AWS CloudTrail
AWS アカウント内の API 呼び出しを自動記録し、誰がいつ何をしたかを追跡できる監査 / セキュリティサービス
概要
AWS CloudTrail は、AWS アカウント内で発生する API アクティビティをイベントとして記録するサービスです。マネジメントコンソールの操作、CLI コマンド、SDK 経由の呼び出し、他の AWS サービスからの内部呼び出しまで、幅広い操作が記録対象になります。デフォルトで過去 90 日間の管理イベントを無料で閲覧でき、S3 バケットへの長期保存や CloudTrail Lake によるクエリ分析も可能です。セキュリティインシデントの調査、コンプライアンス監査、運用トラブルシューティングの基盤として利用されます。
イベントの種類と記録コストの設計
CloudTrail が記録するイベントは管理イベント、データイベント、Insights イベントの 3 種類が代表的で、これに加えてネットワークアクティビティイベントも記録 / 課金の対象です (2026 年 9 月時点 / 種類の現行一覧は AWS 公式ドキュメントで確認してください)。管理イベントは IAM ポリシーの変更、EC2 インスタンスの起動 / 停止、S3 バケットの作成など、リソースの管理操作を記録し、無料枠で 90 日間閲覧できます。データイベントは S3 オブジェクトの GetObject/PutObject や Lambda 関数の Invoke など、リソース内のデータ操作を記録しますが有料です。アクセス頻度の高い S3 バケットでは読み取り操作だけで大量のイベントが発生し、記録したイベント数に応じて費用が積み上がるため、監査対象を機密データのバケットに絞り込む設計が重要です。Insights イベントは API 呼び出しパターンの異常 (平常時と比べた呼び出し量の急増など) を自動検出し、不正アクセスの早期発見に役立ちます。
CloudTrail Lake による SQL ベースの調査
CloudTrail Lake は、イベントログを SQL で直接クエリできる分析機能です。S3 に保存したログを Athena で分析する構成と比べ、CloudTrail Lake ではイベントデータストアに最長で約 10 年 (3,653 日 / 選択する料金オプションによる) のイベントを保持し、SQL で直接検索できます (2026 年 9 月時点)。なお、CloudTrail Lake は 2026 年 5 月 31 日以降、新規顧客向けの受付を終了しており、既存顧客のみ継続利用できます (2026 年 9 月時点 / 公式ドキュメントの告知)。Azure の Activity Log が Log Analytics ワークスペースへの転送と KQL (Kusto Query Language) による分析を必要とするのに対し、CloudTrail Lake は追加のインフラ構築なしで監査クエリを実行できる点が手軽です。
EventBridge 連携によるリアルタイム検知
CloudTrail の実務活用で特に効果が高いのが、EventBridge との連携によるリアルタイム通知です。セキュリティグループのルール変更、IAM ポリシーの変更、ルートアカウントのログインなど、セキュリティ上重要な API 呼び出しをトリガーに SNS 通知や Lambda による自動修復を実行できます。たとえば、S3 バケットのパブリックアクセスの有効化を検知して Lambda で自動的にブロックする構成が組めます。インシデント調査では、CloudTrail Lake で該当時間帯の API 呼び出しを SQL クエリし、どの IAM エンティティがどの IP アドレスからどのリソースにアクセスしたかを特定する流れが標準的です。
参考資料 (AWS 公式)
本ページの一次情報は AWS 公式サイトと公式ドキュメントです。最新の仕様と料金は次の公式ページで確認できます。
本ページと公式ドキュメントの記述が食い違う場合は、公式ドキュメントを正としてください。