[アップデート] CloudTrailログ分析環境が超絶簡単に手に入る！「CloudTrail Lake」がリリースされました

詳細は公式の料金表を参照ください

利用可能なリージョン

以下のリージョンで利用可能です

• US East (N. Virginia)
• US East (Ohio)
• US West (N. California)
• US West (Oregon)
• Canada (Central)
• Europe (Ireland)
• Europe (London)
• Europe (Paris)
• Europe (Frankfurt)
• Europe (Stockholm)
• Asia Pacific (Tokyo)
• Asia Pacific (Seoul)
• Asia Pacific (Osaka)
• Asia Pacific (Singapore)
• Asia Pacific (Sydney)
• Asia Pacific (Mumbai)
• South America (Sao Paulo)
• Europe (Milan)
• Asia Pacific (Hong Kong)
• Middle East (Bahrain)
• South Africa (Cape Town)

使用上の注意点

• デフォルトで保持期間内のすべてのデータに対してクエリが実行されます。最大7年間の保持設定をしている場合、eventTime等を利用してクエリ範囲を制限したほうが良いでしょう
• CloudTrail Lake SQLはSELECTステートメントのみ利用可能です

やってみる

では早速試してみましょう！今回は東京リージョンを使ってイベントデータストアの作成を検証しました。

イベントデータストアの作成

CloudTrailの管理コンソールを開き、左のナビゲーションメニューから[レイク]を開きます。[イベントデータストア]タブを開き、[イベントデータストアの作成]をクリックします。

任意のイベントデータストア名を入力。保持期間は7〜2555日（デフォルトは2555日）の間で指定します。デフォルトは全リージョンのイベントが対象になりますので、現在のリージョンのみを対象としたい場合はイベントデータストアに現在のリージョン (ap-northeast-1) のみを含めるにチェックを入れます。

また、今回のアカウントはOrganization管理アカウントではないためグレーアウトになっていますが、Organizationアカウント全体を有効化にすることも可能なようです。一方で、Organization以外のアカウントを招待して含めるようなメニューは見当たりませんでしたのでマルチアカウントはOrganizationが前提となりそうです。

イベントデータストアに含めるイベントタイプを選択します。管理イベントは「読み取り」「書き込み」「AWS KMSイベントの除外」「Amazon RDS のデータ API イベントを除外」から指定が可能。

データイベントは対象のデータイベントタイプ、および記録する範囲を「すべてのイベント」「readOnlyイベント」「writeOnlyイベント」「カスタム」から選択します。

「カスタム」の場合、高度なイベントセレクターによって細やかな指定が可能です。以下の例ではS3のデータイベントに対して、Putで始まるイベント（PutObject、PutObjectAcl...etc）のみを対象とします。

すべての指定が完了したらイベントデータストアを作成します。ステータスが「有効」になればクエリの実行が可能となります。

クエリの実行

イベントデータストアが作成できたら[エディター]タブからクエリの実行が可能になります。馴染みのあるAthenaライクなエディターですね。

試しに単純にイベントをプレビューするだけのクエリを実行してみます。対象のテーブルはイベントデータストア名ではなく、イベントデータストアIDを指定します。

SELECT * FROM da35ea8b-XXXX-XXXX-XXXX-XXXXXXXXXXXX
LIMIT 10;

クエリ結果を確認すると複数のリージョンのイベントに対して一挙にクエリ実行できているのがわかります。

先述の注意点で述べたとおり、特に期間指定のない場合はイベントデータストアの保持期間内の全イベントがスキャン対象となってしまいますので、長期保持設定されているようなイベントデータストアの場合はeventTime等を利用して範囲を限定したほうがお財布には優しそうです。

SELECT * FROM da35ea8b-XXXX-XXXX-XXXX-XXXXXXXXXXXX
WHERE eventTime　>= '2022-01-01 00:00:00' and eventTime <= '2022-01-07 00:00:00'
LIMIT 10;

デフォルトでは全リージョンが対象となりますが、逆に特定リージョンのみを対象としたい場合は以下のように実行します。

SELECT * FROM da35ea8b-XXXX-XXXX-XXXX-XXXXXXXXXXXX
WHERE eventTime　>= '2022-01-01 00:00:00' and eventTime <= '2022-01-07 00:00:00'
AND awsRegion in ('ap-northeast-3')
LIMIT 10;

検証は以上です！

まとめ

• CloudTrail イベントに対してSQLクエリによる分析環境が簡単に作れるようになりました
• イベントデータストアは最大7年間のデータ保持が可能
• 複数リージョン、Organization内の複数アカウントのイベントデータを集約してクエリ実行できるのが嬉しい！
• 取り込み、保持、スキャンのデータ料に対して課金
  • 高度なイベントセレクタによって取り込み対象イベントを細やかにフィルタできる
  • スキャンデータ料で課金されるので、「期間」「対象イベント」を指定して用途別にイベントデータストアを使い分けるのも良さそう
  • 特に指定しない場合は保持期間内のデータがスキャン対象となるのでeventTime等を指定してスキャン範囲を限定しよう
• イベントデータストアの料金が$2.5/GBなので、Athenaでの実装に満足している方は継続してAthenaを使ったほうがお財布には優しい

2022.01.12 追記
Ingest&Store料金の保存料金が毎月の従量課金であると解釈してコメントしていましたが、正しくは取り込み時の一度でした。詳細は以下記事を参照ください。

参考情報

• 公式ドキュメント:Working with AWS CloudTrail Lake