> ## Documentation Index
> Fetch the complete documentation index at: https://docs.iru.com/llms.txt
> Use this file to discover all available pages before exploring further.

# AWS CloudTrail

> クロスアカウント IAM ロールを使用して AWS CloudTrail を Iru Compliance に接続し、管理イベントの履歴、証跡の設定、イベントセレクターを収集します。

### AWS CloudTrail について

**CloudTrail** のエビデンスには通常、**`LookupEvents`** による**管理イベント**と証跡の設定メタデータが含まれます。**`LookupEvents` が対象とするのはおよそ過去 90 日間です**。それより古いデータを分析するには、**S3 アーカイブ**の権限（**`s3:GetObject`**）が必要です。また、証跡にカスタマー管理の CMK を使用している場合は **`kms:Decrypt`** も必要になることがあります。

### 仕組み

Iru は独自の AWS アカウントで稼働しています。お客様のアカウントの **CloudTrail** の証跡とログのメタデータを読み取るには、**`sts:AssumeRole`** の信頼関係（ウィザードの **External ID**）と読み取り専用の **`cloudtrail:`** 権限（および、証跡でその読み取りが必要な場合に限り **`s3:`** / **`kms:`**）を持つ **IAM ロール**を作成します。そのロールの **ARN** を Iru に貼り付けます。

**`AWSCloudTrail_ReadOnlyAccess`** をアタッチします。オプションのインライン **`kms:Decrypt`** ステートメントは、S3 から暗号化された証跡アーカイブを意図的に取り込む場合に**のみ**追加します。

| 項目 | 値 |
| - | - |
| **カテゴリ** | セキュリティ |
| **認証** | クロスアカウント IAM ロール |

### 前提条件

* **ロールを作成**できる IAM 権限。
* 監査で求められるのが **API ルックアップのみ**か、**S3 アーカイブ**までの深さかを把握していること。

### AWS CloudTrail を Iru に接続する

<Tabs>
  <Tab title="Iru Compliance">
    <Note>
      まずここから始めます。ソースウィザードを開き、**信頼ポリシー**をコピーします（**外部 ID** も控えておきます）。AWS でロールを作成する準備ができたら、[**AWS**](#aws) タブに切り替えて [**AWS で IAM ロールを作成する**](#create-the-iam-role-in-aws)の手順に従います。**Role ARN** を取得したら、[**Iru Compliance**](#iru-compliance) タブに戻り、以下の [**Iru でロール ARN を送信する**](#submit-the-role-arn-in-iru)を完了します。
    </Note>

    #### Iru から信頼ポリシーを取得する

    <Steps>
      <Step title="ソースを開く">
        Iru Compliance の左側のナビゲーションバーで **コンプライアンス** を展開し、**ソース** を選択します。

        <Frame>
          <img src="https://mintcdn.com/iru/tI0HDLDwHj8r9Ile/assets/media/images/iru-navigation-compliance-sources.png?fit=max&auto=format&n=tI0HDLDwHj8r9Ile&q=85&s=87dcef15fc17d2fb9a6e53f454e41710" alt="左側のナビゲーション: Compliance を展開し、Sources を選択した状態" width="410" height="1024" data-path="assets/media/images/iru-navigation-compliance-sources.png" />
        </Frame>
      </Step>

      <Step title="AWS CloudTrail をオンにする">
        **AWS CloudTrail** を探します（**カテゴリ** または **名前または説明で検索** を使用します）。そのカードの**トグル**をオンにします。**Iru が外部サービスへのアクセスをリクエストしています** ウィザードのタブは開いたままにしておきます。
      </Step>

      <Step title="信頼ポリシーの JSON をコピーする">
        ウィザードには、IAM ロールで使用する必要がある**信頼ポリシー**の JSON（**Principal** と **sts:ExternalId**）が表示されます。以下は構造の**例**です。アカウント、プリンシパル ARN、外部 ID が正確に一致するように、**ウィザードに表示される最新の JSON をコピーしてください**。

        ```json copy=false lines theme={null}
        {
          "Version": "2012-10-17",
          "Statement": [
            {
              "Effect": "Allow",
              "Principal": {
                "AWS": "arn:aws:iam::753695775620:role/IruConnect"
              },
              "Condition": {
                "StringEquals": {
                  "sts:ExternalId": "YOUR_EXTERNAL_ID"
                }
              },
              "Action": "sts:AssumeRole"
            }
          ]
        }
        ```
      </Step>

      <Step title="AWS に切り替えてロールを作成する">
        参照用に Iru ウィザードのタブを開いたまま、[**AWS**](#aws) タブに切り替えて [**AWS で IAM ロールを作成する**](#create-the-iam-role-in-aws)の手順に従います。
      </Step>
    </Steps>

    #### Iru でロール ARN を送信する

    <Note>
      新しいロールの **Role ARN** を取得するため、先に [**AWS**](#aws) タブ（[**AWS で IAM ロールを作成する**](#create-the-iam-role-in-aws)まで）を完了してください。
    </Note>

    <Steps>
      <Step title="IAM Role ARN を貼り付ける">
        Iru ウィザードのタブに戻ります。コネクタで求められる場所に **Role ARN** を貼り付けます。
      </Step>

      <Step title="接続を完了する">
        **Submit Role** を選択します。接続に成功すると、ウィザードに **接続が構成されました** と表示されます。
      </Step>

      <Step title="ソースが有効であることを確認する">
        **Iru が外部サービスへのアクセスをリクエストしています** のブラウザタブを閉じてから **コンプライアンス** → **ソース** に戻り、**AWS CloudTrail** カードが **有効** になっていることを確認します。
      </Step>
    </Steps>
  </Tab>

  <Tab title="AWS">
    <Note>
      このロールを作成する前に、[**Iru Compliance**](#iru-compliance) タブの [**Iru から信頼ポリシーを取得する**](#get-the-trust-policy-from-iru)を完了してください。**Trusted entity** を設定する際は、最新のウィザードに表示される**外部 ID** と信頼ポリシーを使用します。
    </Note>

    #### AWS で IAM ロールを作成する

    <Steps>
      <Step title="ロール作成ワークフローを開始する">
        **IAM** → **Roles** → **Create role** を開きます。
      </Step>

      <Step title="信頼されたエンティティを設定する">
        **AWS account** → **Another AWS account** を選択します。**`753695775620`**（または Iru に表示される ID）を入力します。**Require external ID** を有効にし、Iru からコピーした外部 ID を貼り付けます。
      </Step>

      <Step title="CloudTrail の読み取りアクセスをアタッチする">
        **`AWSCloudTrail_ReadOnlyAccess`** をアタッチします。
      </Step>

      <Step title="任意 - 暗号化された証跡アーカイブ用に KMS の復号を追加する">
        証跡アーカイブでカスタマー管理の KMS キーを使用している場合は、**インラインポリシー**を追加します（**REGION**、**ACCOUNT**、**CMK-ID** を置き換えます）。

        以下の JSON は、KMS の復号用のオプションの**インラインポリシー**フラグメントの**例**です。**REGION**、**ACCOUNT**、**CMK-ID** をお客様の値に置き換えてください。

        ```json lines theme={null}
        {
          "Version": "2012-10-17",
          "Statement": [
            {
              "Effect": "Allow",
              "Action": ["kms:Decrypt"],
              "Resource": "arn:aws:kms:REGION:ACCOUNT:key/CMK-ID"
            }
          ]
        }
        ```
      </Step>

      <Step title="ロールに名前を付けて ARN をコピーする">
        ロールの作成を完了し、**Role ARN** をコピーします。[**Iru Compliance**](#iru-compliance) タブに戻り、[**Iru でロール ARN を送信する**](#submit-the-role-arn-in-iru)を完了します。
      </Step>

      <Step title="信頼関係を確認する">
        **Trust relationships** がウィザードの JSON と一致していることを確認します。
      </Step>
    </Steps>

    <Note>
      [**Iru Compliance**](#iru-compliance) タブに進み、**Role ARN** を貼り付けてウィザードを完了します（[**Iru でロール ARN を送信する**](#submit-the-role-arn-in-iru)）。
    </Note>
  </Tab>
</Tabs>

### トラブルシューティング

<AccordionGroup>
  <Accordion title="ソースをオンにしても何も開かない">
    Iru サイトの**ポップアップブロッカー**の設定を確認してから、もう一度お試しください。
  </Accordion>

  <Accordion title="約 90 日より古いイベントが表示されない">
    S3 アーカイブの取り込みパスを使用してください。**`s3:GetObject`** と、必要に応じて **`kms:Decrypt`** が必要です。
  </Accordion>

  <Accordion title="AssumeRole が拒否される">
    外部 ID が一致していません。
  </Accordion>
</AccordionGroup>

### 考慮事項

<CardGroup cols={2}>
  <Card title="マルチリージョン / 組織の証跡は、API を実行する場所に…" icon="circle-info">
    マルチリージョン / 組織の証跡は、API を実行する必要がある場所に影響します。一元的なログ記録については AWS のベストプラクティスに従ってください。
  </Card>
</CardGroup>

### 関連記事

<CardGroup cols={2}>
  <Card title="Sources の管理" icon="plug" href="/ja/compliance/sources-management">
    すべての Compliance ソースを参照・管理します。
  </Card>

  <Card title="Compliance の利用を開始する" icon="rocket" href="/ja/compliance/getting-started-with-compliance">
    フレームワーク、アクション、**アーティファクト**。
  </Card>

  <Card title="Iru の概要" icon="layer-group" href="/ja/iru/platform-overview/iru-overview">
    Endpoint、Compliance、Identity がどのように連携するか。
  </Card>

  <Card title="Artifacts の管理" icon="folder-open" href="/ja/compliance/artifacts-management">
    ソースやアクションから得たエビデンスをアップロード、確認、整理します。
  </Card>
</CardGroup>