516-AWS SAP AWS 「理論・実践・一問道場」CloudTrail Lake

type

status

date

slug

summary

理論

AWSでのアカウント活動の集約とクエリに関する基本知識

AWS CloudTrail:

AWSのリソースに対するアクション（API呼び出しやユーザー操作）を記録するサービス。

CloudTrail管理イベント: AWSリソースに対する操作や変更を記録。

CloudTrailイベント履歴: 特定のアカウント内のイベントを管理者が手動で確認できる。

CloudTrail Lake:

CloudTrail Lakeは、複数のAWSアカウントにまたがるCloudTrailイベントを集約するサービス。

SQLクエリを使ってイベントデータを効率的に検索・分析できる。

大規模な環境で複数のアカウントを横断的に監視するのに最適。

データクエリの方法:

CloudTrailイベント履歴: 単一アカウント内で簡単な確認が可能だが、複数アカウントに跨るデータの管理には限界がある。

CloudTrail Lake: 複数アカウントのデータを集約し、SQLベースで強力なクエリを実行できる。

クロスアカウントログの管理:

CloudWatch Logs Insights: 複数アカウントのデータを集約して分析するには、CloudWatch Logs Insightsを使うことができるが、CloudTrail Lakeのほうがデータクエリの柔軟性や管理面で優れています。

要点:

複数アカウントのアクティビティログを一元管理し、SQLで効率的にクエリするには CloudTrail Lake が最適。

CloudTrail を利用してイベントを集約し、データを後から簡単に検索・分析できる構造を作ることが重要。

実践

略

一問道場

問題 #516

ある企業がAWS Organizationsの複数のAWSアカウントを管理しています。企業はAWSアカウントのアクティビティを保存し、中央の場所からSQLを使用してデータをクエリする必要があります。

どのソリューションがこの要件を満たしますか？

A. 各アカウントでAWS CloudTrailトレイルを作成します。トレイルにCloudTrail管理イベントを指定します。CloudTrailにイベントをAmazon CloudWatch Logsに送信するように設定します。CloudWatchのクロスアカウントの可視性を設定します。CloudWatch Logs Insightsでデータをクエリします。

B. 委任された管理者アカウントを使用してAWS CloudTrail Lakeデータストアを作成します。データストアにCloudTrail管理イベントを指定します。データストアを組織内のすべてのアカウントに対して有効にします。CloudTrail Lakeでデータをクエリします。

C. 委任された管理者アカウントを使用してAWS CloudTrailトレイルを作成します。トレイルにCloudTrail管理イベントを指定します。トレイルを組織内のすべてのアカウントに対して有効にします。他の設定はデフォルトのままにします。CloudTrailのイベント履歴ページからCloudTrailデータをクエリします。

D. AWS CloudFormation StackSetsを使用して、各アカウントにAWS CloudTrail Lakeデータストアをデプロイします。データストアにCloudTrail管理イベントを指定します。他の設定はデフォルトのままにします。CloudTrail Lakeでデータをクエリします。

解説

この問題に関する解説は以下の通りです。

要件：

複数のAWSアカウントにまたがるアクティビティデータを一元管理

データをSQLを使って中央からクエリしたい

各選択肢の評価：

A: CloudTrailトレイルを各アカウントに作成

説明: 各アカウントに個別のCloudTrailトレイルを設定し、CloudWatch Logsにデータを送信し、CloudWatch Logs Insightsでデータをクエリします。

問題点: 各アカウントにトレイルを設定し、個別にクエリする方法は、管理が煩雑になります。クロスアカウントの可視性の設定が必要ですが、この方法は中央でのクエリや集中管理には不便です。

B: CloudTrail Lakeデータストアを利用

説明: 委任された管理者アカウントを使ってCloudTrail Lakeデータストアを作成し、すべてのアカウントのデータを集約します。CloudTrail Lakeは、集約されたアクティビティデータを効率的に保存し、SQLを使ってクエリする機能を提供します。

最適な選択肢: このアプローチは、複数のAWSアカウントからのデータを集約し、SQLを使用して中央からデータをクエリする要件を完璧に満たします。CloudTrail Lakeは、組織全体のログデータを集約し、効率的に管理するのに最適です。

C: CloudTrailトレイルを全アカウントに有効化

説明: 委任された管理者アカウントを使ってCloudTrailトレイルを作成し、すべてのアカウントに対してトレイルを有効にします。デフォルト設定では、CloudTrailのイベント履歴ページでクエリができます。

問題点: この方法では、SQLクエリのような詳細なクエリやデータ分析が難しいです。また、複数アカウントのデータを一元管理するのには向いていません。

D: CloudFormation StackSetsでデータストアをデプロイ

説明: CloudFormation StackSetsを使って、各アカウントにCloudTrail Lakeデータストアをデプロイします。

問題点: この方法は手動での設定作業が多く、CloudTrail Lakeを使う場合、StackSetsの利用は過剰であり、効率的ではありません。Bの方法の方がシンプルで効果的です。

結論：

最適な解決策は B です。

AWS CloudTrail Lake は、複数のAWSアカウントのCloudTrailイベントを集約し、SQLを使ってデータをクエリできる最適なサービスです。これにより、中央の場所から効率的にアクティビティデータを管理およびクエリすることが可能になります。