CloudTrailとは ― 操作の記録とAWS Configとの違い

セキュリティグループの設定が変わっていた。EC2インスタンスが消えていた。そんなとき、誰がいつ何をしたかを調べられるのが、AWS CloudTrailです。AWSアカウントで行われた操作を、イベントとして記録するサービスです。

記録されるのは、ユーザーやロール、AWSのサービスが行った操作です。マネジメントコンソールでの操作も、CLIやSDKからのAPIの呼び出しも、同じように残ります。CloudTrailは、IAMで権限を与えたユーザーやロールの操作を後から確認するための記録です。リソースの状態を監視するCloudWatchとは、対象が違います。

AWSのユーザーガイドは、CloudTrailを監査・ガバナンス・コンプライアンスのためのサービスと説明しています。記録を確認する方法には、イベント履歴・証跡・CloudTrail Lakeの3つがあります。

例として、ある開発者がセキュリティグループで22番ポートを開けたとします。SSHで接続できるように、送信元を0.0.0.0/0にした変更です。この操作は、EC2のAuthorizeSecurityGroupIngressというAPIの呼び出しです。呼び出し1回が、1件のイベントになります。

イベントは、項目ごとに値を持つJSON形式の記録です。主な項目と、この例での値は次のとおりです。

userIdentityに入るのは、IAMの記事で説明したユーザーやロールなどの識別情報です。ロールを引き受けて操作したときは、引き受けたロールの情報が残ります。ルートユーザーでの操作も、ルートユーザーだと分かる形で残ります。AWSのサービスが利用者に代わって呼んだAPIも記録され、どのサービスが呼んだかが分かります。

イベントが記録されるのは、操作が成功したときだけではありません。権限が無くて失敗した操作も、エラーの内容とともに残ります。そのため、誰かが許可されていない操作を試みたことも検知できます。

イベント履歴は、アカウントを作ると最初から使える記録です。1つのリージョンの、過去90日の管理イベントを見られます。画面で1つの項目を条件に検索でき、ダウンロードもできます。

90日より前の操作を調べるには、事前に証跡を作っておく必要があります。証跡は、イベントを自分で指定したS3バケットに送り続ける設定です。英語ではトレイルと呼びます。

証跡のログは、S3のバケットにファイルとして届きます。ファイルは、自分で削除するまで残ります。S3のライフサイクルルールで、古いファイルを削除することもできます。ログが届くのは、APIの呼び出しから平均で約5分後です。この時間は保証されていません。

イベント履歴と証跡は、それぞれ独立して動作します。証跡の設定を変えても、イベント履歴の内容は変わりません。CloudTrail Lakeは、イベントを集めてSQLで調べる方法です。料金は別にかかります。

CloudTrailが記録するイベントは、4つの種類に分かれます。このうち、既定で記録されるのは管理イベントだけです。ほかの種類は、証跡などで選んで追加します。追加の料金がかかります。

管理イベントは、リソースを作ったり設定を変えたりする操作の記録です。前の節のセキュリティグループの変更も、管理イベントです。AWSのユーザーガイドは、この種類の操作をコントロールプレーンの操作とも呼んでいます。

データイベントは、S3のオブジェクトの読み書きのような、リソースの中のデータへの操作の記録です。件数が多くなりやすいため、既定では記録されず、イベント履歴にも表示されません。S3のファイルを誰が読んだかを調べたいなら、事前に証跡で記録を開始しておく必要があります。

AWS Configは、AWSのリソースの設定を記録し、その変化を追跡できるサービスです。記録の頻度を連続にすると、Configは設定が変わるたびに、その時点の設定を設定項目として記録します。頻度を1日ごとにすると、1日に1回、前回と違うときだけ記録します。CloudTrailが残すのは操作で、Configが残すのは操作の結果の設定です。

Configには、設定がルールに合っているかを判定する機能もあります。Configルールは、記録した設定を条件と照合し、COMPLIANTかNON_COMPLIANTかを判定します。評価は、設定が変わったときや、指定した間隔ごとに実行されます。

前の節と同じ、22番ポートを開けた変更で比較します。CloudTrailには、誰がAPIを呼んだかが残ります。Configには、変更前と変更後の設定が残ります。restricted-sshというルールは、この変更をNON_COMPLIANTと判定します。このルールは、SSHを0.0.0.0/0から許可しているセキュリティグループを違反とみなします。

Configの設定項目に残るのは、その時点の設定と、ほかのリソースとの関係です。AWSの開発者ガイドは、リソースに行われた操作のイベントは、CloudTrailで調べるよう案内しています。設定がどう変わったかはConfigで、誰が変更したかはCloudTrailで確認します。

CloudWatchは、性能の数値やログを監視し、しきい値を超えたら通知するサービスです。CloudTrailとの違いはCloudWatchの記事でも説明しています。次の表は、3つのサービスを比較したものです。記録の設定をしてから使い始める点は、Configだけの特徴です。

どのサービスで調べるかは、知りたいことの種類で決まります。次の図で問いを選ぶと、使うサービス・その理由・確認する場所が切り替わります。

誰がしたかを知りたいときはCloudTrail、設定とルールを知りたいときはConfigです。数値の変化を知りたいときは、CloudWatchを使います。操作をすぐに通知したいときは、CloudTrailの記録をCloudWatchで監視します。

1つ目は、不正な操作の調査です。認証情報が盗まれたときは、そのユーザーやロールが何をしたかを、イベントの日時をもとに順にたどれます。インシデントの対応の流れはCSIRTの記事、証拠の扱い方はデジタルフォレンジックスの記事で説明しています。管理イベントを自動で分析して不審な操作を検知するサービスには、Amazon GuardDutyがあります。

2つ目は、監査です。証跡のログファイルには、整合性の検証という機能があります。CloudTrailが配信したあとにログファイルが改ざんされていないかを、この機能で確認できます。Systems ManagerのSession Managerでの接続も、StartSessionのイベントとして残ります。

3つ目は、特定の操作の通知です。証跡からCloudWatch Logsにイベントを送り、メトリクスフィルタで特定の操作を集計します。AWSのユーザーガイドの例では、セキュリティグループの変更が5分間に1件以上あるとアラームになります。通知はSNSで送ります。特定の操作をきっかけに処理を動かしたいときは、Amazon EventBridgeのルールも使えます。

CloudTrailの料金は、証跡で送るイベントの種類と件数で決まります。次の表の値は、2026年10月28日にAWSの料金ページで確認したものです。

証跡を1つ作って管理イベントだけを送るなら、CloudTrailの料金はかかりません。ただし、届いたログの保管料金は、S3の料金としてかかります。最新の値はCloudTrailの料金ページで確認してください。

AWS Configの料金は、記録した設定項目の数と、ルールの評価の数などで決まります。単価はリージョンによって違うため、Configの料金ページで確認してください。従量課金の考え方は、料金の記事にまとめています。

• AWS「What Is AWS CloudTrail?」（CloudTrailの定義、記録の方法）
• AWS「How CloudTrail works」（イベント履歴の90日、証跡とS3、ログが届くまでの時間）
• AWS「CloudTrail concepts」（イベントの4つの種類と既定の記録）
• AWS「CloudTrail record contents for management, data, and network activity events」（イベントの項目）
• AWS「Creating CloudWatch alarms for CloudTrail events: examples」（セキュリティグループの変更を通知する例）
• AWS「Validating CloudTrail log file integrity」（ログファイルの整合性の検証）
• AWS「What Is AWS Config?」とAWS「AWS Config terminology and concepts」（Configの定義、設定項目、ルールの評価結果）
• AWS「Recording AWS Resources with AWS Config」（記録の頻度：連続と1日ごと）
• AWS「Components of a Configuration Item」（リソースのイベントはCloudTrailで調べること）
• AWS「restricted-ssh」（SSHの送信元を判定するマネージドルール）
• AWS「AWS CloudTrail Pricing」とAWS「AWS Config Pricing」（料金の仕組みと単価）