Organizations環境下でLatticeのログを集約アカウントに集約してみた

#VPC Lattice

#Amazon S3

木村優太

2023.12.31

こんにちは、AWS事業部の木村です。

今回Organizations環境下にある、Latticeのログをアーカイブアカウントに集約してみる機会がございましたので、集約する方法をご紹介したいと思います。

全体像のご紹介

設定は簡単で、以下２ステップのみの作業となります。

1.Latticeログ集約バケットの作成

2.Latticeにおけるログ設定

では早速それぞれのステップで必要な作業を紹介させていただきます。

Latticeログ集約バケットの作成

ログを集約するアカウントにS3バケットを作成します。この際デフォルトの設定でバケットを作成します。

作成したS3バケットのバケットポリシーの設定で、Organizations配下のアカウントからのアクセスを許可するように設定を行なっていきます。

今回は最近追加された、aws:SourceOrgIDを利用してアクセスを制御の設定を行います。

aws:SourceOrgIDの内容に関してはわかりやすく記載されておりますのでこちらのブログをご確認ください。

aws:SourceOrgIDを利用する場合、設定を行うバケットポリシーは以下になります。

{
    "Version": "2012-10-17",
    "Id": "AWSLogDeliveryWrite20150319",
    "Statement": [
        {
            "Sid": "AWSLogDeliveryWrite",
            "Effect": "Allow",
            "Principal": {
                "Service": "delivery.logs.amazonaws.com"
            },
            "Action": "s3:PutObject",
            "Resource": "<S3のバケットのARN>/*",
            "Condition": {
                "StringEquals": {
                    "aws:SourceOrgID": "<organizationID>",
                    "s3:x-amz-acl": "bucket-owner-full-control"
                }
            }
        },
        {
            "Sid": "AWSLogDeliveryAclCheck",
            "Effect": "Allow",
            "Principal": {
                "Service": "delivery.logs.amazonaws.com"
            },
            "Action": "s3:GetBucketAcl",
            "Resource": "<S3のバケットのARN>",
            "Condition": {
                "StringEquals": {
                    "aws:SourceOrgID": "<organizationID>"
                }
            }
        }
    ]
}

S3のバケットのARNとorganizationIDについては適宜ご自身のアカウントの情報に置き換えてください。

以上にてLatticeログ集約バケットの作成は終了となります。