ]
}

証跡イベントのコピー用の Amazon S3 バケットポリシー

デフォルトでは、Amazon S3 バケットとオブジェクトはプライベートです。リソース所有者 (バケットを作成した AWS アカウント) のみが、バケットとそれに含まれるオブジェクトにアクセスできます。リソース所有者は、アクセスポリシーを記述することで他のリソースおよびユーザーにアクセス権限を付与することができます。

証跡イベントをコピーする前に、S3 バケットポリシーを更新して、 CloudTrail がソース S3 バケットから証跡イベントをコピーできるようにする必要があります。

S3 バケットポリシーに次のステートメントを追加して、これらのアクセス許可を付与できます。置換 roleArn また、amzn-s3-demo-bucket 設定に適切な値を指定します。


{
  "Sid": "AWSCloudTrailImportBucketAccess",
  "Effect": "Allow",
  "Action": [
    "s3:ListBucket",
    "s3:GetBucketAcl",
    "s3:GetObject"
  ],
  "Principal": {
    "AWS": "roleArn"
  },
  "Resource": [
    "arn:aws:s3:::amzn-s3-demo-bucket",
    "arn:aws:s3:::amzn-s3-demo-bucket/*"
  ]
},

KMS ソース S3 バケット内のデータを復号するためのキーポリシー

ソース S3 バケットがデータ暗号化に KMSキーを使用している場合は、KMSキーポリシー CloudTrail が kms:Decryptおよびを指定し、 SSEKMS暗号化を有効にして S3 バケットから証跡イベントをコピーするために必要なkms:GenerateDataKeyアクセス許可があることを確認します。ソース S3 バケットで複数のKMSキーを使用する場合は、各キーのポリシーを更新する必要があります。KMS キーポリシーを更新すると CloudTrail 、はソース S3 バケット内のデータを復号し、検証チェックを実行してイベントが標準に準拠 CloudTrailしていることを確認してから、 CloudTrail Lake イベントデータストアにイベントをコピーできます。

次の例は、がソース S3 バケット内のデータを復号化できるようにする CloudTrail KMSキーポリシーを示しています。置換 roleArn, amzn-s3-demo-bucket, myAccountID, region および eventDataStoreId 設定に適切な値を指定します。- myAccountID は CloudTrail Lake に使用される AWS アカウント ID であり、S3 バケットの AWS アカウント ID とは異なる場合があります。


{
  "Sid": "AWSCloudTrailImportDecrypt",
  "Effect": "Allow",
  "Action": [
          "kms:Decrypt",
          "kms:GenerateDataKey"
  ],
  "Principal": {
    "AWS": "roleArn"
  },
  "Resource": "*",
  "Condition": {
    "StringLike": {
      "kms:EncryptionContext:aws:s3:arn": "arn:aws:s3:::amzn-s3-demo-bucket/*"
    },
    "StringEquals": {
      "aws:SourceAccount": "myAccountID",
      "aws:SourceArn": "arn:aws:cloudtrail:region:myAccountID:eventdataStore/eventDataStoreId"
    }
  }
}

ブラウザで JavaScript が無効になっているか、使用できません。

AWS ドキュメントを使用するには、JavaScript を有効にする必要があります。手順については、使用するブラウザのヘルプページを参照してください。

ドキュメントの表記規則

イベントデータストアのライフサイクルを管理する

既存のイベントデータストアに証跡イベントをコピーします

イベントデータストアへ証跡イベントをコピーします

トピック

証跡イベントのコピーに関する留意事項

証跡イベントのコピーに必要な許可

トピック

IAM 証跡イベントをコピーするための アクセス許可

証跡イベントのコピー用の Amazon S3 バケットポリシー

KMS ソース S3 バケット内のデータを復号するための キーポリシー

IAM 証跡イベントをコピーするためのアクセス許可

KMS ソース S3 バケット内のデータを復号するためのキーポリシー