CloudTrail を使用した の例 AWS CLI - AWS SDK コード例

Doc AWS SDK Examples リポジトリには、他にも SDK の例があります。 AWS GitHub

翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

CloudTrail を使用した の例 AWS CLI

次のコード例は、 AWS Command Line Interface で を使用してアクションを実行し、一般的なシナリオを実装する方法を示しています CloudTrail。

アクションはより大きなプログラムからのコードの抜粋であり、コンテキスト内で実行する必要があります。アクションは個々のサービス機能を呼び出す方法を示していますが、関連するシナリオやサービス間の例ではアクションのコンテキストが確認できます。

「シナリオ」は、同じサービス内で複数の関数を呼び出して、特定のタスクを実行する方法を示すコード例です。

各例には、 へのリンクが含まれています。このリンクには GitHub、コンテキスト内でコードをセットアップして実行する方法の手順が記載されています。

トピック

アクション

次の例は、add-tags を使用する方法を説明しています。

AWS CLI

証跡にタグを追加するには

次のadd-tagsコマンドは、 のタグを追加しますTrail1

aws cloudtrail add-tags --resource-id arn:aws:cloudtrail:us-east-1:123456789012:trail/Trail1 --tags-list Key=name,Value=Alice Key=location,Value=us
  • API の詳細については、「 コマンドリファレンスAddTags」の「」を参照してください。 AWS CLI

次の例は、create-subscription を使用する方法を説明しています。

AWS CLI

証跡の AWS リソースを作成して設定するには

次のcreate-subscriptionコマンドは、 の新しい S3 バケットと SNS トピックを作成しますTrail1

aws cloudtrail create-subscription --name Trail1 --s3-new-bucket my-bucket --sns-new-topic my-topic

出力:

Setting up new S3 bucket my-bucket... Setting up new SNS topic my-topic... Creating/updating CloudTrail configuration... CloudTrail configuration: { "trailList": [ { "IncludeGlobalServiceEvents": true, "Name": "Trail1", "TrailARN": "arn:aws:cloudtrail:us-east-1:123456789012:trail/Trail1", "LogFileValidationEnabled": false, "IsMultiRegionTrail": false, "S3BucketName": "my-bucket", "SnsTopicName": "my-topic", "HomeRegion": "us-east-1" } ], "ResponseMetadata": { "HTTPStatusCode": 200, "RequestId": "f39e51f6-c615-11e5-85bd-d35ca21ee3e2" } } Starting CloudTrail service... Logs will be delivered to my-bucket
  • API の詳細については、「 コマンドリファレンスCreateSubscription」の「」を参照してください。 AWS CLI

次の例は、create-trail を使用する方法を説明しています。

AWS CLI

証跡を作成するには

次のcreate-trailコマンドは、 という名前のマルチリージョン証跡を作成しTrail1、S3 バケットを指定します。

aws cloudtrail create-trail --name Trail1 --s3-bucket-name my-bucket --is-multi-region-trail

出力:

{ "IncludeGlobalServiceEvents": true, "Name": "Trail1", "TrailARN": "arn:aws:cloudtrail:us-west-2:123456789012:trail/Trail1", "LogFileValidationEnabled": false, "IsMultiRegionTrail": true, "S3BucketName": "my-bucket" }
  • API の詳細については、「 コマンドリファレンスCreateTrail」の「」を参照してください。 AWS CLI

次の例は、delete-trail を使用する方法を説明しています。

AWS CLI

証跡を削除するには

次のdelete-trailコマンドは、 という名前の証跡を削除しますTrail1

aws cloudtrail delete-trail --name Trail1
  • API の詳細については、「 コマンドリファレンスDeleteTrail」の「」を参照してください。 AWS CLI

次の例は、describe-trails を使用する方法を説明しています。

AWS CLI

証跡を記述するには

次のdescribe-trailsコマンドは、 Trail1と の設定を返しますTrail2

aws cloudtrail describe-trails --trail-name-list Trail1 Trail2

出力:

{ "trailList": [ { "IncludeGlobalServiceEvents": true, "Name": "Trail1", "TrailARN": "arn:aws:cloudtrail:us-east-1:123456789012:trail/Trail1", "LogFileValidationEnabled": false, "IsMultiRegionTrail": false, "S3BucketName": "my-bucket", "CloudWatchLogsRoleArn": "arn:aws:iam::123456789012:role/CloudTrail_CloudWatchLogs_Role", "CloudWatchLogsLogGroupArn": "arn:aws:logs:us-east-1:123456789012:log-group:CloudTrail:*", "SnsTopicName": "my-topic", "HomeRegion": "us-east-1" }, { "IncludeGlobalServiceEvents": true, "Name": "Trail2", "S3KeyPrefix": "my-prefix", "TrailARN": "arn:aws:cloudtrail:us-east-1:123456789012:trail/Trail2", "LogFileValidationEnabled": false, "IsMultiRegionTrail": false, "S3BucketName": "my-bucket", "KmsKeyId": "arn:aws:kms:us-east-1:123456789012:key/4c5ae5ac-3c13-421e-8335-c7868ef6a769", "HomeRegion": "us-east-1" } ] }
  • API の詳細については、「 コマンドリファレンスDescribeTrails」の「」を参照してください。 AWS CLI

次の例は、get-event-selectors を使用する方法を説明しています。

AWS CLI

証跡のイベントセレクタ設定を表示するには

次のget-event-selectorsコマンドは、 の設定を返しますTrail1

aws cloudtrail get-event-selectors --trail-name Trail1

出力:

{ "EventSelectors": [ { "IncludeManagementEvents": true, "DataResources": [], "ReadWriteType": "All" } ], "TrailARN": "arn:aws:cloudtrail:us-east-1:123456789012:trail/Trail1" }
  • API の詳細については、「 コマンドリファレンスGetEventSelectors」の「」を参照してください。 AWS CLI

次の例は、get-trail-status を使用する方法を説明しています。

AWS CLI

証跡のステータスを取得するには

次のget-trail-statusコマンドは、 の配信とログ記録の詳細を返しますTrail1

aws cloudtrail get-trail-status --name Trail1

出力:

{ "LatestNotificationTime": 1454022144.869, "LatestNotificationAttemptSucceeded": "2016-01-28T23:02:24Z", "LatestDeliveryAttemptTime": "2016-01-28T23:02:24Z", "LatestDeliveryTime": 1454022144.869, "TimeLoggingStarted": "2015-11-06T18:36:38Z", "LatestDeliveryAttemptSucceeded": "2016-01-28T23:02:24Z", "IsLogging": true, "LatestCloudWatchLogsDeliveryTime": 1454022144.918, "StartLoggingTime": 1446834998.695, "StopLoggingTime": 1446834996.933, "LatestNotificationAttemptTime": "2016-01-28T23:02:24Z", "TimeLoggingStopped": "2015-11-06T18:36:36Z" }
  • API の詳細については、「 コマンドリファレンスGetTrailStatus」の「」を参照してください。 AWS CLI

次の例は、list-public-keys を使用する方法を説明しています。

AWS CLI

証跡のすべてのパブリックキーを一覧表示するには

次のlist-public-keysコマンドは、指定された時間範囲内のダイジェストファイルの署名にプライベートキーが使用されたすべてのパブリックキーを返します。

aws cloudtrail list-public-keys --start-time 2016-01-01T20:30:00.000Z

出力:

{ "PublicKeyList": [ { "ValidityStartTime": 1453076702.0, "ValidityEndTime": 1455668702.0, "Value": "MIIBCgKCAQEAlSS3cl92HDycr/MTj0moOhas8habjrraXw+KzlWF0axSI2tcF+3iJ9BKQAVSKxGwxwu3m0wG3J+kUl1xboEcEPHYoIYMbgfSw7KGnuDKwkLzsQWhUJ0cIbOHASox1vv/5fNXkrHhGbDCHeVXm804c83nvHUEFYThr1PfyP/8HwrCtR3FX5OANtQCP61C1nJtSSkC8JSQUOrIP4CuwJjc+4WGDk+BGH5m9iuiAKkipEHWmUl8/P7XpfpWQuk4h8g3pXZOrNXr08lbh4d39svj7UqdhvOXoBISp9t/EXYuePGEtBdrKD9Dz+VHwyUPtBQvYr9BnkF88qBnaPNhS44rzwIDAQAB", "Fingerprint": "7f3f401420072e50a65a141430817ab3" } ] }
  • API の詳細については、「 コマンドリファレンスListPublicKeys」の「」を参照してください。 AWS CLI

次の例は、list-tags を使用する方法を説明しています。

AWS CLI

証跡のタグを一覧表示するには

次のlist-tagsコマンドは、 Trail1および のタグを一覧表示しますTrail2

aws cloudtrail list-tags --resource-id-list arn:aws:cloudtrail:us-east-1:123456789012:trail/Trail1 arn:aws:cloudtrail:us-east-1:123456789012:trail/Trail2

出力:

{ "ResourceTagList": [ { "ResourceId": "arn:aws:cloudtrail:us-east-1:123456789012:trail/Trail1", "TagsList": [ { "Value": "Alice", "Key": "name" }, { "Value": "us", "Key": "location" } ] }, { "ResourceId": "arn:aws:cloudtrail:us-east-1:123456789012:trail/Trail2", "TagsList": [ { "Value": "Bob", "Key": "name" } ] } ] }
  • API の詳細については、「 コマンドリファレンスListTags」の「」を参照してください。 AWS CLI

次の例は、lookup-events を使用する方法を説明しています。

AWS CLI

証跡のイベントを検索するには

次のlookup-eventsコマンドは、属性 で API アクティビティイベントを検索しますEventName

aws cloudtrail lookup-events --lookup-attributes AttributeKey=EventName,AttributeValue=ConsoleLogin

出力:

{ "Events": [ { "EventId": "654ccbc0-ba0d-486a-9076-dbf7274677a7", "Username": "my-session-name", "EventTime": "2021-11-18T09:41:02-08:00", "CloudTrailEvent": "{\"eventVersion\":\"1.02\",\"userIdentity\":{\"type\":\"AssumedRole\",\"principalId\":\"AROAJIKPFTA72SWU4L7T4:my-session-name\",\"arn\":\"arn:aws:sts::123456789012:assumed-role/my-role/my-session-name\",\"accountId\":\"123456789012\",\"sessionContext\":{\"attributes\":{\"mfaAuthenticated\":\"false\",\"creationDate\":\"2016-01-26T21:42:12Z\"},\"sessionIssuer\":{\"type\":\"Role\",\"principalId\":\"AROAJIKPFTA72SWU4L7T4\",\"arn\":\"arn:aws:iam::123456789012:role/my-role\",\"accountId\":\"123456789012\",\"userName\":\"my-role\"}}},\"eventTime\":\"2016-01-26T21:42:12Z\",\"eventSource\":\"signin.amazonaws.com\",\"eventName\":\"ConsoleLogin\",\"awsRegion\":\"us-east-1\",\"sourceIPAddress\":\"72.21.198.70\",\"userAgent\":\"Mozilla/5.0 (Macintosh; Intel Mac OS X 10_9_5) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/47.0.2526.111 Safari/537.36\",\"requestParameters\":null,\"responseElements\":{\"ConsoleLogin\":\"Success\"},\"additionalEventData\":{\"MobileVersion\":\"No\",\"MFAUsed\":\"No\"},\"eventID\":\"654ccbc0-ba0d-486a-9076-dbf7274677a7\",\"eventType\":\"AwsConsoleSignIn\",\"recipientAccountId\":\"123456789012\"}", "EventName": "ConsoleLogin", "Resources": [] } ] }
  • API の詳細については、「 コマンドリファレンスLookupEvents」の「」を参照してください。 AWS CLI

次の例は、put-event-selectors を使用する方法を説明しています。

AWS CLI

証跡のイベントセレクタを設定するには

イベントセレクタを作成するには、put-event-selectors「」コマンドを実行します。アカウントでイベントが発生すると、 CloudTrail は証跡の設定を評価します。イベントが証跡のいずれかのイベントセレクタと一致する場合は、証跡がイベントを処理し、ログに記録します。証跡あたり最大 5 つのイベントセレクタと、証跡あたり最大 250 の データリソースを設定できます。

次の例では、読み取り専用と書き込み専用の管理イベント、2 つの Amazon S3 バケット/プレフィックスの組み合わせのデータイベント、およびTrailName「」という名前の単一の AWS Lambda 関数のデータイベントを含めるために、hello-world-python-function「」という名前の証跡のイベントセレクタを作成します。

aws cloudtrail put-event-selectors --trail-name TrailName --event-selectors '[{"ReadWriteType": "All","IncludeManagementEvents": true,"DataResources": [{"Type":"AWS::S3::Object", "Values": ["arn:aws:s3:::mybucket/prefix","arn:aws:s3:::mybucket2/prefix2"]},{"Type": "AWS::Lambda::Function","Values": ["arn:aws:lambda:us-west-2:999999999999:function:hello-world-python-function"]}]}]'

出力:

{ "EventSelectors": [ { "IncludeManagementEvents": true, "DataResources": [ { "Values": [ "arn:aws:s3:::mybucket/prefix", "arn:aws:s3:::mybucket2/prefix2" ], "Type": "AWS::S3::Object" }, { "Values": [ "arn:aws:lambda:us-west-2:123456789012:function:hello-world-python-function" ], "Type": "AWS::Lambda::Function" }, ], "ReadWriteType": "All" } ], "TrailARN": "arn:aws:cloudtrail:us-east-2:123456789012:trail/TrailName" }

次の例では、読み取り専用と書き込み専用の管理イベント、および AWS アカウント内のすべての Amazon S3 バケットと AWS Lambda 関数のすべてのデータイベントなど、すべてのイベントを含む「'TrailName2'」という名前の証跡のイベントセレクタを作成します。

aws cloudtrail put-event-selectors --trail-name TrailName2 --event-selectors '[{"ReadWriteType": "All","IncludeManagementEvents": true,"DataResources": [{"Type":"AWS::S3::Object", "Values": ["arn:aws:s3:::"]},{"Type": "AWS::Lambda::Function","Values": ["arn:aws:lambda"]}]}]'

出力:

{ "EventSelectors": [ { "IncludeManagementEvents": true, "DataResources": [ { "Values": [ "arn:aws:s3:::" ], "Type": "AWS::S3::Object" }, { "Values": [ "arn:aws:lambda" ], "Type": "AWS::Lambda::Function" }, ], "ReadWriteType": "All" } ], "TrailARN": "arn:aws:cloudtrail:us-east-2:123456789012:trail/TrailName2" }
  • API の詳細については、「 コマンドリファレンスPutEventSelectors」の「」を参照してください。 AWS CLI

次の例は、remove-tags を使用する方法を説明しています。

AWS CLI

証跡のタグを削除するには

次のremove-tagsコマンドは、 の指定されたタグを削除しますTrail1

aws cloudtrail remove-tags --resource-id arn:aws:cloudtrail:us-east-1:123456789012:trail/Trail1 --tags-list Key=name Key=location
  • API の詳細については、「 コマンドリファレンスRemoveTags」の「」を参照してください。 AWS CLI

次の例は、start-logging を使用する方法を説明しています。

AWS CLI

証跡のログ記録を開始するには

次のstart-loggingコマンドは、 のログ記録を有効にしますTrail1

aws cloudtrail start-logging --name Trail1
  • API の詳細については、「 コマンドリファレンスStartLogging」の「」を参照してください。 AWS CLI

次の例は、stop-logging を使用する方法を説明しています。

AWS CLI

証跡のログ記録を停止するには

次のstop-loggingコマンドは、 のログ記録をオフにしますTrail1

aws cloudtrail stop-logging --name Trail1
  • API の詳細については、「 コマンドリファレンスStopLogging」の「」を参照してください。 AWS CLI

次の例は、update-subscription を使用する方法を説明しています。

AWS CLI

証跡の設定を更新するには

次のupdate-subscriptionコマンドは、証跡を更新して新しい S3 バケットと SNS トピックを指定します。

aws cloudtrail update-subscription --name Trail1 --s3-new-bucket my-bucket-new --sns-new-topic my-topic-new

出力:

Setting up new S3 bucket my-bucket-new... Setting up new SNS topic my-topic-new... Creating/updating CloudTrail configuration... CloudTrail configuration: { "trailList": [ { "IncludeGlobalServiceEvents": true, "Name": "Trail1", "TrailARN": "arn:aws:cloudtrail:us-east-1:123456789012:trail/Trail1", "LogFileValidationEnabled": false, "IsMultiRegionTrail": false, "S3BucketName": "my-bucket-new", "SnsTopicName": "my-topic-new", "HomeRegion": "us-east-1" } ], "ResponseMetadata": { "HTTPStatusCode": 200, "RequestId": "31126f8a-c616-11e5-9cc6-2fd637936879" } }
  • API の詳細については、「 コマンドリファレンスUpdateSubscription」の「」を参照してください。 AWS CLI

次の例は、update-trail を使用する方法を説明しています。

AWS CLI

証跡を更新するには

次のupdate-trailコマンドは、ログ配信に既存のバケットを使用するように証跡を更新します。

aws cloudtrail update-trail --name Trail1 --s3-bucket-name my-bucket

出力:

{ "IncludeGlobalServiceEvents": true, "Name": "Trail1", "TrailARN": "arn:aws:cloudtrail:us-west-2:123456789012:trail/Trail1", "LogFileValidationEnabled": false, "IsMultiRegionTrail": true, "S3BucketName": "my-bucket" }
  • API の詳細については、「 コマンドリファレンスUpdateTrail」の「」を参照してください。 AWS CLI

次の例は、validate-logs を使用する方法を説明しています。

AWS CLI

ログファイルを検証するには

次のvalidate-logsコマンドは、 のログを検証しますTrail1

aws cloudtrail validate-logs --trail-arn arn:aws:cloudtrail:us-east-1:123456789012:trail/Trail1 --start-time 20160129T19:00:00Z

出力:

Validating log files for trail arn:aws:cloudtrail:us-east-1:123456789012:trail/Trail1 between 2016-01-29T19:00:00Z and 2016-01-29T22:15:43Z Results requested for 2016-01-29T19:00:00Z to 2016-01-29T22:15:43Z Results found for 2016-01-29T19:24:57Z to 2016-01-29T21:24:57Z: 3/3 digest files valid 15/15 log files valid
  • API の詳細については、「 コマンドリファレンスValidateLogs」の「」を参照してください。 AWS CLI