CloudTrail イベントについて

のイベント CloudTrail は、のアクティビティの記録です。 AWS アカウント。このアクティビティは、IAMアイデンティティによって実行されたアクション、またはによってモニタリング可能なサービスにすることができます CloudTrail。 CloudTrail イベントは、を通じて実行されたアカウントアクティビティAPIと非APIアカウントアクティビティの両方の履歴を提供します。 AWS Management Console, AWS SDKs、コマンドラインツール、その他 AWS のサービス.

CloudTrail ログファイルはパブリックAPIコールの順序付けられたスタックトレースではないため、イベントは特定の順序では表示されません。

CloudTrail イベントには 3 つのタイプがあります。

管理イベント
データイベント
Insights イベント

デフォルトでは、証跡とイベントデータストアは管理イベントをログ記録しますが、データイベントまたは Insights イベントは記録しません。

すべてのイベントタイプは CloudTrail JSONログ形式を使用します。ログには、リクエストを行った人、使用されたサービス、実行されたアクション、アクションのパラメータなど、アカウントのリソースに対するリクエストに関する情報が含まれています。イベントデータが Records の配列で囲まれています。

CloudTrail イベントレコードフィールドの詳細については、「」を参照してくださいCloudTrail レコードの内容。

管理イベント

管理イベントは、のリソースで実行される管理オペレーションに関する情報を提供します。 AWS アカウント。これらのイベントは、コントロールプレーンオペレーションとも呼ばれます。

管理イベントには、次のようなものがあります。

セキュリティの設定 (例： AWS Identity and Access Management AttachRolePolicy API オペレーション）。
デバイスの登録 (Amazon EC2CreateDefaultVpcAPIオペレーションなど）。
データルーティングのルールの設定 (Amazon EC2CreateSubnetAPIオペレーションなど）。
ログ記録の設定 (例： AWS CloudTrail CreateTrail API オペレーション）。

管理イベントには、アカウントで発生する API以外のイベントを含めることもできます。例えば、ユーザーがアカウントにサインインすると、はConsoleLoginイベントを CloudTrail ログに記録します。詳細については、「によってキャプチャされた以外のAPIイベント CloudTrail」を参照してください。

デフォルトでは、 CloudTrail 証跡と CloudTrail Lake イベントデータストアは管理イベントをログに記録します。管理イベントのログ記録の詳細については、「」を参照してください管理イベントのログ記録。

次の例は、管理イベントの単一のログレコードを示しています。このイベントでは、という名前Mary_MajorのIAMユーザーが aws cloudtrail start-logging コマンドを実行して CloudTrail StartLoggingアクションを呼び出し、という名前の証跡でログ記録プロセスを開始しましたmyTrail。


{
    "eventVersion": "1.09",
    "userIdentity": {
        "type": "IAMUser",
        "principalId": "EXAMPLE6E4XEGITWATV6R",
        "arn": "arn:aws:iam::123456789012:user/Mary_Major",
        "accountId": "123456789012",
        "accessKeyId": "AKIAIOSFODNN7EXAMPLE",
        "userName": "Mary_Major",
        "sessionContext": {
            "attributes": {
                "creationDate": "2023-07-19T21:11:57Z",
                "mfaAuthenticated": "false"
            }
        }
    },
    "eventTime": "2023-07-19T21:33:41Z",
    "eventSource": "cloudtrail.amazonaws.com",
    "eventName": "StartLogging",
    "awsRegion": "us-east-1",
    "sourceIPAddress": "192.0.2.0",
    "userAgent": "aws-cli/2.13.5 Python/3.11.4 Linux/4.14.255-314-253.539.amzn2.x86_64 exec-env/CloudShell exe/x86_64.amzn.2 prompt/off command/cloudtrail.start-logging",
    "requestParameters": {
        "name": "myTrail"
    },
    "responseElements": null,
    "requestID": "9d478fc1-4f10-490f-a26b-EXAMPLE0e932",
    "eventID": "eae87c48-d421-4626-94f5-EXAMPLEac994",
    "readOnly": false,
    "eventType": "AwsApiCall",
    "managementEvent": true,
    "recipientAccountId": "123456789012",
    "eventCategory": "Management",
    "tlsDetails": {
        "tlsVersion": "TLSv1.2",
        "cipherSuite": "ECDHE-RSA-AES128-GCM-SHA256",
        "clientProvidedHostHeader": "cloudtrail.us-east-1.amazonaws.com"
    },
    "sessionCredentialFromConsole": "true"
}

次の例では、という名前Paulo_SantosのIAMユーザーが aws cloudtrail start-event-data-store-ingestion コマンドを実行して StartEventDataStoreIngestionアクションを呼び出し、イベントデータストアの取り込みを開始します。


{
    "eventVersion": "1.09",
    "userIdentity": {
        "type": "IAMUser",
        "principalId": "EXAMPLEPHCNW5EQV7NA54",
        "arn": "arn:aws:iam::123456789012:user/Paulo_Santos",
        "accountId": "123456789012",
        "accessKeyId": "(AKIAIOSFODNN7EXAMPLE",
        "userName": "Paulo_Santos",
        "sessionContext": {
            "attributes": {
                "creationDate": "2023-07-21T21:55:30Z",
                "mfaAuthenticated": "false"
            }
        }
    },
    "eventTime": "2023-07-21T21:57:28Z",
    "eventSource": "cloudtrail.amazonaws.com",
    "eventName": "StartEventDataStoreIngestion",
    "awsRegion": "us-east-1",
    "sourceIPAddress": "192.0.2.0",
    "userAgent": "aws-cli/2.13.1 Python/3.11.4 Linux/4.14.255-314-253.539.amzn2.x86_64 exec-env/CloudShell exe/x86_64.amzn.2 prompt/off command/cloudtrail.start-event-data-store-ingestion",
    "requestParameters": {
        "eventDataStore": "arn:aws:cloudtrail:us-east-1:123456789012:eventdatastore/2a8f2138-0caa-46c8-a194-EXAMPLE87d41"
    },
    "responseElements": null,
    "requestID": "f62a3494-ba4e-49ee-8e27-EXAMPLE4253f",
    "eventID": "d97ca7e2-04fe-45b4-882d-EXAMPLEa9b2c",
    "readOnly": false,
    "eventType": "AwsApiCall",
    "managementEvent": true,
    "recipientAccountId": "123456789012",
    "eventCategory": "Management",
    "tlsDetails": {
        "tlsVersion": "TLSv1.2",
        "cipherSuite": "ECDHE-RSA-AES128-GCM-SHA256",
        "clientProvidedHostHeader": "cloudtrail.us-east-1.amazonaws.com"
    },
    "sessionCredentialFromConsole": "true"
}

データイベント

データイベントでは、リソース上またはリソース内で実行されたリソースオペレーションについての情報が得られます。これらのイベントは、データプレーンオペレーションとも呼ばれます。データイベントは、多くの場合、高ボリュームのアクティビティです。

データイベントには、次のようなものがあります。

S3 バケット内のオブジェクトに対する Amazon S3 オブジェクトレベルのAPIアクティビティ (、DeleteObject、 GetObjectPutObjectAPIオペレーションなど）。 S3
AWS Lambda 関数実行アクティビティ (InvokeAPI）。
CloudTrail PutAuditEvents 外部からのイベントをログに記録するために使用される CloudTrail Lake チャネルでのアクティビティ AWS.
トピックに対する Amazon SNSPublishおよび PublishBatchAPIオペレーション。

証跡およびイベントデータストアで使用できるデータイベントタイプは、以下の表のとおりです。[データイベントタイプ (コンソール)] 列には、コンソールで有効な選択項目が表示されます。resources.type 値列には、を使用して証跡またはイベントデータストアにそのタイプのデータイベントを含めるように指定するresources.type値が表示されます。 AWS CLI または CloudTrail APIs。

証跡では、基本イベントセレクタまたはアドバンストイベントセレクタを使用して、汎用バケット、Lambda 関数、DynamoDB テーブル (テーブルの最初の 3 行に表示) 内の Amazon S3 オブジェクトのデータイベントをログ記録できます。残りの行に表示されるデータイベントタイプをログに記録するには、高度イベントセレクタのみを使用できます。

イベントデータストアの場合、データイベントを含めるには、詳細イベントセレクタのみを使用できます。

AWS のサービス	説明	データイベントタイプ (コンソール)	resources.type 値
Amazon DynamoDB	テーブルに対する Amazon DynamoDB の項目レベルのAPIアクティビティ (、`DeleteItem`、 `PutItemUpdateItem`APIオペレーションなど）。注記ストリームが有効になっているテーブルの場合、データイベントの `resources` フィールドには `AWS::DynamoDB::Stream` と `AWS::DynamoDB::Table` の両方が含まれます。`resources.type` に `AWS::DynamoDB::Table` を指定すると、デフォルトで DynamoDB テーブルと DynamoDB ストリームイベントの両方がログ記録されます。ストリームイベントを除外するには、 `eventName`フィールドにフィルターを追加します。	DynamoDB	`AWS::DynamoDB::Table`
AWS Lambda	AWS Lambda 関数実行アクティビティ (`Invoke`API）。	Lambda	`AWS::Lambda::Function`
Amazon S3	汎用バケット内のオブジェクトに対する Amazon S3 オブジェクトレベルのAPIアクティビティ (`GetObject`、`DeleteObject`、 `PutObject`APIオペレーションなど）。	S3	`AWS::S3::Object`
AWS AppConfig	AWS AppConfig API `StartConfigurationSession`およびの呼び出しなどの設定オペレーションのアクティビティ`GetLatestConfiguration`。	AWS AppConfig	`AWS::AppConfig::Configuration`
AWS B2B データ交換	`GetTransformerJob` やへの呼び出しなどの Transformer オペレーションの B2B データ交換APIアクティビティ`StartTransformerJob`。	B2B データ交換	`AWS::B2BI::Transformer`
Amazon Bedrock	エージェントエイリアスの Amazon Bedrock APIアクティビティ。	Bedrock エージェントエイリアス	`AWS::Bedrock::AgentAlias`
Amazon Bedrock	フローエイリアスの Amazon Bedrock APIアクティビティ。	Bedrock フローエイリアス	`AWS::Bedrock::FlowAlias`
Amazon Bedrock	ガードレール上の Amazon Bedrock APIアクティビティ。	Bedrock ガードレール	`AWS::Bedrock::Guardrail`
Amazon Bedrock	ナレッジベースの Amazon Bedrock APIアクティビティ。	Bedrock ナレッジベース	`AWS::Bedrock::KnowledgeBase`
Amazon CloudFront	CloudFront API でのアクティビティ KeyValueStore.	CloudFront KeyValueStore	`AWS::CloudFront::KeyValueStore`
AWS Cloud Map	AWS Cloud Map API 名前空間でのアクティビティ。	AWS Cloud Map 名前空間	`AWS::ServiceDiscovery::Namespace`
AWS Cloud Map	AWS Cloud Map API サービスでのアクティビティ。	AWS Cloud Map サービス	`AWS::ServiceDiscovery::Service`
AWS CloudTrail	CloudTrail `PutAuditEvents` 外部からのイベントのログ記録に使用される CloudTrail Lake チャネルでのアクティビティ AWS.	CloudTrail チャンネル	`AWS::CloudTrail::Channel`
Amazon CloudWatch	メトリクスに対する Amazon CloudWatch API アクティビティ。	CloudWatch メトリクス	`AWS::CloudWatch::Metric`
Amazon CloudWatch RUM	アプリモニターでの Amazon CloudWatch RUM APIアクティビティ。	RUM アプリモニター	`AWS::RUM::AppMonitor`
Amazon CodeWhisperer	カスタマイズに対する Amazon CodeWhisperer API アクティビティ。	CodeWhisperer カスタマイズ	`AWS::CodeWhisperer::Customization`
Amazon CodeWhisperer	プロファイルでの Amazon CodeWhisperer API アクティビティ。	CodeWhisperer	`AWS::CodeWhisperer::Profile`
Amazon Cognito	Amazon Cognito ID プールでの Amazon Cognito APIアクティビティ。	Cognito アイデンティティプール	`AWS::Cognito::IdentityPool`
Amazon DynamoDB	ストリームでの Amazon DynamoDB APIアクティビティ。	DynamoDB Streams	`AWS::DynamoDB::Stream`
Amazon Elastic Block Store	Amazon Elastic Block Store (EBS）はAPIs、、`PutSnapshotBlock`、`GetSnapshotBlock`およびなどのを Amazon EBSスナップショット`ListChangedBlocks`に直接送信します。	Amazon EBS direct APIs	`AWS::EC2::Snapshot`
Amazon EMR	先書きログワークスペースでの Amazon EMRAPIアクティビティ。	EMR ログ先行書き込みワークスペース	`AWS::EMRWAL::Workspace`
Amazon FinSpace	Amazon FinSpace API 環境でのアクティビティ。	FinSpace	`AWS::FinSpace::Environment`
AWS Glue	AWS Glue API Lake Formation によって作成されたテーブルに対するアクティビティ。	Lake Formation	`AWS::Glue::Table`
Amazon GuardDuty	ディテクターの Amazon GuardDuty API アクティビティ。 https://docs.aws.amazon.com/guardduty/latest/ug/logging-using-cloudtrail.html#guardduty-data-events-in-cloudtrail	GuardDuty ディテクター	`AWS::GuardDuty::Detector`
AWS HealthImaging	AWS HealthImaging API データストアでのアクティビティ。	MedicalImaging データストア	`AWS::MedicalImaging::Datastore`
AWS IoT	AWS IoT API 証明書のアクティビティ。	IoT 証明書	`AWS::IoT::Certificate`
AWS IoT	AWS IoT API モノのアクティビティ。	IoT モノ	`AWS::IoT::Thing`
AWS IoT Greengrass Version 2	コンポーネントバージョンの Greengrass コアデバイスからの Greengrass APIアクティビティ。注記 Greengrass はアクセス拒否イベントを記録しません。	IoT Greengrass コンポーネントバージョン	`AWS::GreengrassV2::ComponentVersion`
AWS IoT Greengrass Version 2	デプロイ上の Greengrass コアデバイスからの Greengrass APIアクティビティ。注記 Greengrass はアクセス拒否イベントを記録しません。	IoT Greengrass デプロイ	`AWS::GreengrassV2::Deployment`
AWS IoT SiteWise	アセットでの IoT SiteWise API アクティビティ。 https://docs.aws.amazon.com/iot-sitewise/latest/APIReference/API_CreateAsset.html	IoT SiteWise アセット	`AWS::IoTSiteWise::Asset`
AWS IoT SiteWise	時系列での IoT SiteWise API アクティビティ。 https://docs.aws.amazon.com/iot-sitewise/latest/APIReference/API_DescribeTimeSeries.html	IoT SiteWise 時系列	`AWS::IoTSiteWise::TimeSeries`
AWS IoT TwinMaker	エンティティでの IoT TwinMaker API アクティビティ。 https://docs.aws.amazon.com/iot-twinmaker/latest/apireference/API_CreateEntity.html	IoT TwinMaker エンティティ	`AWS::IoTTwinMaker::Entity`
AWS IoT TwinMaker	ワークスペースでの IoT TwinMaker API アクティビティ。 https://docs.aws.amazon.com/iot-twinmaker/latest/apireference/API_CreateWorkspace.html	IoT TwinMaker ワークスペース	`AWS::IoTTwinMaker::Workspace`
Amazon Kendra インテリジェントランキング	再スコア実行プランの Amazon Kendra Intelligent Ranking APIアクティビティ。 https://docs.aws.amazon.com/kendra/latest/dg/cloudtrail-intelligent-ranking.html#cloud-trail-intelligent-ranking-log-entry	Kendra ランキング	`AWS::KendraRanking::ExecutionPlan`
Amazon Keyspaces (Apache Cassandra 向け)	テーブルでの Amazon Keyspaces APIアクティビティ。	Cassandra テーブル	`AWS::Cassandra::Table`
Amazon Kinesis Data Streams	ストリームでの Kinesis Data Streams APIアクティビティ。	Kinesis ストリーム	`AWS::Kinesis::Stream`
Amazon Kinesis Data Streams	ストリームコンシューマーでの Kinesis Data Streams APIアクティビティ。	Kinesis ストリームコンシューマー	`AWS::Kinesis::StreamConsumer`
Amazon Kinesis Video Streams	`GetMedia` およびの呼び出しなど、ビデオストリームでの Kinesis Video Streams APIアクティビティ`PutMedia`。	Kinesis ビデオストリーム	`AWS::KinesisVideo::Stream`
Amazon Machine Learning	ML モデルでのMachine LearningAPIアクティビティ。	機械学習 MlModel	`AWS::MachineLearning::MlModel`
Amazon Managed Blockchain	ネットワーク上の Amazon Managed Blockchain APIアクティビティ。	Managed Blockchain ネットワーク	`AWS::ManagedBlockchain::Network`
Amazon Managed Blockchain	Amazon Managed Blockchain JSON-RPC `eth_getBalance`やなどの Ethereum ノードでを呼び出します`eth_getBlockByNumber`。	Managed Blockchain	`AWS::ManagedBlockchain::Node`
Amazon Neptune Graph	Neptune グラフでのクエリ、アルゴリズム、ベクトル検索などのデータAPIアクティビティ。	Neptune Graph	`AWS::NeptuneGraph::Graph`
Amazon One Enterprise	での Amazon One Enterprise APIアクティビティUKey。	Amazon One UKey	`AWS::One::UKey`
Amazon One Enterprise	ユーザーに対する Amazon One Enterprise APIアクティビティ。	Amazon One ユーザー	`AWS::One::User`
AWS Payment Cryptography	AWS Payment Cryptography API エイリアスでのアクティビティ。	Payment Cryptography エイリアス	`AWS::PaymentCryptography::Alias`
AWS Payment Cryptography	AWS Payment Cryptography API キーに対するアクティビティ。	Payment Cryptography キー	`AWS::PaymentCryptography::Key`
AWS Private CA	AWS Private CA Connector for Active Directory APIアクティビティ。	AWS Private CA Connector for Active Directory	`AWS::PCAConnectorAD::Connector`
AWS Private CA	AWS Private CA SCEP API アクティビティ用のコネクタ。	AWS Private CA Connector for SCEP	`AWS::PCAConnectorSCEP::Connector`
Amazon Q アプリ	Amazon Q Apps のデータAPIアクティビティ。	Amazon Q アプリ	`AWS::QApps:QApp`
Amazon Q Business	アプリケーションの Amazon Q Business APIアクティビティ。	Amazon Q Business アプリケーション	`AWS::QBusiness::Application`
Amazon Q Business	データソースでの Amazon Q Business APIアクティビティ。	Amazon Q Business データソース	`AWS::QBusiness::DataSource`
Amazon Q Business	インデックスに対する Amazon Q Business APIアクティビティ。	Amazon Q Business インデックス	`AWS::QBusiness::Index`
Amazon Q Business	ウェブエクスペリエンスでの Amazon Q Business APIアクティビティ。	Amazon Q Business ウェブエクスペリエンス	`AWS::QBusiness::WebExperience`
Amazon RDS	DB クラスターでの Amazon RDSAPIアクティビティ。	RDS データ API - DB クラスター	`AWS::RDS::DBCluster`
Amazon S3	アクセスポイントでの Amazon S3 APIアクティビティ。	S3 アクセスポイント	`AWS::S3::AccessPoint`
Amazon S3	ディレクトリバケット内のオブジェクトに対する Amazon S3 オブジェクトレベルのAPIアクティビティ (、`DeleteObject`、 `GetObjectPutObject`APIオペレーションなど）。	S3 Express	`AWS::S3Express::Object`
Amazon S3	Amazon S3 Object Lambda アクセスポイントAPIアクティビティ、 `CompleteMultipartUpload`やへの呼び出しなど`GetObject`。	S3 Object Lambda	`AWS::S3ObjectLambda::AccessPoint`
Amazon S3 on Outposts	Amazon S3 on Outposts オブジェクトレベルのAPIアクティビティ。	S3 Outposts	`AWS::S3Outposts::Object`
Amazon SageMaker	エンドポイントでの Amazon SageMaker `InvokeEndpointWithResponseStream` アクティビティ。	SageMaker エンドポイント	`AWS::SageMaker::Endpoint`
Amazon SageMaker	特徴量ストアでの Amazon SageMaker API アクティビティ。	SageMaker 特徴量ストア	`AWS::SageMaker::FeatureGroup`
Amazon SageMaker	実験トライアルコンポーネントに対する Amazon SageMaker API アクティビティ。 https://docs.aws.amazon.com/sagemaker/latest/dg/experiments-monitoring.html	SageMaker メトリクス実験トライアルコンポーネント	`AWS::SageMaker::ExperimentTrialComponent`
Amazon SNS	プラットフォームエンドポイントでの Amazon SNS`Publish`APIオペレーション。	SNS プラットフォームエンドポイント	`AWS::SNS::PlatformEndpoint`
Amazon SNS	トピックに対する Amazon SNS`Publish`および `PublishBatch`APIオペレーション。	SNS トピック	`AWS::SNS::Topic`
Amazon SQS	メッセージに対する Amazon SQSAPIアクティビティ。	SQS	`AWS::SQS::Queue`
AWS Step Functions	ステートマシンでの Step Functions APIアクティビティ。	Step Functions ステートマシン	`AWS::StepFunctions::StateMachine`
AWS Supply Chain	AWS Supply Chain API インスタンスでのアクティビティ。	サプライチェーン	`AWS::SCN::Instance`
Amazon SWF	ドメインでの Amazon SWFAPIアクティビティ。	SWF ドメイン	`AWS::SWF::Domain`
AWS Systems Manager	コントロールチャネルでの Systems Manager APIアクティビティ。	Systems Manager	`AWS::SSMMessages::ControlChannel`
AWS Systems Manager	マネージドノードでの Systems Manager APIアクティビティ。	Systems Manager マネージドノード	`AWS::SSM::ManagedNode`
Amazon Timestream	データベースでの Amazon Timestream `Query`APIアクティビティ。	Timestream データベース	`AWS::Timestream::Database`
Amazon Timestream	テーブルに対する Amazon Timestream `Query`APIアクティビティ。	Timestream テーブル	`AWS::Timestream::Table`
Amazon Verified Permissions	ポリシーストアでの Amazon Verified Permissions APIアクティビティ。	Amazon Verified Permissions	`AWS::VerifiedPermissions::PolicyStore`
Amazon WorkSpaces シンクライアント	WorkSpaces デバイス上のシンクライアントAPIアクティビティ。	シンクライアントデバイス	`AWS::ThinClient::Device`
Amazon WorkSpaces シンクライアント	WorkSpaces 環境でのシンクライアントAPIアクティビティ。	シンクライアント環境	`AWS::ThinClient::Environment`
AWS X-Ray	トレースの X-Ray APIアクティビティ。	X-Ray トレース	`AWS::XRay::Trace`

証跡またはイベントデータストアの作成時、デフォルトでは、データイベントは記録されません。 CloudTrail データイベントを記録するには、アクティビティを収集するサポートされているリソースまたはリソースタイプを明示的に追加する必要があります。詳細については、「 CloudTrail コンソールを使用した証跡の作成」および「コンソールを使用してイベントのイベントデータストア CloudTrailを作成する」を参照してください。

データイベントのログ記録には追加料金が適用されます。 CloudTrail 料金については、「」を参照してください。 AWS CloudTrail 料金

次の例は、Amazon SNSPublishアクションのデータイベントの単一のログレコードを示しています。


{
   "eventVersion": "1.09",
   "userIdentity": {
        "type": "AssumedRole",
        "principalId": "EX_PRINCIPAL_ID",
        "arn": "arn:aws:iam::123456789012:user/Bob",
        "accountId": "123456789012",
        "accessKeyId": "AKIAIOSFODNN7EXAMPLE",
        "sessionContext": {
        "sessionIssuer": {
            "type": "Role",
            "principalId": "AKIAIOSFODNN7EXAMPLE",
            "arn": "arn:aws:iam::123456789012:role/Admin",
            "accountId": "123456789012",
            "userName": "ExampleUser"
            },
            "attributes": {
                "creationDate": "2023-08-21T16:44:05Z",
                "mfaAuthenticated": "false"
            }
        }
    },
    "eventTime": "2023-08-21T16:48:37Z",
    "eventSource": "sns.amazonaws.com",
    "eventName": "Publish",
    "awsRegion": "us-east-1",
    "sourceIPAddress": "192.0.2.0",
    "userAgent": "aws-cli/1.29.16 md/Botocore#1.31.16 ua/2.0 os/linux#5.4.250-173.369.amzn2int.x86_64 md/arch#x86_64 lang/python#3.8.17 md/pyimpl#CPython cfg/retry-mode#legacy botocore/1.31.16",
    "requestParameters": {
        "topicArn": "arn:aws:sns:us-east-1:123456789012:ExampleSNSTopic",
        "message": "HIDDEN_DUE_TO_SECURITY_REASONS",
        "subject": "HIDDEN_DUE_TO_SECURITY_REASONS",
        "messageStructure": "json",
        "messageAttributes": "HIDDEN_DUE_TO_SECURITY_REASONS"
    },
    "responseElements": {
        "messageId": "0787cd1e-d92b-521c-a8b4-90434e8ef840"
    },
    "requestID": "0a8ab208-11bf-5e01-bd2d-ef55861b545d",
    "eventID": "bb3496d4-5252-4660-9c28-3c6aebdb21c0",
    "readOnly": false,
    "resources": [{
        "accountId": "123456789012",
        "type": "AWS::SNS::Topic",
                "ARN": "arn:aws:sns:us-east-1:123456789012:ExampleSNSTopic"
    }],
    "eventType": "AwsApiCall",
    "managementEvent": false,
    "recipientAccountId": "123456789012",
    "eventCategory": "Data",
    "tlsDetails": {
        "tlsVersion": "TLSv1.2",
        "cipherSuite": "ECDHE-RSA-AES128-GCM-SHA256",
        "clientProvidedHostHeader": "sns.us-east-1.amazonaws.com"
    }
}

次の例は、Amazon Cognito GetCredentialsForIdentityアクションのデータイベントの単一のログレコードを示しています。


{
    "eventVersion": "1.08",
    "userIdentity": {
        "type": "Unknown"
    },
    "eventTime": "2023-01-19T16:55:08Z",
    "eventSource": "cognito-identity.amazonaws.com",
    "eventName": "GetCredentialsForIdentity",
    "awsRegion": "us-east-1",
    "sourceIPAddress": "192.0.2.4",
    "userAgent": "aws-cli/2.7.25 Python/3.9.11 Darwin/21.6.0 exe/x86_64 prompt/off command/cognito-identity.get-credentials-for-identity",
    "requestParameters": {
        "logins": {
            "cognito-idp.us-east-1.amazonaws.com/us-east-1_aaaaaaaaa": "HIDDEN_DUE_TO_SECURITY_REASONS"
        },
        "identityId": "us-east-1:1cf667a2-49a6-454b-9e45-23199EXAMPLE"
    },
    "responseElements": {
        "credentials": {
            "accessKeyId": "ASIAIOSFODNN7EXAMPLE",
            "sessionToken": "aAaAaAaAaAaAab1111111111EXAMPLE",
            "expiration": "Jan 19, 2023 5:55:08 PM"
        },
        "identityId": "us-east-1:1cf667a2-49a6-454b-9e45-23199EXAMPLE"
    },
    "requestID": "659dfc23-7c4e-4e7c-858a-1abce884d645",
    "eventID": "6ad1c766-5a41-4b28-b5ca-e223ccb00f0d",
    "readOnly": false,
    "resources": [{
        "accountId": "111122223333",
        "type": "AWS::Cognito::IdentityPool",
        "ARN": "arn:aws:cognito-identity:us-east-1:111122223333:identitypool/us-east-1:2dg778b3-50b7-565c-0f56-34200EXAMPLE"
    }],
    "eventType": "AwsApiCall",
    "managementEvent": false,
    "recipientAccountId": "111122223333",
    "eventCategory": "Data"
}

Insights イベント

CloudTrail Insights イベントは、の異常なAPI通話率またはエラー率のアクティビティをキャプチャします。 AWS CloudTrail 管理アクティビティを分析してアカウントを作成します。Insights イベントは、関連する、エラーコードAPI、インシデント時間、統計などの関連情報を提供し、異常なアクティビティの理解と対処に役立ちます。 CloudTrail 証跡またはイベントデータストアでキャプチャされた他のタイプのイベントとは異なり、Insights イベントは、がアカウントの一般的なAPI使用パターンと大きく異なるアカウントの使用またはエラー率のログ記録の変更 CloudTrail を検出した場合にのみログに記録されます。

Insights イベントを生成する可能性のあるアクティビティの例を次に示します。

通常、アカウントは 1 分あたり 20 件以下の Amazon S3 deleteBucketAPI呼び出しをログに記録しますが、アカウントは 1 分あたり平均 100 件のdeleteBucketAPI呼び出しをログに記録し始めます。異常なアクティビティの開始時に Insights イベントが記録され、異常なアクティビティの終了を示すために別の Insights イベントが記録されます。
通常、アカウントは Amazon への呼び出しを 1 分あたり 20 EC2 AuthorizeSecurityGroupIngress 回ログに記録しますがAPI、アカウントはへの呼び出しを 0 回ログに記録し始めますAuthorizeSecurityGroupIngress。異常なアクティビティの開始時に Insights イベントが記録され、10 分後、以上にアクティビティが終了すると、異常なアクティビティの終了を示すために別の Insights イベントが記録されます。
通常、アカウントはの 7 日間に 1 つ未満のAccessDeniedExceptionエラーをログに記録します。 AWS Identity and Access Management API、DeleteInstanceProfile。アカウントは、DeleteInstanceProfileAPI通話に対して 1 分あたり平均 12 AccessDeniedException エラーのログ記録を開始します。異常なエラーレートのアクティビティが発生した時に Insights イベントが記録されますが、この異常アクティビティの終了を示すために別の Insights イベントも記録されます。

これらの例は、説明のみを目的としています。結果はユースケースによって異なる場合があります。

CloudTrail Insights イベントをログに記録するには、新規または既存の証跡またはイベントデータストアで Insights イベントを明示的に有効にする必要があります。証跡の作成方法の詳細については、「 CloudTrail コンソールを使用した証跡の作成」を参照してください。イベントデータストアの作成方法の詳細については、「コンソールを使用して Insights イベントのイベントデータストアを作成する」を参照してください。

Insights イベントには追加料金が適用されます。証跡とイベントデータストアの両方で Insights を有効にすると、それぞれ個別に課金されます。詳細については、「」を参照してくださいAWS CloudTrail 料金

CloudTrail Insights で異常なアクティビティを表示するためにログに記録されるイベントは、開始イベントと終了イベントの 2 つです。次の例は、Application Auto Scaling が異常な回数呼び出APICompleteLifecycleActionされたときに発生した開始 Insights イベントの 1 つのログレコードを示しています。インサイトイベントの場合、eventCategory の値は Insight です。insightDetails ブロックは、イベントの状態、ソース、名前、インサイトのタイプ、および統計情報および属性を含むコンテキストを識別します。insightDetails ブロックの詳細については、「CloudTrail Insights insightDetails要素」を参照してください。


{
        "eventVersion": "1.08",
        "eventTime": "2023-07-10T01:42:00Z",
        "awsRegion": "us-east-1",
        "eventID": "55ed45c5-0b0c-4228-9fe5-EXAMPLEc3f4d",
        "eventType": "AwsCloudTrailInsight",
        "recipientAccountId": "123456789012",
        "sharedEventID": "979c82fe-14d4-4e4c-aa01-EXAMPLE3acee",
        "insightDetails": {
            "state": "Start",
            "eventSource": "autoscaling.amazonaws.com",
            "eventName": "CompleteLifecycleAction",
            "insightType": "ApiCallRateInsight",
            "insightContext": {
                "statistics": {
                    "baseline": {
                        "average": 9.82222E-5
                    },
                    "insight": {
                        "average": 5.0
                    },
                    "insightDuration": 1,
                    "baselineDuration": 10181
                },
                "attributions": [{
                    "attribute": "userIdentityArn",
                    "insight": [{
                        "value": "arn:aws:sts::123456789012:assumed-role/CodeDeployRole1",
                        "average": 5.0
                    }, {
                        "value": "arn:aws:sts::123456789012:assumed-role/CodeDeployRole2",
                        "average": 5.0
                    }, {
                        "value": "arn:aws:sts::123456789012:assumed-role/CodeDeployRole3",
                        "average": 5.0
                    }],
                    "baseline": [{
                        "value": "arn:aws:sts::123456789012:assumed-role/CodeDeployRole1",
                        "average": 9.82222E-5
                    }]
                }, {
                    "attribute": "userAgent",
                    "insight": [{
                        "value": "codedeploy.amazonaws.com",
                        "average": 5.0
                    }],
                    "baseline": [{
                        "value": "codedeploy.amazonaws.com",
                        "average": 9.82222E-5
                    }]
                }, {
                    "attribute": "errorCode",
                    "insight": [{
                        "value": "null",
                        "average": 5.0
                    }],
                    "baseline": [{
                        "value": "null",
                        "average": 9.82222E-5
                    }]
                }]
            }
        },
        "eventCategory": "Insight"
    }

ブラウザで JavaScript が無効になっているか、使用できません。

AWS ドキュメントを使用するには、JavaScript を有効にする必要があります。手順については、使用するブラウザのヘルプページを参照してください。

ドキュメントの表記規則

サービスにリンクされたチャネル

管理イベント

CloudTrail イベントについて

管理イベント

データイベント

注記

注記

注記

Insights イベント