AWS CloudTrailとは？基本的な概要と使い方を解説

記事内に広告を含みます

AWS CloudTrailは、Amazon Web Services（AWS）のサービスの1つで、AWS環境で発生する操作やアクティビティの監視、追跡、および記録を行うためのマネージドサービスです。

CloudTrailを使用すると、AWSリソースへのアクセスや変更に関する詳細な情報を収集し、セキュリティ、コンプライアンス、アカウンティング、トラブルシューティング、および監査の目的に活用することができます。

CloudTrailのログファイルはデフォルトで暗号化された状態でS3 バケットに保存されます。

本記事では、AWS CloudTrailの概要やメリットからログ管理に必要な設定方法、データ解析やサービス連携の方法、料金体系、活用事例やトラブルシューティングのポイントを解説します。

CloudTrailについて詳しく知りたい…

CloudTrailのメリットや使い方は？

現役エンジニアが監修

当サイトの記事は、現役エンジニアによる監修のもと運営されております。

文系の哲学部からエンジニアになられた方のアドバイスも掲載しているので参考にしてみてください。

情報参照サイト

AWS CloudTrailの基本的な概要
AWS CloudTrailの機能やメリット・デメリット
- CloudTrailのメリット
- CloudTrailのデメリット
AWS CloudTrailの使い方/設定方法
CloudTrailで記録されるイベントの種類
AWS CloudTrailのコスト
AWSをコスパよく学ぶならCloudTech
CloudTechでAWSの学習を効率よく始める
AWS CloudTrailのまとめ

AWS CloudTrailの基本的な概要

AWS CloudTrail は、AWS アカウントの操作やアクティビティを記録し、分析するためのサービスです。

CloudTrailを活用することでAWS サービス、AWS コンソール、AWS SDK、AWS CLI など、AWS リソースに影響を与えるすべてのアクションをログとして記録することができます。

CloudTrail ログは、以下のような目的で使用されます。

セキュリティの監査: CloudTrail ログを使用して、AWS アカウントへの不正アクセスや不審なアクティビティを検出する。
コンプライアンスの向上: CloudTrail ログを使用して、AWS アカウントの使用状況を記録し、コンプライアンスの向上に役立てる。
アラートと通知: CloudWatchイベントを使用して、特定のイベントに対するアラートを設定する。

CloudTrailをうまく活用すると、AWS アカウントのすべての操作を記録して、運用監視やセキュリティ監査に役立てることが可能です。

例えば、誰がどのリソースにアクセスし、何をしたのかを特定し、変更履歴や証跡を追跡することができます。

また、異常検出や不正アクセスを検出するために、ログデータを分析する方法もあります。

Lambda関数やCloudWatch Eventsなど他のAWSサービスと連携できるのも特長の一つです。

セキュリティの監査

CloudTrail ログを使うと、AWSアカウントへの不正アクセスや不審なアクティビティが検出可能です。

CloudTrail ログには、アカウントへのアクセス、リソースの作成や変更、データのダウンロードなどの操作が記録されます。

具体的には、以下の場合に不正アクセスや不審なアクティビティを検出することができます。

不明なIP アドレスからのアクセス
通常とは異なる時間帯や頻度でのアクセス
通常とは異なるリソースへのアクセス
通常とは異なる操作の実行

不正アクセスや不審なアクティビティを検出した場合、適切な対応を行う必要があります。

コンプライアンスの向上

CloudTrail ログを使用して、AWSアカウントの使用状況を記録し、コンプライアンスの向上に役立てることができます。

CloudTrailログには、AWSアカウントで実行されたすべての操作が記録されるため、ログを分析することで、サービスの利用規約や社内のコンプライアンスに遵守しているか調査できます。

具体的には、以下の場合にコンプライアンスを遵守しているかチェックできます。

AWSの利用規約の遵守
業界の規制への準拠
データのセキュリティとプライバシーの保護

CloudTrail ログを活用することで、コンプライアンスを遵守していることを証明することができます。

アラートと通知

CloudWatchイベントを使用して、特定のイベントに対するアラートを設定することが可能です。

CloudTrail ログは、CloudWatchイベントのソースとして使用されます。

CloudTrail ログからアラートを設定することで、特定の操作が発生した場合に通知を受け取るのが一般的です。

具体的には、以下の場合にアラートを受け取ることができます。

特定の操作が発生した場合に通知を受ける
特定のユーザーがリソースにアクセスした場合に通知を受ける
特定のリソースに変更が加えられた場合に通知を受ける

CloudTrail ログからアラートを設定することで、AWS アカウントのセキュリティとコンプライアンスの監視を強化することが可能です。

AWS CloudTrailの機能やメリット・デメリット

AWS CloudTrailは、AWS環境でアクティビティの監視と追跡に役立ちますが、デフォルトでログは、S3 ストレージに保存されるため、ストレージ料金がかるなどのデメリットがあります。

CloudTrailの機能としては次のようなものがあります。

イベントの記録: CloudTrail は、AWS アカウントで実行されたすべてのイベントを記録します。イベントには、リソースの作成、更新、削除、およびアクションの実行が含まれます。
イベントのフィルタリング: CloudTrail は、イベントを特定の条件に基づいてフィルタリングできます。フィルタリングの条件には、イベントのタイプ、リソース、ユーザー、および IP アドレスが含まれます。
ログの保存: CloudTrail ログは、Amazon S3 ストレージに保存されます。
ログの分析: CloudTrail ログは、AWS コンソール、AWS CLI、AWS SDK を使用して分析できます。
アラートの設定: CloudTrail ログを使用して、特定のイベントに対するアラートを設定できます。

CloudTrail ログを活用することで、AWSアカウントへの不正アクセスや不審なアクティビティの検出、コンプライアンスの向上、運用の改善を行うことが可能です。

CloudTrailのメリット

セキュリティとコンプライアンスの強化: CloudTrailはイベントの監視とコンプライアンスの強化に役立ちます。アクセス制御の違反や悪意のあるアクティビティを特定し、対策を行うことが可能です。
監査への記録: CloudTrailはAWSリソースへのアクセスや変更に関する詳細なログを残すため、問題のトラブルシューティングや監査に役立ちます。
リアルタイムアラート: CloudTrailとCloudWatchを組み合わせて使用することで、リアルタイムのアラートを設定でき、異常なアクティビティに対する即座の対応ができます。
他サービスとの連携: CloudTrailは他のAWSセキュリティソリューションやログ分析ツール連携できるため、より効率的な活用が可能です。
長期保存: CloudTrailログはS3バケットに保存され、長期間にわたる保存ができます。

CloudTrailのデメリット

CloudTrailのデメリットとして以下の点が挙げられます。

コスト: CloudTrailログのストレージおよびデータ転送にはコストがかかります。特に大規模な環境では、ログの収集と保存に関連するコストが増加する可能性があります。
ログの管理: 長期間にわたって大量のログデータが生成されるため、ログを効果的に管理する必要があります。ログデータの保持とアーカイブが必要です。
設定の複雑さ: CloudTrailの設定やアラートの設定には一定の複雑さが伴うことがあり、初めて利用する場合は学習コストがかかる場合があります。

AWS CloudTrailは、AWS環境のセキュリティ、コンプライアンス、トラブルシューティングを向上させるための強力なサービスですが、設定と管理には注意が必要です。

組織のニーズと予算に応じて、AWS CloudTrailを適切に活用することが重要となります。

AWS CloudTrailの使い方/設定方法

AWS CloudTrailを使用してアカウント内のアクティビティを監視する方法は以下のステップに従います。

マネジメントコンソールでCloudTrailを起動
証跡の作成
ログファイルの保存先S3バケットの設定
イベントの設定
証跡をアクティブ化する
アラートの設定 (オプション)
ログの検索と分析 (オプション)

上記のステップに従うことで、AWS CloudTrailをセットアップし、アカウント内のアクティビティを監視し、詳細なログを収集できます。

ログはS3バケットに保存され、セキュリティ、コンプライアンス、監査などの目的で使用できます。

必要に応じて、アラートや自動化された対応を設定して、セキュリティの向上と問題の早期検出を行えます。

マネジメントコンソールでCloudTrailを起動

AWS Management Console にログインし、CloudTrail ページにアクセスします。

CloudTrail ページにアクセス
CloudTrailを有効化するリージョンを選択します。

CloudTrailの設定において、管理アカウントとリージョンの設定は重要です。

リージョンの設定では、適切な地域にデータを保存することができ、法令遵守やデータ保護要件に対応できます。

証跡の作成

Create trail をクリックして、新しい証跡を作成します。

ログファイルの保存先S3バケットの設定

証跡を作成したら、CloudTrail ログを保存する S3 バケットを設定します。

バケットはログファイルを保存するための場所です。

イベントの設定

証跡の設定で、CloudTrail が監視するイベント（API コール、AWS リソースへのアクセスなど）を選択します。

また、特定のイベントに対するフィルタリングやデータイベント（S3 オブジェクトの変更など）の設定も行えます。

証跡をアクティブ化する

すべての設定を確認し、証跡をアクティブ化（有効化）します。

アラートの設定 (オプション)

CloudTrail ログとCloudWatchを連携して、特定のイベントに対するアラートを設定できます。

CloudTrail ログとCloudWatchを連携するには、おおよそ以下のような手順になります。

AWS Management ConsoleでCloudTrail ログをCloudWatchに送信する
CloudWatch でアラートを作成する
アラートの条件を設定
アラートのアクションを設定

たとえば、特定のユーザーが特定のリソースにアクセスした場合に、メール通知を受け取るようにアラートを設定できます。

CloudTrail ログとCloudWatchを連携することで、以下のメリットがあります。

特定のイベントに対するアラートを迅速に検知できます。
アラート通知をメールや Slack などのサービスに送信できます。
アラート通知を基に、自動化された対応を実行できます。

CloudTrailを効果的に活用するためには、CloudWatch との連携も検討することが重要です。

ログの検索と分析 (オプション)

CloudTrail ログを分析するためのツールやサービスを使用して、セキュリティイベントの検出や問題のトラブルシューティングを行います。

CloudTrail ログは、JSON 形式で保存されます。AWS が提供する CloudTrailコンソールや AWS CLIを使用して、ログを検索して分析できます。

CloudTrail ログを検索して分析することで、以下のことができます。

セキュリティイベントの検出
問題のトラブルシューティング
運用の改善

また、サードパーティ製のツールやサービスを使用することでもCloudTrail ログの検索／分析ができます。

CloudTrailで記録されるイベントの種類

AWS CloudTrail で記録されるイベントの種類は、以下のとおりです。

Management Events (管理イベント): AWSリソースの管理と関連するイベントを記録します。管理イベントには、リソースの作成、更新、削除、およびアクションの実行が含まれます。
Data Events (データイベント): データイベントは、AWS リソースの状態の変更を記録します。データイベントには、S3 オブジェクトの作成、更新、削除、およびアクセスが含まれます。
Insight Events (インサイトイベント): CloudTrail が異常なアクティビティを検出した場合に記録されます。CloudTrail Insights イベントには、異常なAPI呼び出し、リソースへの異常なアクセス、およびその他の異常なアクティビティが含まれます。

管理イベントの例

管理イベントは、AWSマネジメントコンソール、AWS CLI、AWS SDKなどを使用してAWSリソースを管理する際のイベントです。

例えば、IAMユーザーが新しいEC2インスタンスを起動する場合などが含まれます。

EC2 インスタンスの作成
S3 バケットの作成
IAM ユーザーの作成
Lambda 関数の作成
CloudWatch アラームの作成

データイベントの例

データイベントには、特定のAWSリソースへのアクセスおよび変更に関するイベントが該当します。

データイベントには、S3バケットへのオブジェクトの読み取りや書き込み、RDSデータベースのクエリなどが含まれます。

S3 オブジェクトの作成
S3 オブジェクトの更新
S3 オブジェクトの削除
DynamoDB テーブルの作成
DynamoDB テーブルの更新
DynamoDB テーブルの削除

Insights イベントの例

Insights イベントは、AWSのセキュリティとリソースの最適化に関連するイベントが当てはまります。

Insights イベントには、セキュリティ違反、不正アクセス、コストの最適化などを特定するのに役立ちます。

頻繁に繰り返される API 呼び出し
未知の IP アドレスからのアクセス
通常と異なる時間帯のアクセス
通常と異なるリソースへのアクセス

CloudTrail で記録されるイベントの種類を理解することで、CloudTrail ログを効果的に分析し、AWS アカウントのセキュリティとコンプライアンスを確保することができます。

上記で紹介したのは一般的なイベントの一部です。

AWS CloudTrailはさまざまなAWSサービスとアクションに対応しており、さらに詳細なイベントも記録できます。

記録されるイベントの詳細や設定は、CloudTrailの設定やフィルタリングによって制御できます。

セキュリティ監査やトラブルシューティングの目的に合わせて、必要なイベントを適切に設定し、ログを管理することが重要です。

AWS CloudTrailのコスト

CloudTrail のコストは、記録するイベント数とリージョン数によって異なります。

データの送信先 (S3 バケット): CloudTrailログファイルは、指定したS3バケットに保存されます。そのためS3のバケット料金がかかります。料金はデータの保管容量、アクセスパターン、リージョンなどによって異なります。
記録されたイベントの量: CloudTrailはAWSアカウント内で発生する様々なイベントを記録します。記録されたイベントの量に応じて、ログファイルのサイズと数が変化し、それに伴ってS3バケットの料金も変動します。
データの保持期間: CloudTrailログはS3バケットに保管され、データの保持期間に応じて料金が発生します。長期間データを保持すると、追加の費用がかかります。
データイベントの記録: データイベント（S3バケットへのアクセス、RDSデータベースのクエリなど）の記録も追加のコストがかかります。
アクセスログの有効化: S3バケットへのアクセスログを有効にすると、アクセスログの記録に関連する追加のコストがかかります。
ログデータの分析: CloudTrailログデータの分析に使用するサードパーティツールやAWSのログ分析サービス（AWS Athena、AWS CloudWatch Logs Insightsなど）の使用に関連するコストも考慮する必要があります。

AWSの価格体系は複雑で多様であり、料金は使用したリソースやサービスの種類、リージョン、アクセス頻度などに依存します。

AWSの料金ページで詳細な情報を確認し、CloudTrailを使用する際にかかる見積もりを行うことが重要です。

また、AWSのコストエクスプローラーを使用して、コストの監視と管理を行うこともおすすめです。

AWSをコスパよく学ぶならCloudTech

CloudTech（クラウドテック）は元GMOの主任エンジニアであるくろかわこうへいさんが提供するAWSの学習に特化したオンライン学習スクールです。

AWSのオンライン学習スクールの規模としては日本最大級で会員数は2023年12月時点で3,252名以上となっています。

CloudTechなら自分のライフスタイルに合わせて、どこよりもコスパよくAWSの学習が行えます。

未経験からSAAに合格したい
未経験からAWSエンジニアにキャリアアップしたい
AWSの資格を効率よく取得したい

AWSを学ぶ上で「実践的なスキルの身につけ方」や「学習方法」で悩んでいる方はCloudTechがおすすめです。

CloudTech

(4.8)

コスパ良くAWSを学ぶなら、ココで決まり！

CloudTechは日本最大級のAWSに特化したオンライン学習スクールです。SAAやDVAをはじめとする全12資格に対応。280本以上もの動画から効率よくAWSが学べます。

今なら限定割引クーポンあり

公式サイトはコチラ

コピーしました！

クーポンコード

philosophy2305

フリーコース会員	無料 (問題5問)
資格会員	~~4,980円~~ →4,680円（全ての試験問題のみ）
基本会員	~~9,960円~~ →8,660円（全て利用可能/優良企業への転職サポートあり)
永久ラインセンス	~~49,800円~~ →45,800円（買い切りプラン/優良企業への転職サポートあり）
対応資格	AWS 全12資格
動画の数	280本以上
ハンズオン学習	あり
学習のしやすさ	迷わず学習できるロードマップカリキュラムあり
会員制コミュニティ	実績のあるAWSエンジニアが多数在籍豊富な合格体験記で最新情報を入手

※表示価格はクーポン適用後の割引価格となります。

その他にも最短3ヶ月で未経験からAWSエンジニアになれる転職保証付きのCloudTech Academyがあります。

【割引あり】CloudTech Academyとは？未経験から3ヶ月でAWSエンジニアになれる理由や評判、口コミを解説

プロによる解説だから未経験者でも続けられる

CloudTech（クラウドテック）を運営するくろかわこうへいさんは、Youtubeで4年以上もAWSに関する情報を発信しているため、解説がプロ級に分かりやすくなっています。

教材は動画ベースで作成されている上に一本あたりの動画は平均7分程度で構成されているため、通勤時に学習することも可能です。

半年間ほどCloudTechを利用して感じたのは、学習のしやすさです。

AWSのサービスごとに学習する内容が選べる上に、スマホ表示にも対応しています。

未経験者でも挫折することのないようイラストや図が豊富に使われているのもオススメできるポイントです。

コミュニティ限定の一次情報で効率よく資格取得できる

CloudTechには、AWS認定資格合格体験記があります。

合格体験記には、CloudTechに所属するメンバーがAWS認定資格に合格した際の「スコア」「勉強時間」「使用した教材」「アドバイス」などが記載されています。

未経験者や経験者の情報も載っているため、自分に近い環境の人たちがどのように合格できたのか知ることができます。

基本会員以上であれば、ログイン後の「ご案内ページ」で合格体験記は閲覧可能です。

また、SlackにあるAWS認定資格のスレッドからはリアルタイムで合格者の一次情報が手に入ります。

AWSでは、上位資格になるほど出回っている情報が少ないため一次情報は貴重です。

CloudTechの一次情報を利用してライバルよりも効率よく学習し最短で資格に合格しましょう。

本番同様レベルの演習問題が多数収録

CloudTechでは、本番レベルに近い演習問題が多数あります。

CLF	300問	ANS	350問
SAA	230問	SCS	350問
SOA	180問	DBS	260問
DVA	260問	DAS	140問
SAP	300問	MLS	170問
DOP	190問	PAS	60問