CloudTrail を推したい

2026年11月13日に大阪のエムオーテックスさんで開催された「JAWS-UG大阪 あなたの推しサービス教えて！LT回」での登壇資料です。
マネジメントコンソールで自然言語で CloudTrail の検索ができるようになったよ、というのとデータイベントカバレッジ機能が出たよ、というアップデートを紹介しました。
#jawsug #jawsugosaka

1. JAWS-UG大阪 あなたの推しサービス教えて！LT回 CloudTrail を推したい Speaker : @kazzpapa3(ICHINO Kazuaki) / JAWS-UG 神戸
2. Biography { "Bio": { "Name": "ICHINO Kazuaki a.k.a. kazzpapa3", "Organization": "A certain AWS partner company", "Role": "Technical Support Engineer", "Favorite AWS Services": [ "AWS CLI", "AWS CloudTrail", "Kiro CLI" ], "Less Favorite Person (as a Support Engineer)": [ "アクセスキーを雑に扱うすべての人" ], "Personal Interest": "初音ミク", "Socials": { "Twitter/X": "@kazzpapa3", "LinkedIn": "https://www.linkedin.com/in/kazzpapa3/" } } }
3. 何もしてないのに壊れた @kazzpapa3 / #jawsug #jawsugosaka 3 / 18
4. オンプレ時代からよく聞く言葉です 私はリセラーのテクサポ部門にいますが、同種の趣旨の問い合わせをい ただくことが まま 結構あります 何もしてないのに壊れることはあんまりないんだけどなー、と思いなが らサポートをしています これは私が担当する問い合わせチケットに特有なものではなく、チーム のメンバーでも同じような問い合わせを受けていることがあります そのためメンバーで割と多いのが以下のサービスが好きという声 AWS Config AWS CloudTrail // 私はこっち @kazzpapa3 / #jawsug #jawsugosaka 4 / 18
5. どんなサービスか AWS アカウント内部で行われた操作や API コールを記録している 誰が、いつ、何を、どこから実行したか？の追跡ができ監査にも利用で きるサービス 「なにもしてないのに」と言わせないための厳然たる証拠として突きつ けることができるサービスなので推しです ただしデフォルトで取得されているのは「管理イベント」のみ、かつ 90 日で失われていく データプレーンに対する操作である「データイベント」はデフォルト では記録されない（証跡の設定が必要） @kazzpapa3 / #jawsug #jawsugosaka 5 / 18
6. テクサポの私には「管理イベント」があれば大体 OK 立場的に AWS になりかわって問い合わせを受け付けている 弊社（リセラー） お客様 AWS アカウント お問い合わせ AWS 責任共有モデル上 AWS が責任を持つ範囲に関する技術問い合わせが主 ミドルウェアや OS レイヤーなどは関与しない 顧客の機微なデータも見ない（CloudWatch Logs や S3 バケットの 中身など） そのため AWS の各種リソースについてメタデータが確認できれば良い 加えて CloudTrail 証跡を作成していないアカウントの方が多い @kazzpapa3 / #jawsug #jawsugosaka 6 / 18
7. ただデフォルトだと検索性が良くない デフォルトの「管理イベント」の記録の場合、CloudTrail イベント履歴に対してアクセスするしかない （LookupEvents API） 検索条件として LookupAttributes を設定できるが、対応 する属性を１対しかリクエストできない そのため、引数を渡してイベントを検索して CSV 化するよ うなラッパースクリプトを作ったりしていた GitHub: research-via-cloudtrail @kazzpapa3 / #jawsug #jawsugosaka 7 / 18
8. 自然言語で CloudTrail を検索できるようになった！ 2026年9月15日 のアップデート @kazzpapa3 / #jawsug #jawsugosaka 8 / 18
9. けど、UI が急に変わった！ リリース当初は「マネジメントコンソールの Amazon Q から」となっ ていましたが、本日確認したところ AWS assistant に変わっていた AWS assistant の起動はここから @kazzpapa3 / #jawsug #jawsugosaka 9 / 18
10. 技術問い合わせを受け付けていただけの頃はこれで 良かった @kazzpapa3 / #jawsug #jawsugosaka 10 / 18
11. 最近クレデンシャル流出に巻き込まれる アクセスキーをはじめとしたクレデンシャルの流出の初動対応をするこ とが多くなってきました 顧客が流出させたキーを利用されて、顧客の資本金を超えるほどの不正 利用に発展することも多くなってきた そのため、AWS 通知を顧客へ案内したあと、悪用の範囲が広そうな権 限がついていたキーか否かの観点で初動調査をしています @kazzpapa3 / #jawsug #jawsugosaka 11 / 18
12. 困るのがデータイベントを記録していないアカウン トである場合 @kazzpapa3 / #jawsug #jawsugosaka 12 / 18
13. 困るケース AdministratorAccess は確かに怖い IAMFullAccess も相当怖い ただし、CloudTrail 証跡やサーバーアクセスログが未設定の状態で AmazonS3FullAccess がついたキーが漏れるのも厄介 データイベントが記録されないので、オブジェクトに対して何かされ たのか、何もされていないのかを証明する術がない 読み取られたか、ダウンロードされたかは判別不能 期間内に更新されたものの正否は、更新日時だけでは推察にとどま る @kazzpapa3 / #jawsug #jawsugosaka 13 / 18
14. S3 を例に取りましたがデータイベント記録しようぜ 2026年9月30日 のアップデート @kazzpapa3 / #jawsug #jawsugosaka 14 / 18
15. データイベントカバレッジ機能が追加された データイベントを記録していないリソースをカテゴリごとに可視化 このダッシュボード上から記録を有効化することが可能 すべてのリソースに対してデータイベントの記録が必要ない、あるいは 過剰である場合に選別しながら適用することの一助にできそう ぜひ活用しよう @kazzpapa3 / #jawsug #jawsugosaka 15 / 18
16. ちょっと告知 @kazzpapa3 / #jawsug #jawsugosaka 16 / 18
17. 12/12 に re:Cap & 忘年会やります 三宮の「ひょうご五国ワールド」の舞台付き宴 会席で飲み食いしながら re:Cap をやりたい！ 40 人以上で貸し切れるので参加者募集中 12月5日（土）正午時点で 40 人に達していな かったら企画不成立になりそう 突破しました！ 実は宴会席は 54 名までスケール可能！ 登壇枠はもう限界ですが、お席はあるのでご興 味があればぜひ！ @kazzpapa3 / #jawsug #jawsugosaka 17 / 18
18. Share your lessons. Thank you.