AWS CloudTrail Lakeでデータを確認するサンプル

AWSのCloudTrail Lakeでデータを確認するサンプルです。

目次

サンプル 目的
  CloudTrail Lakeを設定する
CloudTrail Lakeでデータを確認する
取得した項目の例
CloudTrail Lakeで取得できる項目

目的

  • CloudTrail Lakeは、CloudTrailのデータをSQL文で検索できます。
  • CloudTrail Lakeを有効にしてからデータが蓄積されていきます。

 

CloudTrail Lakeを設定する

1.検索入力欄で「CloudTrail」と入力し、表示された「CloudTrail」をクリックします。

2.画面左の「レイク」をクリックします。

3.「イベントデータの作成」をクリックします。

 

4.イベントデータストア名、保存期間を入力します。次へをクリックします。

 

5.必要なイベントタイプにチェックを入れます。

管理イベントは、ログインやEC2インスタンスの作成、削除等を指します。

データイベントは、S3バケット内のデータの作成、削除等を指します。

 

6.管理イベントです。必要に応じてチェックを入れます。

 

7.データイベントです。必要に応じて選択します。
次へをクリックし確認画面で問題なければイベントデータストアの作成をクリックすると作成されます。

 

8.作成後は一覧に表示されます。

 

CloudTrail Lakeでデータを確認する

1.画面左の「レイク」をクリックします。

2.「エディター」でSQLを入力できます。
fromのテーブルを指定する箇所は、イベントデータストアIDを指定します。

eventTimeで日時の範囲を指定し、LIMITで出力件数を絞ります。

実行ボタンをクリックするとSQLが実行されます。

 

eventTime >= '2022-07-01 00:00:00' and eventTime < '2022-08-16 00:00:00'
LIMIT 30;

※betweenはうまくいきません。時間の00が0だとうまくいきません。

※「サンプルクエリ」のタブにサンプルのSQLがあるので参考にして作成します。

 

3.SQLの実行結果は、画面下にスクロールすると表示されています。

 

取得した項目の例

LambdaのPythonの関数を実行したときのeventnameとuseragentとrequestparametersです。

取得した項目の一部(1)

"eventName": "PutObject",
"userAgent": "[Boto3/1.20.32 Python/3.9.13 Linux/4.14.255-276-224.499.amzn2.x86_64 exec-env/AWS_Lambda_python3.9 Botocore/1.23.32 Resource]",
"requestParameters": "{bucketName=test-s3-data-2022, Host=test-s3-data-2022.s3.ap-northeast-1.amazonaws.com, key=testData1.txt}",

OSはAmazon Linux2でPython3.9を使用していることがわかります。

取得した項目の一部(2)

"eventName": "ListObjects",
"userAgent": "[S3Console/0.4, aws-internal/3 aws-sdk-java/1.11.1030 Linux/5.4.207-126.363.amzn2int.x86_64 OpenJDK_64-Bit_Server_VM/25.302-b08 java/1.8.0_302 vendor/Oracle_Corporation cfg/retry-mode/standard]",
"requestParameters": "{list-type=2, bucketName=test-s3-data-2022, encoding-type=url, max-keys=3000, fetch-owner=true, prefix=testData1.txt, delimiter=/, Host=s3.ap-northeast-1.amazonaws.com}",

ListObjectsではaws-sd-javaとなっています。

 

CloudTrail Lakeで取得できる項目

2022/8時点で用意されている項目は以下のとおりです。

additionalEventData
annotation
apiVersion
awsRegion
edgeDeviceDetails
errorCode
errorMessage
eventID
eventJson
eventName
eventSource
eventTime
eventType
eventVersion
insightDetails
managementEvent
readOnly
recipientAccountId
requestID
requestParameters
resources
responseElements
serviceEventDetails
sessionCredentialFromConsole
sharedEventID
sourceIPAddress
tlsDetails
userAgent
userIdentity
vpcEndpointId

関連の記事

AWS CloudTrailでEC2の起動を確認する
AWS CloudTrail のデータをAthenaで確認するサンプル

△上に戻る