ActionTrail:シングルアカウントトレイルの作成

操作手順

1. ActionTrail コンソールにログインします。

2. 左側のナビゲーションウィンドウで、トレイル をクリックします。

3. 上部のナビゲーションバーで、シングルアカウントトレイルを作成するリージョンを選択します。

   説明

   このリージョンがトレイルのホームリージョンになります。

4. トレイル ページで、トレイルの作成 をクリックします。デフォルトで トレイルのクイック作成 ページが開きます。すべてのパラメーターを設定するには、ページ上部の トレイルの作成 タブをクリックします。

   トレイルのクイック作成 オプションでは、すべての管理イベント（読み取りイベントおよび書き込みイベントを含む）を追跡し、イベントログを Simple Log Service (SLS) に配信するトレイルが作成されます。このオプションでは、データイベントや Insights イベントの追跡、および Object Storage Service (OSS) や MaxCompute への配信はサポートされていません。イベントタイプまたは配信先をカスタマイズするには、トレイルの作成 タブを使用してください。

5. トレイルのクイック作成 ページまたは トレイルの作成 ページで、トレイルのパラメーターを設定します。

   • 基本情報

     パラメーター	説明
     トレイル名	トレイルの名前です。この名前は、イベントを SLS に配信する場合、Logstore の名前としても使用されます。 説明 トレイル名は一意である必要があります。
     TrailEventType	配信するイベントタイプです。有効な値は以下のとおりです。 管理イベント：デフォルトで選択されています。イベントタイプを選択します。有効な値は以下のとおりです。 すべてのイベント: 読み取りイベントと書き込みイベントの両方を含みます。監査規制および標準では、完全なイベント記録が強調されています。すべてのイベント を選択することを推奨します。 書き込みイベント：クラウドリソースの作成、削除、または変更を行うイベントです（例：CreateInstance：サブスクリプションまたは従量課金の ECS インスタンスを作成）。カスタム分析のためにリソースに影響を与えるイベントのみをエクスポートする必要がある場合に、このオプションを選択します。 読み取り：クラウド構成の作成、削除、または変更を行わず、リソース情報のみを読み取るイベントです（例：DescribeInstances：1 つ以上の ECS インスタンスの詳細を照会）。読み取りイベントは大量のデータを生成し、ストレージ容量を大きく消費しますが、AccessKey の使用状況およびリソースアクセスの完全な記録を維持するために、読み取りイベントの配信を推奨します。 インサイトイベント：このオプションを選択します。Insights イベントを選択すると、すべての管理イベントが自動的に選択されます。ActionTrail は管理イベントを分析して、リスクのある API 呼び出し、API エラー、IP ベースのリクエスト、AccessKey ベースの呼び出し、権限変更、パスワード変更、トレイル隠蔽アクティビティを特定し、Insights イベントを生成します。詳細については、「Insights イベントの概要」をご参照ください。 データイベント：クラウドサービス内のデータに対する読み取りおよび書き込みイベントです。以下のいずれかのオプションを選択できます。 Turn off data events：データイベントは記録されません。 All resources：すべてのデータイベントが記録されます。 Specified resources：指定されたリソースのデータイベントのみが記録されます。 説明 ActionTrail コンソールで作成されるトレイルは、デフォルトですべてのリージョンからのイベントを配信します。特定のリージョン向けのトレイルを作成するには、[CreateTrail] API オペレーションを呼び出し、TrailRegion パラメーターを設定してください。

   • 他のアカウントに配信

     イベントを Simple Log Service (SLS)、Object Storage Service (OSS)、または MaxCompute に配信できます。これらのサービスすべてに同時にイベントを配信することも可能です。詳細については、「指定された Alibaba Cloud サービスへのイベント配信」をご参照ください。

     説明

     トレイルは、有効化後に生成された新しいイベントのみを配信します。過去 90 日間に存在していた既存のイベントは配信されません。過去のイベントを指定された送信先に配信するには、データバックフィルタスクを作成してください。詳細については、「データバックフィルタスクの作成」をご参照ください。

     • Log Service に配信 を選択します。

       • 現在のアカウントに配信 を選択し、以下のパラメーターを設定します。

         パラメーター	説明
         ログプロジェクト	SLS へのイベント配信のためのプロジェクトの選択方法です。 新しい Log Service プロジェクト 既存の Log Service プロジェクト
         Logstore のリージョン	プロジェクトが存在するリージョンです。
         プロジェクト名	SLS 内のプロジェクト名です。 説明 プロジェクト名は、すべての Alibaba Cloud アカウント間でグローバルに一意です。 新しい Log Service プロジェクト を選択すると、ActionTrail コンソール上でプロジェクトが作成されます。プロジェクト名を入力してください。 既存の Log Service プロジェクト を選択すると、SLS 内に存在する既存のプロジェクト名を選択します。 SLS コンソールでプロジェクトを作成する方法については、「Logtail を使用した ECS テキストログの収集と分析」をご参照ください。 説明 正常に配信された後、ActionTrail は actiontrail_{trail_name} という名前の Logstore を自動的に作成します。この Logstore には、クエリ用のインデックスやダッシュボードなど、監査に最適化された設定が含まれています。ActionTrail はデータの正確性を確保するため、ユーザーの書き込み権限を無効にします。事前に Logstore を作成する必要はありません。

       • 他のアカウントに配信 を選択し、Log Service プロジェクト ARN および 配信先アカウントの RAM ロール ARN を設定します。

         別のアカウントにイベントを配信するには、まず宛先アカウントに RAM ロールを作成し、ActionTrail がイベントを配信できるように権限を付与する必要があります。また、事前にプロジェクトを作成しておく必要があります。詳細については、「複数の Alibaba Cloud アカウントから特定のアカウントへのイベント配信」をご参照ください。

     • OSS に配信 を選択します。

       • 現在のアカウントに配信 を選択し、以下のパラメーターを設定します。

         パラメーター	説明
         バケット	OSS へのイベント配信のためのバケットの選択方法です。 新しいバケットの作成 既存のバケットの選択
         バケット名	OSS 内のバケット名です。バケット名は Alibaba Cloud アカウント内で一意である必要があります。 新しいバケットの作成 を選択すると、ActionTrail コンソール上でバケットが作成されます。バケット名を入力してください。 既存のバケットの選択 を選択すると、OSS 内に存在する既存のバケット名を選択します。 OSS コンソールでバケットを作成する方法については、「バケットの作成」をご参照ください。 重要 中国本土でバケットを作成する場合は、実名登録を完了する必要があります。
         ログファイルのプレフィックス	オブジェクトとして保存されるログファイルのプレフィックスです。プレフィックスを使用すると、イベントをより簡単に検索できます。
         サーバー暗号化	バケット内のログファイルを暗号化するかどうかを指定します。このパラメーターは、新しいバケットの作成 を選択した場合に必須です。有効な値は以下のとおりです。 OSS フルマネージド：OSS が管理するキーを使用してデータを暗号化します。OSS は各オブジェクトごとに一意のキーを使用し、これらのキーを定期的にローテーションされるマスターキーで暗号化します。 KMS：Key Management Service (KMS) を使用してデータを暗号化します。この方法を使用する前に、KMS を有効化する必要があります。詳細については、「KMS インスタンスの購入と有効化」をご参照ください。 有効化しない：サーバ側暗号化を無効にします。
         保持ポリシーの有効化	OSS は WORM (Write Once, Read Many) 機能をサポートしています。コンプライアンス保持ポリシーを有効化することで、指定された期間、データを不変の状態で保存できます。有効な値は以下のとおりです。 有効化しない（デフォルト） 有効化

       • 他のアカウントに配信 を選択し、OSS バケットの RAM ロール ARN、バケット名、および ログファイルのプレフィックス を設定します。

         別のアカウントにイベントを配信するには、まず宛先アカウントに RAM ロールを作成し、ActionTrail がイベントを配信できるように権限を付与する必要があります。また、事前に OSS バケットを作成しておく必要があります。詳細については、「複数の Alibaba Cloud アカウントから特定のアカウントへのイベント配信」をご参照ください。

     • MaxCompute への配信 を選択します。

       • 現在のアカウントに配信 を選択し、以下のパラメーターを設定します。

         パラメーター	説明
         MaxCompute リージョン	送信先の MaxCompute プロジェクトのリージョンです。 説明 ActionTrail は監査ログを、指定された MaxCompute リージョン内の actiontrail_{Alibaba_Cloud_Account_ID} プロジェクトに配信します。MaxCompute プロジェクト名はアカウント単位で一意であるため、この名前のプロジェクトがすでに存在する場合は、ActionTrail はデフォルトでそのプロジェクトにログを配信します。
         MaxCompute プロジェクトのクォータ	MaxCompute プロジェクトのクォータです。 説明 MaxCompute にイベントを配信するトレイルを初めて作成する際は、クォータを選択する必要があります。現在のリージョンに利用可能なクォータがない場合は、別の MaxCompute リージョンを選択してください。

       • 他のアカウントに配信 を選択し、MaxCompute ARN および MaxCompute 書き込みロール ARN を設定します。

         別のアカウントにイベントを配信するには、まず宛先アカウントに RAM ロールを作成し、ActionTrail がイベントを配信できるように権限を付与する必要があります。また、事前に MaxCompute プロジェクトを作成しておく必要があります。詳細については、「複数の Alibaba Cloud アカウントから特定のアカウントへのイベント配信」をご参照ください。

6. 配信先アカウントの RAM ロール ARN をクリックします。