CloudTrail コンソールで CloudTrail Lake ダッシュボードを表示する

CloudTrail Lake ダッシュボードを使用して、イベントデータストア内のイベントを視覚化できます。複数の異なるダッシュボードタイプから選択できます。イベントデータストアで使用できるダッシュボードタイプは、イベントデータストアのアドバンスイベントセレクタの設定に応じて異なります。例えば、ダッシュボードタイプに CloudTrail 管理イベントに関する情報が表示される場合、ダッシュボードを選択できるのは、現在選択されているイベントデータストアが CloudTrail 管理イベントを収集する場合のみです。

各ダッシュボードタイプは複数のウィジェットで構成され、各ウィジェットは SQL クエリを表します。ウィジェットのクエリを表示するには、[クエリエディターで表示して分析] を選択してクエリエディターを開きます。ウィジェットへの入力に使用されるシステム生成クエリを変更することはできませんが、クエリエディタでクエリを編集してクエリを実行して詳細な分析を行うことができます。

ダッシュボードにデータを入力して更新するには、[クエリを実行] を選択します。クエリの実行 を選択すると、 はユーザーに代わってシステム生成クエリ CloudTrail を実行します。クエリを実行するとコストが発生するため、 はクエリの実行に関連するコストを確認するように CloudTrail 要求します。これは 1 回限りの確認です。 CloudTrail 料金の詳細については、「 の料金CloudTrail 」を参照してください。

制限事項

現在のリリースには次の制限が適用されます。

• 現在のリリースでは、カスタマイズされたダッシュボード、ウィジェット、およびクエリはサポートされていません。

• 現在のリリースでは、イベント (データイベント、管理イベント) と Insights イベントを収集する CloudTrail イベントデータストアのダッシュボードのみが提供されます。

• 現在のリリースでは、ダッシュボードへの入力に使用されるシステム生成クエリの編集はサポートされていません。[クエリエディター]タブでは、ウィジェットの基盤となるクエリを表示および編集できますが、クエリに加えた変更はダッシュボード外での補足分析を目的としています。

前提条件

Lake ダッシュボードには次の前提条件が適用されます。

• Lake ダッシュボードを表示して使用するには、少なくとも 1 つの CloudTrail Lake イベントデータストアを作成する必要があります。イベントデータストアは、コンソール AWS CLI、、または SDKsを使用して作成できます。コンソールを使用してイベントデータストアを作成する方法の詳細については、「コンソールを使用してイベントのイベントデータストア CloudTrailを作成する」を参照してください。を使用してイベントデータストアを作成する方法については、 AWS CLI「」を参照してくださいを使用してイベントデータストアを作成、更新、管理する AWS CLI。

• ダッシュボードに入力するには、 がユーザーに代わってクエリ CloudTrail を実行します。Dashboards ページを初めて表示する場合、 はクエリの実行に関連するコストを確認するよう CloudTrail 要求します。クエリの実行コストを確認するには、[同意する] を選択します。

ダッシュボードを選択する

次の手順を使用して、表示するイベントデータストアとダッシュボードタイプを選択します。

1. にサインイン AWS Management Console し、https://console.aws.amazon.com/cloudtrail/ で CloudTrail コンソールを開きます。

2. 左のナビゲーションペインの [Lake] の下にある [ダッシュボード] を選択します。

3. データを視覚化するイベントデータストアを選択します。

4. 表示するダッシュボードの種類を選択します。ダッシュボードリストは、選択したイベントデータストアのアドバンスイベントセレクタの設定に基づいて入力されます。

   ダッシュボードのタイプを以下に示します。

   • 概要ダッシュボード - 最もアクティブなユーザー AWS リージョンとイベント数 AWS のサービス が表示されます。また、read と write の管理イベントのアクティビティ、最もスロットリングされているイベント、上位のエラーに関する情報も表示できます。このダッシュボードは、管理イベントを収集するイベントデータストアで使用できます。

   • [管理イベント] ダッシュボード - ユーザーごとのコンソールのログインイベント、アクセス拒否イベント、破壊的なアクション、上位エラーが表示されます。ユーザーごとに TLS バージョンと古い TLS 呼び出しに関する情報を表示することもできます。このダッシュボードは、管理イベントを収集するイベントデータストアで使用できます。

   • [S3 データイベント] ダッシュボード - S3 アカウントのアクティビティ、最もアクセスされた S3 オブジェクト、上位の S3 ユーザー、上位の S3 アクションが表示されます。このダッシュボードは、Amazon S3 データイベントを収集するイベントデータストアで使用できます。

   • [Insights イベント]ダッシュボード – 全体的な Insights タイプ別の Insights イベントの比率、上位ユーザーとサービスに関する Insights タイプ別の Insights イベントの比率、および 1 日あたりの Insights イベント数が表示されます。ダッシュボードには、最大 30 日間の Insights イベントを一覧表示するウィジェットも含まれます。このダッシュボードは、Insights イベントを収集するイベントデータストアでのみ利用可能です。

     注記

     • ソースイベントデータストアで CloudTrail Insights を初めて有効にすると、異常なアクティビティが検出された場合、 が最初の Insights イベントを配信 CloudTrail するまでに最大 7 日間かかることがあります。詳細については、「Insights イベントの配信を理解する」を参照してください。

     • [Insights イベント] ダッシュボードには、ソースイベントデータストアの設定によって決定される、選択したイベントデータストアによって収集された Insights イベントに関する情報のみが表示されます。例えば、ソースイベントデータストアで、ApiErrorRateInsight ではなく ApiCallRateInsight の Insights イベントを有効にしている場合には、ApiErrorRateInsight の Insights イベントに関する情報は表示されません。

5. [絶対範囲] または [相対範囲] でダッシュボードデータをフィルターします。特定の日付と時刻の範囲を選択するには、[絶対範囲] を選択します。事前定義済みの時間範囲またはカスタム範囲を選択するには、[相対範囲] を選択します。デフォルトでは、ダッシュボードには過去 24 時間のイベントデータが表示されます。

   注記

   CloudTrail Lake クエリには、スキャンされたデータ量に基づいてコストが発生します。コストを抑えるには、より狭い時間範囲にフィルタリングします。 CloudTrail 料金の詳細については、「 の料金AWS CloudTrail」を参照してください。

6. [クエリを実行] を選択して、ダッシュボードのウィジェットに対してクエリを実行します。

日付または時間範囲でダッシュボードをフィルターする

デフォルトでは、ダッシュボードには過去 24 時間のデータが表示されます。ダッシュボードは [絶対範囲] または [相対範囲] でフィルターできます。

特定の日付と時刻の範囲を選択するには、[絶対範囲] を選択します。

事前定義済みの時間範囲またはカスタム範囲を選択するには、[相対範囲] を選択します。

時間範囲を選択したら、[クエリを実行] を選択してダッシュボードを更新します。

注記

CloudTrail Lake クエリには、スキャンされたデータ量に基づいてコストが発生します。コストを抑えるには、より狭い時間範囲にフィルタリングします。 CloudTrail 料金の詳細については、「 の料金AWS CloudTrail」を参照してください。

ダッシュボードウィジェットのクエリを表示する

各ウィジェットは 1 つの SQL クエリを表します。ウィジェットのクエリを表示するには、[クエリエディターで表示して分析] を選択してクエリエディターを開きます。クエリエディターを使用すると、ダッシュボード外でクエリをさらに絞り込み、クエリを実行して更新されたクエリの結果を確認できます。クエリの操作の詳細については、「 CloudTrail コンソールでクエリを作成または編集する」を参照してください。

注記

ダッシュボードウィジェットのシステム生成クエリを変更することはできません。[クエリエディター] タブでクエリに加えた変更は、ダッシュボード外での詳細な分析のみを目的としています。