翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。
CloudTrail イベントの CloudWatch アラームの作成: 例
このトピックでは、 CloudTrail イベントのアラームを設定する方法と例について説明します。
トピック
前提条件
このトピックの例を使用する前に、次のことを行う必要があります。
-
コンソールまたは を使用して証跡を作成しますCLI。
-
ロググループを作成します。ロググループは、証跡の作成の一部として実行できます。証跡の作成方法の詳細については、「 CloudTrail コンソールを使用した証跡の作成」を参照してください。
-
指定したロググループにCloudWatch ログログストリームを作成し、そのログストリームに CloudTrail イベントを配信するアクセス許可を付与する IAMロールを指定または作成 CloudTrail します。これは、デフォルト
CloudTrail_CloudWatchLogs_Role
によって行われます。
詳細については、「 CloudWatch ログへのイベントの送信」を参照してください。このセクションの例は、Amazon CloudWatch Logs コンソールで実行されます。メトリクスフィルターとアラームの作成方法の詳細については、「Amazon ユーザーガイド」の「フィルターを使用したログイベントからのメトリクスの作成」および「Amazon CloudWatch アラームの使用 CloudWatch 」を参照してください。
メトリックスフィルタを作成し、アラームを作成する
アラームを作成するには、まずメトリックスフィルタを作成してから、そのフィルタに基づいてアラームを設定する必要があります。すべての例の手順が示されます。メトリクスフィルターの構文と CloudTrail ログイベントのパターンの詳細については、「Amazon Logs ユーザーガイド」の「フィルターとパターンの構文」の JSON関連セクションを参照してください。 CloudWatch
例 : セキュリティグループの設定の変更
セキュリティグループで設定変更が発生したときにトリガーされる Amazon CloudWatch アラームを作成するには、次の手順に従います。
メトリックフィルタを作成する
で CloudWatch コンソールを開きますhttps://console.aws.amazon.com/cloudwatch/
。 -
ナビゲーションペインで、[Logs] (ログ)、[Log groups] (ロググループ) の順に選択します。
-
ロググループのリストで、 証跡のために作成したロググループを選択します。
-
[メトリクスフィルター] または [アクション] メニューから [メトリクスフィルターの作成] を選択します。
-
[パターンを定義] ページの [フィルターパターンの作成] で、[フィルターパターン] に以下の値を入力します。
{ ($.eventName = AuthorizeSecurityGroupIngress) || ($.eventName = AuthorizeSecurityGroupEgress) || ($.eventName = RevokeSecurityGroupIngress) || ($.eventName = RevokeSecurityGroupEgress) || ($.eventName = CreateSecurityGroup) || ($.eventName = DeleteSecurityGroup) }
-
[テストパターン] のデフォルト値はそのままにしておきます。[次へ] をクリックします。
-
[メトリクスの割り当て] ページの [フィルター名]に「
SecurityGroupEvents
」と入力します。 -
[メトリクスの詳細] ページで、[新しく作成する] をオンにして [メトリクス名前空間] に「
CloudTrailMetrics
」と入手します。 -
[メトリクス名] に「
SecurityGroupEventCount
」と入力します。 -
[メトリクス値] に「
1
」と入力します。 -
[Default value] は空白のままにします。
-
[次へ] をクリックします。
-
[Review and create] ページで選択内容を確認します。[Create metric filter] を選択してフィルターを作成するか、[編集] を選択して戻って値を変更します。
アラームの作成
メトリクスフィルターを作成すると、 CloudTrail 証跡 CloudWatch ロググループのロググループの詳細ページが開きます。アラームを作成するには、次の手順を実行します。
-
[メトリクスフィルター] タブで、メトリックフィルタを作成する で作成したメトリクスフィルターを見つけます。メトリクスフィルターのチェックボックスをオンにします。[メトリクスフィルター] バーで、[アラームの作成] を選択します。
-
[メトリクスと条件の指定] で、以下を入力します。
-
[グラフ] には、アラームを作成したときに設定した他の設定に基づいてラインが
1
で設定されています。 -
[メトリクス名] は、現在のメトリクス名、
SecurityGroupEventCount
のままにしておきます。 -
[Statistic] は、デフォルト値、
Sum
のままにしておきます。 -
[Period] は、デフォルト値、
5 minutes
のままにしておきます。 -
[条件] セクションの [しきい値のタイプ] で、[静的] を選択します。
-
いつでも
metric_name
は で、Greater/Equal を選択します。 -
しきい値に「
1
」と入力します。 -
[Additional configuration] は、デフォルト値のままにしておきます。[次へ] をクリックします。
-
-
「アクションの設定」ページで「通知」を選択し、「アラーム」を選択します。これは、5 分間に 1 つの変更イベントのしきい値を超え、アラーム状態SecurityGroupEventCountになったときにアクションが実行されることを示します。
-
次のSNSトピックに通知を送信する で、新しいトピックの作成 を選択します。
-
新しい Amazon SNSトピックの名前
SecurityGroupChanges_CloudWatch_Alarms_Topic
として を入力します。 -
[通知を受け取る E メールエンドポイント] に、このアラームが発生した場合に通知を受信するユーザーの E メールアドレスを入力します。E メールアドレスはカンマで区切ります。
各 E メール受信者には、Amazon SNSトピックにサブスクライブすることを確認する E メールが送信されます。
-
[Create topic] (トピックの作成) を選択します。
-
-
この例では、他のアクションタイプはスキップします。[次へ] をクリックします。
-
[Add name and description] ページで、アラームのフレンドリ名と説明を入力します。この例では、名前には「
Security group configuration changes
」、説明には「Raises alarms if security group configuration changes occur
」を入力します。[次へ] をクリックします。 -
[Review and create] ページで選択内容を確認します。[] で変更を加えることができます。または、[アラームの作成] を選択してアラームを作成します。
アラームを作成すると、 はアラームページ CloudWatch を開きます。アラームの Actions 列には、SNSトピックのすべての E メール受信者がSNS通知をサブスクライブすることを確認するまで、確認保留中と表示されます。
AWS Management Console サインイン失敗の例
5 分間に 3 つ以上の AWS Management Console サインインに失敗した場合にトリガーされる Amazon CloudWatch アラームを作成するには、次の手順に従います。
メトリックフィルタを作成する
で CloudWatch コンソールを開きますhttps://console.aws.amazon.com/cloudwatch/
。 -
ナビゲーションペインで、[Logs] (ログ)、[Log groups] (ロググループ) の順に選択します。
-
ロググループのリストで、 証跡のために作成したロググループを選択します。
-
[メトリクスフィルター] または [アクション] メニューから [メトリクスフィルターの作成] を選択します。
-
[パターンを定義] ページの [フィルターパターンの作成] で、[フィルターパターン] に以下の値を入力します。
{ ($.eventName = ConsoleLogin) && ($.errorMessage = "Failed authentication") }
-
[テストパターン] のデフォルト値はそのままにしておきます。[次へ] をクリックします。
-
[メトリクスの割り当て] ページの [フィルター名]に「
ConsoleSignInFailures
」と入力します。 -
[メトリクスの詳細] ページで、[新しく作成する] をオンにして [メトリクス名前空間] に「
CloudTrailMetrics
」と入手します。 -
[メトリクス名] に「
ConsoleSigninFailureCount
」と入力します。 -
[メトリクス値] に「
1
」と入力します。 -
[Default value] は空白のままにします。
-
[次へ] をクリックします。
-
[Review and create] ページで選択内容を確認します。[Create metric filter] を選択してフィルターを作成するか、[編集] を選択して戻って値を変更します。
アラームの作成
メトリクスフィルターを作成すると、証跡ロググループの CloudWatch ロググループの詳細ページ CloudTrailが開きます。アラームを作成するには、次の手順を実行します。
-
[メトリクスフィルター] タブで、メトリックフィルタを作成する で作成したメトリクスフィルターを見つけます。メトリクスフィルターのチェックボックスをオンにします。[メトリクスフィルター] バーで、[アラームの作成] を選択します。
-
[アラームの作成] ページの、[メトリクスと条件を指定] ページで、以下の値を入力します。
-
[グラフ] には、アラームを作成したときに設定した他の設定に基づいてラインが
3
で設定されています。 -
[メトリクス名] は、現在のメトリクス名、
ConsoleSigninFailureCount
のままにしておきます。 -
[Statistic] は、デフォルト値、
Sum
のままにしておきます。 -
[Period] は、デフォルト値、
5 minutes
のままにしておきます。 -
[条件] セクションの [しきい値のタイプ] で、[静的] を選択します。
-
いつでも
metric_name
は で、Greater/Equal を選択します。 -
しきい値に「
3
」と入力します。 -
[Additional configuration] は、デフォルト値のままにしておきます。[次へ] をクリックします。
-
-
「アクションの設定」ページの「通知」で「アラーム」を選択します。これは、5 分間に 3 つの変更イベントのしきい値が超過し、アラーム状態ConsoleSigninFailureCountになったときにアクションが実行されることを示します。
-
次のSNSトピックに通知を送信する で、新しいトピックの作成 を選択します。
-
新しい Amazon SNSトピックの名前
ConsoleSignInFailures_CloudWatch_Alarms_Topic
として を入力します。 -
[通知を受け取る E メールエンドポイント] に、このアラームが発生した場合に通知を受信するユーザーの E メールアドレスを入力します。E メールアドレスはカンマで区切ります。
各 E メール受信者には、Amazon SNSトピックにサブスクライブすることを確認する E メールが送信されます。
-
[Create topic] (トピックの作成) を選択します。
-
-
この例では、他のアクションタイプはスキップします。[次へ] をクリックします。
-
[Add name and description] ページで、アラームのフレンドリ名と説明を入力します。この例では、名前には「
Console sign-in failures
」、説明には「Raises alarms if more than 3 console sign-in failures occur in 5 minutes
」を入力します。[次へ] をクリックします。 -
[Review and create] ページで選択内容を確認します。[] で変更を加えることができます。または、[アラームの作成] を選択してアラームを作成します。
アラームを作成すると、 はアラームページ CloudWatch を開きます。アラームの Actions 列には、SNSトピックのすべての E メール受信者がSNS通知をサブスクライブすることを確認するまで、確認保留中と表示されます。
例: IAMポリシーの変更
IAM ポリシーを変更するためのAPI呼び出しが行われたときにトリガーされる Amazon CloudWatch アラームを作成するには、次の手順に従います。
メトリックフィルタを作成する
で CloudWatch コンソールを開きますhttps://console.aws.amazon.com/cloudwatch/
。 -
ナビゲーションペインで [ログ] を選択します。
-
ロググループのリストで、 証跡のために作成したロググループを選択します。
-
[アクション]、[メトリクスフィルターの作成] の順に選択します。
-
[パターンを定義] ページの [フィルターパターンの作成] で、[フィルターパターン] に以下の値を入力します。
{($.eventName=DeleteGroupPolicy)||($.eventName=DeleteRolePolicy)||($.eventName=DeleteUserPolicy)||($.eventName=PutGroupPolicy)||($.eventName=PutRolePolicy)||($.eventName=PutUserPolicy)||($.eventName=CreatePolicy)||($.eventName=DeletePolicy)||($.eventName=CreatePolicyVersion)||($.eventName=DeletePolicyVersion)||($.eventName=AttachRolePolicy)||($.eventName=DetachRolePolicy)||($.eventName=AttachUserPolicy)||($.eventName=DetachUserPolicy)||($.eventName=AttachGroupPolicy)||($.eventName=DetachGroupPolicy)}
-
[テストパターン] のデフォルト値はそのままにしておきます。[次へ] をクリックします。
-
[メトリクスの割り当て] ページの [フィルター名]に「
IAMPolicyChanges
」と入力します。 -
[メトリクスの詳細] ページで、[新しく作成する] をオンにして [メトリクス名前空間] に「
CloudTrailMetrics
」と入手します。 -
[メトリクス名] に「
IAMPolicyEventCount
」と入力します。 -
[メトリクス値] に「
1
」と入力します。 -
[Default value] は空白のままにします。
-
[次へ] をクリックします。
-
[Review and create] ページで選択内容を確認します。[Create metric filter] を選択してフィルターを作成するか、[編集] を選択して戻って値を変更します。
アラームの作成
メトリクスフィルターを作成すると、証跡ロググループの CloudWatch ロググループの詳細ページ CloudTrailが開きます。アラームを作成するには、次の手順を実行します。
-
[メトリクスフィルター] タブで、メトリックフィルタを作成する で作成したメトリクスフィルターを見つけます。メトリクスフィルターのチェックボックスをオンにします。[メトリクスフィルター] バーで、[アラームの作成] を選択します。
-
[アラームの作成] ページの、[メトリクスと条件を指定] ページで、以下の値を入力します。
-
[グラフ] には、アラームを作成したときに設定した他の設定に基づいてラインが
1
で設定されています。 -
[メトリクス名] は、現在のメトリクス名、
IAMPolicyEventCount
のままにしておきます。 -
[Statistic] は、デフォルト値、
Sum
のままにしておきます。 -
[Period] は、デフォルト値、
5 minutes
のままにしておきます。 -
[条件] セクションの [しきい値のタイプ] で、[静的] を選択します。
-
いつでも
metric_name
は で、Greater/Equal を選択します。 -
しきい値に「
1
」と入力します。 -
[Additional configuration] は、デフォルト値のままにしておきます。[次へ] をクリックします。
-
-
「アクションの設定」ページの「通知」で「アラーム」を選択します。これは、5 分間に 1 つの変更イベントのしきい値を超え、IAMPolicyEventCountアラーム状態になったときにアクションが実行されることを示します。
-
次のSNSトピックに通知を送信する で、新しいトピックの作成 を選択します。
-
新しい Amazon SNSトピックの名前
IAM_Policy_Changes_CloudWatch_Alarms_Topic
として を入力します。 -
[通知を受け取る E メールエンドポイント] に、このアラームが発生した場合に通知を受信するユーザーの E メールアドレスを入力します。E メールアドレスはカンマで区切ります。
各 E メール受信者には、Amazon SNSトピックにサブスクライブすることを確認する E メールが送信されます。
-
[Create topic] (トピックの作成) を選択します。
-
-
この例では、他のアクションタイプはスキップします。[次へ] をクリックします。
-
[Add name and description] ページで、アラームのフレンドリ名と説明を入力します。この例では、名前には「
IAM Policy Changes
」、説明には「Raises alarms if IAM policy changes occur
」を入力します。[次へ] をクリックします。 -
[Review and create] ページで選択内容を確認します。[] で変更を加えることができます。または、[アラームの作成] を選択してアラームを作成します。
アラームを作成すると、 はアラームページ CloudWatch を開きます。アラームの Actions 列には、SNSトピックのすべての E メール受信者がSNS通知をサブスクライブすることを確認するまで、確認保留中と表示されます。
CloudWatch Logs アラームの通知の設定
のアラームがトリガーされるたびに通知を送信するように CloudWatch ログを設定できます CloudTrail。これにより、イベントで CloudTrailキャプチャされ、 CloudWatch Logs. CloudWatch uses Amazon Simple Notification Service (SNS) によって検出された重要な運用イベントにすばやく対応して E メールを送信できます。詳細については、「 ユーザーガイド」の「Amazon SNS通知の設定CloudWatch 」を参照してください。