[Organizations]組織レベルでCloudTrailを有効化する

2019.08.16

この記事は公開されてから1年以上経過しています。情報が古い可能性がありますので、ご注意ください。

コンニチハ、千葉です。

Organizationsを利用すると、複数のAWSアカウントを一元的に管理できます。今回は、OrganizationsレベルでCloudTrail有効化し、複数のAWSアカウントの監査ログを一括で収集してみようと思います。

やってみた

まずはOrganizationsのマスターアカウントでAWSへログインし、Organizationsへ移動します。設定から、CloudTrailを有効化します。

次にCloudTrailへ移動し、認証情報 > 認証の作成からCloudTrailの設定をします。

通常のAWSアカウントだと表示されない、Organizations専用の設定項目が確認できます。 組織に証跡を適用 を有効化し設定しましょう。

小アカウントにログインしてみたところ、CloudTrailが小アカウントにも設定されていることが確認できました。

S3バケットがどのようになっているかも確認します。AWSアカウントIDのフォルダが作成され、それぞれアカウントごとにログが出力されるようになっていました。

小アカウントにはAWSServiceRoleForCloudTrailロールが作成されていました。こちらは、CloudTrail設定用のサービスリンクロールです。自動で作成され、設定時にOrganizationsで利用されます。

Organizationを利用することで、複数のAWSアカウントに対するCloudTrailを有効にできました。かなり簡単で、便利でした！

そのマルチアカウント運用、気合いで支えていませんか

Organizations や Control Tower で土台は作れても、アカウントもポリシーも増えるほど、運用は「詳しい一人」に寄りかかっていく。属人化が限界を迎える前に、組織として回す仕組み＝CCoEへ。5,600社の支援から得た立ち上げの型を、無料資料にまとめました。