保存されたクエリ結果のダウンロード

クエリ結果を保存すると、クエリ結果を含むファイルを検索できる必要があります。 は、クエリ結果を保存するときに指定した Amazon S3 バケットにクエリ結果を CloudTrail 配信します。

注記

クエリ結果を保存すると、 はクエリスキャンの完了後にクエリ結果を CloudTrail 配信するため、クエリ結果が S3 バケットに表示される前にコンソールに表示されることがあります。ほとんどのクエリは数分以内に完了しますが、イベントデータストアのサイズによっては、 がクエリ結果を S3 バケットに配信 CloudTrail するのにかなり時間がかかる場合があります。 は、クエリ結果を圧縮された gzip 形式で S3 バケットに CloudTrail 配信します。クエリスキャンの完了後、S3 バケットに配信されるデータは、1 GB あたり平均 60～90 秒の遅延が見込まれます。

CloudTrail Lake で保存されたクエリ結果を検索する

CloudTrail は、クエリ結果と署名ファイルを S3 バケットに発行します。クエリ結果ファイルには保存されたクエリの出力が含まれ、署名ファイルはクエリ結果の署名とハッシュ値を提供します。署名ファイルを使用してクエリ結果を検証できます。クエリ結果検証の詳細については、「 CloudTrail Lake に保存されたクエリ結果を検証する」を参照してください。

クエリ結果または署名ファイルを取得するには、Amazon S3 コンソール、Amazon S3 コマンドラインインターフェイス (CLI）、または を使用できますAPI。

Amazon S3 コンソールでクエリ結果ファイルと署名ファイルを見つけるには

1. Amazon S3 コンソールを開きます。

2. 指定したバケットを選択します。

3. 必要なクエリ結果ファイルおよび署名ファイルが見つかるまでオブジェクト階層内を移動します。クエリ結果ファイルの拡張子は.csv.gz、署名ファイルの拡張子は.json です。

次の例のように、オブジェクト階層を移動しますが、バケット名、アカウント ID、日付、およびクエリ ID は異なります。

All Buckets
    amzn-s3-demo-bucket
        AWSLogs
            Account_ID;
                CloudTrail-Lake
                    Query
                        2022
                            06
                              20
                                Query_ID

CloudTrail Lake で保存されたクエリ結果をダウンロードする

クエリ結果を保存すると、 は 2 種類のファイルを Amazon S3 バケットに CloudTrail 配信します。

• クエリ結果ファイルの検証に使用できるJSON形式の署名ファイル。署名ファイルは result_sign.json と名付けられています。署名ファイルの詳細については、「CloudTrail 署名ファイル構造」を参照してください。

• クエリの結果を含む CSV形式の 1 つ以上のクエリ結果ファイル。配信されるクエリ結果ファイルの数は、クエリ結果の合計サイズによって異なります。クエリ結果の最大ファイルサイズは 1 TB です。各クエリ結果ファイルの名前は result_number.csv.gz。たとえば、クエリ結果の合計サイズが 2 TB の場合、result_1.csv.gz と result_2.csv.gz という 2 つのクエリ結果ファイルを受信します。

CloudTrail クエリ結果と署名ファイルは Amazon S3 オブジェクトです。S3 コンソール、 AWS Command Line Interface （CLI）、または S3 を使用してAPI、クエリ結果を取得してファイルに署名できます。

以下の手順では、Amazon S3 コンソールを使用してクエリ結果をダウンロードし、ファイルに署名する方法について説明します。

Amazon S3 コンソールでクエリ結果ファイルまたは署名ファイルをダウンロードするには

1. Amazon S3 コンソールを開きます。

2. バケットを選択して、ダウンロードするファイルを選択します。

   

3. [Download] (ダウンロード) を選択し、プロンプトに従ってファイルを保存します。

   注記

   Chrome などの一部のブラウザでは、クエリ結果ファイルが自動的に抽出されます。その場合は、ステップ 5 に進みます。

4. 7-Zip のような製品を使用して、クエリ結果ファイルを抽出します。

5. クエリ結果ファイルまたは署名ファイルを開きます。