AWS管理・ガバナンス

AWS CloudTrailとは

AWSアカウント内のすべてのAPIコール（管理イベント・データイベント）を記録して監査証跡を提供するサービス。誰が・いつ・どのリソースに・何をしたかをS3に保存し、Athenaで検索・分析できる。

デフォルトで管理イベント（コントロールプレーン操作）を90日間保持する。長期保存にはS3への配信を設定し、CloudWatch Logsへの統合でリアルタイムアラートを実装できる。

試験での問われ方

SAAでは「誰がEC2を削除したか調査したい」「不審なAPIコールをアラートしたい」シナリオでCloudTrailを選ぶ。CloudWatchとの違いはCloudTrailがAPI監査ログ、CloudWatchがパフォーマンス監視・ログ収集という役割分担。

CloudTrailログのS3保存における整合性検証（ログファイルバリデーション）・KMS暗号化・クロスアカウントへの証跡配信がSCSで問われる。

データイベント（S3オブジェクトレベル操作・Lambda呼び出し）は別途有効化が必要でコストが発生する点が引っかけ。