すべてのプロダクト
Search

このプロダクト

    ActionTrail:ActionTrail を使用した RAM ユーザー作成の監視

    ドキュメントセンター

    ActionTrail:ActionTrail を使用した RAM ユーザー作成の監視

    最終更新日:Jan 15, 2026

    このトピックでは、ActionTrail のトレイル機能とアラート機能を使用して、Resource Access Management (RAM) ユーザーの作成を監視し、ショートメッセージでアラート通知を送信する方法について説明します。

    シナリオ

    企業のデジタルトランスフォーメーションが進み、クラウドアカウントの利用が広まるにつれて、クラウドアカウントのセキュリティ管理の重要性が増しています。権限のないアカウント作成は、機密情報の漏洩につながる可能性があります。また、これらのアカウントは、ネットワーク攻撃、詐欺、不正競争などの違法行為に利用される可能性もあります。これは、企業や個人に重大な損失をもたらす可能性があります。このトピックでは、ActionTrail のトレイル機能とアラート機能を使用して、RAM ユーザーの作成を監視し、ショートメッセージでアラートを送信する方法を説明します。

    前提条件

    Simple Log Service (SLS) を有効化していることを確認してください。Simple Log Service (SLS) を初めて使用する場合は、SLS コンソールにログインし、画面の指示に従ってサービスを有効化してください。詳細については、「Simple Log Service (SLS) とは」をご参照ください。

    重要

    Simple Log Service (SLS) を使用すると、ログストレージやショートメッセージ通知などのサービスで料金が発生します。料金の詳細については、「課金の概要」をご参照ください。

    ステップ 1：証跡を作成する

    以下の条件を満たすトレイルを作成します:

    • トレイルリージョン：すべてのリージョン。

    • トレイルイベントタイプ：すべての管理イベント。

    • 証跡は読み取りイベントと書き込みイベントの両方を配信する。

    • トレイルはイベントを Simple Log Service (SLS) に配信する。

    詳細については、「シングルアカウント証跡を作成する」または「マルチアカウント証跡を作成する」をご参照ください。

    ステップ 2: トレイルの Logstore の選択

    1. ActionTrail コンソール にログインします。

    2. 左側のナビゲーションウィンドウで、[高度なイベントクエリ] をクリックします。表示されたページで、[クエリ範囲] に、「ステップ 1: トレイルの作成」で作成したトレイルを選択します。

    3. 左側のナビゲーションウィンドウで、[イベントアラート] をクリックします。

    4. [アラートセンター] で、[アラートルール] を選択します。

    5. トレイルの Logstore を選択します。Logstore の名前は `actiontrail_` という形式です。image

    ステップ 3：カスタムアラートを構成する

    アラートルールを作成する

    1. ActionTrail コンソール にログインします。

    2. 左側のナビゲーションウィンドウで、[イベントアラート]をクリックします。

    3. [アラートルール] タブで、[アラート作成]をクリックし、プロンプトに従ってルールを設定します。

      以下のパラメーターに注意してください。他のパラメーターは必要に応じて設定します。

      設定項目

      要件

      クエリ統計

      • Logstore を、「ステップ 1」で作成したトレイルの配信先 SLS Logstore と同じに設定します。フォーマットは actiontrail_トレイル名 です。

      • クエリ文を次のように設定します。

        (event.serviceName:Ram or event.serviceName:Ims) and event.eventName:CreateUser 
| SELECT
  "event.userIdentity.principalId" as operator,
  "event.resourceName" as user,
  date_format(__time__, '%Y-%m-%d %H:%i:%s') as time
        説明

        上記のクエリ文は、event.serviceName フィールドで Alibaba Cloud サービスを、event.eventName フィールドで操作を指定して、RAM ユーザー作成イベントをクエリします。SELECT 文は、オペレーター、作成されたアカウント、操作時間などの情報をイベントから取得し、アラート通知に含めます。

      トリガー条件

      • トリガー条件を「データあり」に設定します。

      • アラートの重要度は必要に応じて設定します。

    4. [OK] をクリックします。

    アラートコンテンツテンプレートの作成

    1. 左側のナビゲーションウィンドウで、[イベントアラート] をクリックします。

    2. [アラートセンター] ページで、[通知ポリシー] > [コンテンツテンプレート] を選択します。

    3. [コンテンツテンプレート] 管理ページで、[作成] をクリックし、コンテンツテンプレートを設定します。

      コンテンツテンプレートの種類を「ショートメッセージ」に設定し、コンテンツを次のように設定します。

      Alibaba Cloud User: {{ alert.aliuid }}
Alert Rule Name: {{ alert.alert_name }}
Alert Severity: {{ alert.severity | format_severity }}
{% for result in alert.fire_results %}
Operator: {{ result.operator }} created RAM user: {{ result.user }} at {{ result.time }}
{% endfor %}
      説明

      コンテンツテンプレートでは、{{ parameter_name }} はテンプレート変数を参照します。{% for result in alert.fire_results %} 文は、すべてのクエリ結果を反復処理します。{{ result.parameter_name }} を使用して、イベントから特定のパラメーターを取得します。コンテンツテンプレートのパラメーターと構文の詳細については、「コンテンツテンプレート構文 (新バージョン)」をご参照ください。

    4. [確認] をクリックします。

    アラート通知受信者の作成

    1. 左側のナビゲーションウィンドウで、[イベントアラート] をクリックします。

    2. [アラートセンター] ページで、[通知受信者] > [ユーザー管理] を選択します。

    3. [ユーザー管理] ページで、[作成] をクリックします。[ユーザーの追加] パネルで、必要な情報を入力します。

      • [電話番号]：アラート情報を受信する携帯電話番号。アラートを受信するには、この設定を有効にする必要があります。

      • [有効化]：アラートを受信するには、これを有効にする必要があります。

    4. [確認] ボタンをクリックします。

    アクションポリシーを作成する

    1. 左側のナビゲーションウィンドウで、[イベントアラート] をクリックします。

    2. [アラートセンター] ページで、[通知ポリシー] > [アクションポリシー] に移動します。

    3. [アクションポリシー] ページで、[作成] をクリックします。[アクションポリシーの追加] パネルで、必要な情報を入力します。

      最初のアクションリストで、条件とアクショングループを設定します。

      設定項目

      要件

      条件設定

      image.png アイコンをクリックします。[条件] ダイアログボックスで、「アラートルールの作成」で作成した監視ルールを選択します。

      アクショングループ

    4. [確認] をクリックします。

    アラートの有効化とアクションポリシーの関連付け

    1. 左側のナビゲーションウィンドウで、[イベントアラート] をクリックします。

    2. [アラートセンター] ページで、アラート ルール タブをクリックします。

    3. 「アラートルールの作成」ステップで作成したルールを見つけ、[操作] 列の [編集] をクリックします。[アラートおよび監視ルール] 設定パネルで、アラートを有効にし、アクションポリシーを関連付けます。

      設定項目

      要件

      出力先

      SLS 通知に切り替えます。

      有効

      監視ルールのステータス。これを有効状態に切り替えます。

      アラートポリシー

    4. [確認] をクリックします。

    ステップ 4：アラートルールを確認する

    1. RAM コンソール にログインし、RAM ユーザーを作成します。

    2. 受信したショートメッセージを確認します。以下は通知のサンプルです。

      [Alibaba Cloud] Simple Log Service Alert: 1 alert in total. Details:
Alibaba Cloud User: 159498693826****
Alert Rule Name: Monitor RAM User Creation
Alert Severity: Medium
Operator: 27723316148169**** created RAM user: test-create-a***@actiontrail-test.onaliyun.com at 2023-07-14 17:08:15
Operator: 27723316148169**** created RAM user: test-create-u***@actiontrail-test.onaliyun.com at 2023-07-14 17:31:00

    FAQ

    RAM ユーザーが ActionTrail コンソールでトレイルを作成する際に「権限がありません」というエラーが表示される

    RAM ユーザーを使用してこの設定を実行する場合、ActionTrail にアクセスして管理するために必要な権限を RAM ユーザーに付与する必要があります。詳細については、「RAM ユーザーへの権限付与」をご参照ください。