AWS CloudTrail について
CloudTrail のエビデンスには通常、LookupEvents による管理イベントと証跡の設定メタデータが含まれます。LookupEvents が対象とするのはおよそ過去 90 日間です。それより古いデータを分析するには、S3 アーカイブの権限（s3:GetObject）が必要です。また、証跡にカスタマー管理の CMK を使用している場合は kms:Decrypt も必要になることがあります。
仕組み
Iru は独自の AWS アカウントで稼働しています。お客様のアカウントの CloudTrail の証跡とログのメタデータを読み取るには、sts:AssumeRole の信頼関係（ウィザードの External ID）と読み取り専用の cloudtrail: 権限（および、証跡でその読み取りが必要な場合に限り s3: / kms:）を持つ IAM ロールを作成します。そのロールの ARN を Iru に貼り付けます。
AWSCloudTrail_ReadOnlyAccess をアタッチします。オプションのインライン kms:Decrypt ステートメントは、S3 から暗号化された証跡アーカイブを意図的に取り込む場合にのみ追加します。
前提条件
- ロールを作成できる IAM 権限。
- 監査で求められるのが API ルックアップのみか、S3 アーカイブまでの深さかを把握していること。
AWS CloudTrail を Iru に接続する
- Iru Compliance
- AWS
まずここから始めます。ソースウィザードを開き、信頼ポリシーをコピーします（外部 ID も控えておきます）。AWS でロールを作成する準備ができたら、AWS タブに切り替えて AWS で IAM ロールを作成するの手順に従います。Role ARN を取得したら、Iru Compliance タブに戻り、以下の Iru でロール ARN を送信するを完了します。
Iru から信頼ポリシーを取得する
1
ソースを開く
Iru Compliance の左側のナビゲーションバーで コンプライアンス を展開し、ソース を選択します。
2
AWS CloudTrail をオンにする
AWS CloudTrail を探します（カテゴリ または 名前または説明で検索 を使用します）。そのカードのトグルをオンにします。Iru が外部サービスへのアクセスをリクエストしています ウィザードのタブは開いたままにしておきます。
3
信頼ポリシーの JSON をコピーする
ウィザードには、IAM ロールで使用する必要がある信頼ポリシーの JSON（Principal と sts:ExternalId）が表示されます。以下は構造の例です。アカウント、プリンシパル ARN、外部 ID が正確に一致するように、ウィザードに表示される最新の JSON をコピーしてください。
copy=false
4
AWS に切り替えてロールを作成する
参照用に Iru ウィザードのタブを開いたまま、AWS タブに切り替えて AWS で IAM ロールを作成するの手順に従います。
Iru でロール ARN を送信する
新しいロールの Role ARN を取得するため、先に AWS タブ（AWS で IAM ロールを作成するまで）を完了してください。
1
IAM Role ARN を貼り付ける
Iru ウィザードのタブに戻ります。コネクタで求められる場所に Role ARN を貼り付けます。
2
接続を完了する
Submit Role を選択します。接続に成功すると、ウィザードに 接続が構成されました と表示されます。
3
ソースが有効であることを確認する
Iru が外部サービスへのアクセスをリクエストしています のブラウザタブを閉じてから コンプライアンス → ソース に戻り、AWS CloudTrail カードが 有効 になっていることを確認します。
トラブルシューティング
ソースをオンにしても何も開かない
ソースをオンにしても何も開かない
Iru サイトのポップアップブロッカーの設定を確認してから、もう一度お試しください。
約 90 日より古いイベントが表示されない
約 90 日より古いイベントが表示されない
S3 アーカイブの取り込みパスを使用してください。
s3:GetObject と、必要に応じて kms:Decrypt が必要です。AssumeRole が拒否される
AssumeRole が拒否される
外部 ID が一致していません。
考慮事項
マルチリージョン / 組織の証跡は、API を実行する場所に…
マルチリージョン / 組織の証跡は、API を実行する必要がある場所に影響します。一元的なログ記録については AWS のベストプラクティスに従ってください。
関連記事
Sources の管理
すべての Compliance ソースを参照・管理します。
Compliance の利用を開始する
フレームワーク、アクション、アーティファクト。
Iru の概要
Endpoint、Compliance、Identity がどのように連携するか。
Artifacts の管理
ソースやアクションから得たエビデンスをアップロード、確認、整理します。