ActionTrail:マルチアカウントトレイルの作成

背景情報

操作手順

1. 委任管理者アカウントまたは管理アカウントを使用して、ActionTrail コンソールにログインします。

   委任管理者アカウントを設定するには、「委任管理者アカウントの管理」をご参照ください。

2. 左側のナビゲーションバーで、[追跡] をクリックします。

3. 上部メニューで、マルチアカウントトレイルを作成するリージョンを選択します。

   説明

   このリージョンは、マルチアカウントトレイルのホームリージョンになります。

4. [Trails] ページで、トレイルの作成 をクリックします。 デフォルトで トレイルのクイック作成 ページが表示されます。 詳細設定を行うには、ページの上部にある トレイルの作成 をクリックします。

5. トレイルのクイック作成 または トレイルの作成 ページで、追跡パラメーターを設定します。

   • [基本情報]

     パラメーター	説明
     [トレイル名]	トレイル名。SLS Logstore の名前としても使用されます。 説明 トレイル名は一意である必要があります。
     [TrailEventType]	トレイルが配信するイベント。有効な値は次のとおりです： [管理イベント]：デフォルトで選択されます。イベントタイプを選択します。 [すべてのイベント]: すべての読み取りイベントと書き込みイベントです。完全な監査を行うには、すべてのイベント を選択します。 [Write event]は、CreateInstance など、クラウドリソースを作成、削除、または変更するイベントです。カスタム分析でリソース変更イベントに焦点を当てるには、Write event を選択します。 読み取り：DescribeInstances など、設定を変更せずにリソース情報を読み取るイベント。読み取りイベントは大量のデータを生成します。完全な監査を行うには、読み取りイベントを配信して AccessKey とリソースアクセスを追跡します。 Insights イベント：選択すると、管理イベントタイプは [すべて] に設定されます。ActionTrail は管理イベントを分析して、リスクのある API コール、API エラー、異常な IP リクエスト、AccessKey の使用状況、権限の変更、パスワードの変更、および回避的なアクションを特定します。「Insights イベントの概要」をご参照ください。 データイベント：クラウド製品内のデータの読み取りイベントと書き込みイベント。次のいずれかのオプションを選択できます： [データイベントを無効にする]：データイベントは記録されません。 [すべてのリソース]：すべてのデータイベントが記録されます。 [指定されたリソース]：指定されたリソースのデータイベントのみが記録されます。 説明 コンソールで作成されたトレイルは、デフォルトですべてのリージョンからイベントを配信します。特定のリージョンに限定するには、CreateTrail API を呼び出して TrailRegion パラメーターを設定します。
     [すべてのメンバーに適用する]	トレイルの適用範囲。有効な値は次のとおりです： [はい]：管理アカウントとすべてのメンバーからイベントを収集し、統合された宛先に配信するマルチアカウントトレイルを作成します。イベントの見逃しを避けるために推奨されます。 [いいえ]：現在のアカウントのイベントのみを配信するシングルアカウントトレイルを作成します。 説明 このオプションは元に戻せません。すべてのメンバーに適用する 設定を変更するには、証跡を削除して新しく作成する必要があります。 作成後、[追跡] ページの トレイルタイプ 列に マルチアカウントトレイル が表示されます。

   • イベント配信

     イベントは SLS、OSS、MaxCompute のいずれか、または 3 つすべてに配信できます。ストレージオプションを比較するには、「指定された Alibaba Cloud サービスへのイベントの配信」をご参照ください。

     説明

     マルチアカウントトレイルは、作成後に生成された新しいイベントのみを配信します。過去 90 日間の履歴イベントを配信するには、データバックフィルタスクを作成します。「データバックフィルタスクの作成」をご参照ください。

     • Log Service に配信 を選択

       • 現在のアカウントに配信 を選択し、次のパラメーターを設定します。

         パラメーター	説明
         [ログプロジェクト]	配信先の SLS プロジェクトを選択します。 [新しい Log Service プロジェクト] [既存の Log Service プロジェクト]
         [Logstore のリージョン]	プロジェクトが配置されているリージョン。
         [プロジェクト名]	SLS のプロジェクト名。 説明 プロジェクト名は、すべての Alibaba Cloud アカウントでグローバルに一意である必要があります。 新しい Log Service プロジェクト を選択した場合は、新しいプロジェクトの名前を入力します。 既存の Log Service プロジェクト を選択した場合は、ドロップダウンリストから既存のプロジェクトを選択します。 SLS でプロジェクトを作成するには、「LoongCollector を使用した ECS テキストログの収集と分析」をご参照ください。 説明 トレイルを作成して Simple Log Service にイベントを配信すると、actiontrail_<トレイル名> 形式の名前を持つ Logstore が自動的に作成され、後続の監査のために最適に構成されます。イベントクエリを容易にするために、Logstore のインデックスとダッシュボードが作成されます。Logstore に手動でデータを書き込むことはできません。これにより、データの精度が保証されます。事前に Logstore を作成する必要はありません。

       • 他のアカウントに配信 を選択し、Log Service プロジェクト ARN と 配信先アカウントの RAM ロール ARN を設定します。

         イベントを別のアカウントに配信するには、配信先のアカウントで RAM ロールを作成し、ActionTrail に必要な権限を付与し、事前にプロジェクトを作成しておく必要があります。「リソースディレクトリ内の複数メンバーから単一アカウントへのイベント配信」をご参照ください。

     • OSS に配信 を選択

       • 現在のアカウントに配信 を選択し、次のパラメーターを設定します。

         パラメーター	説明
         [OSS バケット]	配信先の OSS バケットを選択します。 [新規バケットの作成] [既存のバケットを選択]
         [バケット名]	OSS バケット名。すべての Alibaba Cloud アカウントでグローバルに一意である必要があります。 [新しいバケットを作成] を選択した場合は、バケット名を入力します。 を選択し、[既存のバケットを選択] から OSS のバケットを選択します。 OSS でバケットを作成するには、「バケットの作成」をご参照ください。 重要 中国本土のリージョンでバケットを作成する場合は、[実名登録] ページで情報を提出する必要があります。
         [ログファイルのプレフィックス]	イベントログファイルのプレフィックス。イベントの整理と特定に役立ちます。
         [サーバー暗号化]	バケット内のログファイルを暗号化するかどうか。 [新しいバケットの作成]を選択した場合は必須です。 有効な値: [OSS フルマネージド]：OSS が管理するキーでデータを暗号化します。各オブジェクトは一意のキーを取得し、定期的にローテーションされるマスターキーによって保護されます。 KMS：Key Management Service (KMS) でデータを暗号化します。先に KMS を有効化する必要があります。「KMS インスタンスの購入と有効化」をご参照ください。 [有効化しない]：サーバー側の暗号化は有効化されません。 OSS のサーバー側の暗号化の詳細については、「サーバー側の暗号化」をご参照ください。
         [保持ポリシーの有効化]	リテンションポリシーは、指定された期間、データを消去不可能かつ改ざん不可能な形式で保存します。 有効な値は次のとおりです： [有効化しない] (デフォルト) 有効化

       • 他のアカウントに配信 を選択し、OSS バケットの RAM ロール ARN、[バケット名]、ログファイルのプレフィックス を設定します。

         イベントを別のアカウントに配信するには、配信先のアカウントで RAM ロールを作成し、ActionTrail に必要な権限を付与し、事前に OSS バケットを作成しておく必要があります。「リソースディレクトリ内の複数メンバーから単一アカウントへのイベント配信」をご参照ください。

     • [MaxCompute へのイベント配信] を選択

       • 現在のアカウントに配信 を選択し、次のパラメーターを設定します。

         パラメーター	説明
         [MaxCompute リージョン]	配信先の MaxCompute プロジェクトが配置されているリージョン。 説明 ActionTrail は、指定された MaxCompute リージョンの actiontrail_<Alibaba_Cloud_Account_ID> という名前のプロジェクトに監査ログを配信します。この名前のプロジェクトがアカウントにすでに存在する場合、ActionTrail は既存のプロジェクトにログを配信します。
         [MaxCompute プロジェクトのクォータ]	MaxCompute のクォータ。 説明 MaxCompute にイベントを配信するトレイルを初めて作成する場合、クォータを選択する必要があります。現在のリージョンで利用可能なクォータがない場合は、別の MaxCompute リージョンを選択してください。

       • 他のアカウントに配信 を選択し、MaxCompute ARN と MaxCompute 書き込みロール ARN を設定します。

         イベントを別のアカウントに配信するには、配信先のアカウントで RAM ロールを作成し、ActionTrail に必要な権限を付与し、事前に [MaxCompute] プロジェクトを作成しておく必要があります。「複数の Alibaba Cloud アカウントから単一アカウントへのイベント配信」をご参照ください。

6. [確認] をクリックします。

結果

作成後、イベントは指定された SLS Logstore、OSS バケット、または MaxCompute データテーブルに JSON 形式で保存されます。各サービスでイベントを表示するには、次のようにします：

• Simple Log Service コンソールでイベントをクエリする：ActionTrail は、actiontrail_<トレイル名> 形式の名前を持つ Logstore を自動的に作成します。[トレイル] ページで、[ストレージサービス] 列に表示されているコンテンツにポインターを移動し、Logstore の名前をクリックします。

• OSS：全世界のイベントは、ホームリージョンのイベントとともに配信されます。全世界以外のイベントは、リージョン固有のディレクトリに保存されます。EMR またはサードパーティのログ分析サービスを使用して、イベントを分析します。

  または、[トレイル] ページで、[ストレージサービス] 列に表示されているコンテンツにポインターを移動し、OSS バケットの名前をクリックします。次に、[オブジェクト管理] > [オブジェクト] を選択します。OSS のストレージパスの詳細については、「OSS バケットに配信されるイベントのストレージパスとは何ですか？」をご参照ください。

• MaxCompute：ActionTrail は、actiontrail_<trail_name> という名前のテーブルを作成します。[トレイル] ページで、[ストレージサービス] 列のエントリにポインターを合わせ、MaxCompute プロジェクト名をクリックします。DataWorks との接続により、actiontrail_<trail_name> テーブルのデータをクエリできます。

関連トピック

• トレイル作成後、SLS または OSS でメンバーイベントをクエリします。「SLS または OSS コンソールでのイベントのクエリ」をご参照ください。

• イベントを SLS に配信するトレイルでは、高度なクエリ機能を使用できます。「カスタムイベントクエリの実行」をご参照ください。