AWS CloudTrail

読み方: クラウドトレイル

区分: 定番
提供開始: 2013 年

AWS アカウントの API アクティビティを記録 / 監視するサービス

約 1 分で読めます最終更新: 2026-05-01

何ができるか

AWS CloudTrail は、AWS アカウント内で行われたすべての API コール (操作) を記録するサービスです。誰が、いつ、どの IP アドレスから、どのリソースに対して、何の操作を行ったかを詳細に記録します。記録されたログは S3 バケットに保存され、セキュリティ監査、コンプライアンス対応、トラブルシューティングに活用できます。

どのような場面で使うか

セキュリティインシデントの調査で「誰がいつセキュリティグループを変更したか」を特定する場面や、コンプライアンス監査で「過去 90 日間の IAM ポリシー変更履歴」を提出する場面で活用されています。また、意図しないリソース削除の原因調査や、不正アクセスの検知にも利用されます。

身近な例え

ビルの防犯カメラに例えるとわかりやすいでしょう。防犯カメラは、誰がいつビルに入退館し、どの部屋にアクセスしたかを 24 時間記録しています。CloudTrail は AWS アカウントの防犯カメラで、すべての操作を記録しています。何か問題が起きたときに録画を巻き戻して確認するように、CloudTrail のログを調べて原因を特定できます。

CloudTrail とは

AWS CloudTrail は、AWS アカウント内のアクティビティを記録する監査ログサービスです。AWS マネジメントコンソールでの操作、AWS CLI からのコマンド実行、SDK を使った API コールなど、あらゆる操作がイベントとして記録されます。CloudTrail はデフォルトで有効になっており、過去 90 日間のイベント履歴を無料で確認できます。

イベントの種類

CloudTrail は 3 種類のイベントを記録します。管理イベントは、リソースの作成 / 変更 / 削除などの操作 (EC2 インスタンスの起動、IAM ポリシーの変更など) を記録します。データイベントは、リソース上で実行されるデータ操作 (S3 オブジェクトの読み書き、Lambda 関数の呼び出しなど) を記録します。インサイトイベントは、通常と異なる異常なアクティビティパターンを自動検出して記録します。

証跡の作成と長期保存

デフォルトのイベント履歴は 90 日間しか保持されません。長期保存が必要な場合は「証跡 (Trail)」を作成し、ログを S3 バケットに継続的に配信します。証跡を作成すると、管理イベントが自動的に S3 に保存されます。データイベントやインサイトイベントは、証跡の設定で明示的に有効にする必要があります。CloudWatch Logs にもログを送信でき、リアルタイムのアラート設定が可能です。

はじめかた

CloudTrail はすべての AWS アカウントでデフォルトで有効になっています。CloudTrail コンソールの「イベント履歴」から、過去 90 日間の操作履歴をすぐに確認できます。長期保存やデータイベントの記録が必要な場合は、「証跡の作成」から S3 バケットを指定して証跡を設定します。組織全体のログを一元管理する場合は、AWS Organizations と連携した組織証跡を作成します。

注意点

デフォルトのイベント履歴は 90 日間のみ。コンプライアンス要件で長期保存が必要な場合は証跡を作成して S3 に保存すること
データイベント (S3 オブジェクト操作、Lambda 呼び出しなど) は証跡で明示的に有効にしないと記録されない。大量のデータイベントを記録するとコストが増加するため、対象リソースを絞ること
CloudTrail ログの改ざん防止には、ログファイルの整合性検証を有効にし、S3 バケットの MFA Delete を設定すること