CloudTrailとCloudWatch Logsの連携によるログのアラーム設定

横田あかり

2014.11.11

この記事は公開されてから1年以上経過しています。情報が古い可能性がありますので、ご注意ください。

CloudTrailの中身を直ぐに確認したい

CloudTrailは、AWSのAPI操作に対する監査機能です。AWSの各種サービスは全てAPIを使って利用します。このAPI利用履歴について全て保管し、監査をすることで、誰がいつ何処から何をしたのか確認することができます。エンタープライズ用途では待ち望まれた機能ですが、ひとつ難点がありました。ログの管理や閲覧の機能を持っていないことです。今回の新機能追加によって、CloudTrailに保管されたタイミングでSNSの通知が飛び、CloudWatch Logsに保管することで、ログの文字列に対する、フィルターやアラームを設定できるようになりました。日時バッチなどでチェックするのではなく、ログが発生したタイミングで確認ができるのが特徴です。今回ははじめからやってみましょう。

S3にログ用のバケットを作成

S3のメニューから新規にバケットを作成します。aws-cloudtrail-log-satoshiというユニークな名前で作成しました。

screenshot_2014-11-10_15_09_31

次にログを書き込めるようにバケットポリシーを作成します。バケットからプロパティ設定のパーミッションを選択して、CloudTrailから書き込めるようにします。

screenshot 2014-11-11 1.46.27

こちらがバケットポリシーのサンプルです。

{
	"Version": "2008-10-17",
	"Statement": [
		{
			"Sid": "AWSCloudTrailAclCheck20131101",
			"Effect": "Allow",
			"Principal": {
				"AWS": [
					"arn:aws:iam::08644115XXXX:root",
					"arn:aws:iam::11328560XXXX:root"
				]
			},
			"Action": "s3:GetBucketAcl",
			"Resource": "arn:aws:s3:::aws-cloudtrail-log-satoshi"
		},
		{
			"Sid": "AWSCloudTrailWrite20131101",
			"Effect": "Allow",
			"Principal": {
				"AWS": [
					"arn:aws:iam::08644115XXXX:root",
					"arn:aws:iam::11328560XXXX:root"
				]
			},
			"Action": "s3:PutObject",
			"Resource": "arn:aws:s3:::aws-cloudtrail-log-satoshi/AWSLogs/XXXXXXXXXXXX/*",
			"Condition": {
				"StringEquals": {
					"s3:x-amz-acl": "bucket-owner-full-control"
				}
			}
		}
	]
}