[小ネタ]Redshiftの監査ログ出力に必要なS3バケットポリシー

はじめに

こんにちは、AWS事業本部のニシヤマです。はいマスキュラー。

Redshiftの監査ログをS3バケットに出力する際に必要なバケットポリシーの調べたのでご紹介します。

Amazon Redshiftでデータベース監査ログをS3に出力する

経緯

Redshiftの監査ログは、AWSコンソールのRedshiftの一覧画面からも簡単に設定ができます。

今回、Redshiftの監査ログを事前に作成済みのS3バケットに出力する必要があったのですが、そのままでは出力先に以下のエラーが出て指定することができませんでした。

解決方法

こちらのドキュメントにズバリの情報が書かれていました。こちらのバケットポリシーをS3に設定する必要がありました。

{
	"Version": "2012-10-17",
	"Statement": [
		{
			"Sid": "Put bucket policy needed for audit logging",
			"Effect": "Allow",
			"Principal": {
				"AWS": "arn:aws:iam::＜アカウントID＞:user/logs"
			},
			"Action": "s3:PutObject",
			"Resource": "arn:aws:s3:::＜S3バケット名＞/*"
		},
		{
			"Sid": "Get bucket policy needed for audit logging ",
			"Effect": "Allow",
			"Principal": {
				"AWS": "arn:aws:iam::＜アカウントID＞:user/logs"
			},
			"Action": "s3:GetBucketAcl",
			"Resource": "arn:aws:s3:::＜S3バケット名＞"
		}
	]
}

アカウントIDの部分にはリージョンごとに以下のアカウントID、S3バケット名に関しては監査ログ出力先のS3バケット名に置き換えてください。

今回は出力先が東京リージョンのS3バケットだったので以下のバケットポリシーになりました。

{
	"Version": "2012-10-17",
	"Statement": [
		{
			"Sid": "Put bucket policy needed for audit logging",
			"Effect": "Allow",
			"Principal": {
				"AWS": "arn:aws:iam::404641285394:user/logs"
			},
			"Action": "s3:PutObject",
			"Resource": "arn:aws:s3:::＜S3バケット名＞/*"
		},
		{
			"Sid": "Get bucket policy needed for audit logging ",
			"Effect": "Allow",
			"Principal": {
				"AWS": "arn:aws:iam::404641285394:user/logs"
			},
			"Action": "s3:GetBucketAcl",
			"Resource": "arn:aws:s3:::＜S3バケット名＞"
		}
	]
}

こちらのポリシーをS3バケットのバケットポリシーの画面で設定します。

こちらのポリシーを設定することによりRedshiftの監査ログの出力設定が可能になります。設定後はS3バケットにテストファイルが出力されていれば完了です！

また、複数のRedshiftクラスターの監査ログの出力先が同じ場合などには、出力設定時にS3キープレフィックスを変えることでS3バケット内にフォルダが作成されるのでクラスターごとのログを区別することも可能です！

おわりに

新規にバケットポリシーを作成する場合は、S3バケットの作成と一緒にバケットポリシーも設定してくるのですが、既存のS3バケットの場合は注意する点も多いですね。この記事がどなたかのお役に立てば幸いです。