CloudTrail で操作を追跡する
Pro会員限定上級約37分6レッスン
組織の証跡が記録を続けているかを確かめ、lookup-events で「誰が SG に 22 番を開けたか」を特定します。CloudTrailEvent の JSON から送信元 IP とリクエストの中身を読み、拒否された操作を洗い出し、validate-logs でログファイルの改ざんを検知します。
対象者: 「誰が・いつ・何をしたか」を証拠つきで答えたい方
前提知識: Organizations と SCP の読解 修了程度
この教材を終えると、できるようになること
- describe-trails と get-trail-status で、証跡の設定と記録の状態を確認できるようになる。
- lookup-events の --lookup-attributes で、特定の操作をした人と時刻を特定できるようになる。
- CloudTrailEvent の JSON から、送信元 IP・認証の種類・リクエストのパラメータを読み取れるようになる。
- Username で操作を一覧し、拒否された危険な操作に気づき、開けられたままの穴を塞げるようになる。
- validate-logs で証跡のログファイルの整合性を検証し、INVALID の結果を読めるようになる。
修了後の姿: マルチアカウント・ネットワーク・可観測性・自動化まで含めて、AWS環境を安全に設計・運用・改善できるクラウドエンジニアへ。
Chapter 1操作の記録を、証拠として使う
イベント履歴で素早く調べ、証跡で長く・改ざんされずに残す。
- 証跡と記録の状態を確かめるイベント履歴と証跡の違い約6分（有料会員限定）
- 誰が SG に 22 番を開けたか（lookup-events）イベント名で引き、時刻とユーザーを特定する約8分（有料会員限定）
- CloudTrailEvent を読む（送信元 IP・リクエストの中身）1 件のイベントには、何をどう変えたかが全部入っている約7分（有料会員限定）
- その人の操作をすべて洗い出し、穴を閉じる拒否された操作（errorCode）にも意図が出る約8分（有料会員限定）
- ログファイルの改ざんを検知する（validate-logs）ダイジェストファイルで、消された・書き換えられたログに気づく約6分（有料会員限定）
- 確認クイズ: CloudTrailイベント履歴・証跡・整合性検証約2分（有料会員限定）