複数アカウントのAPI操作を一元監査する

認証、認可、暗号化、監査、境界防御の役割を整理する。

CloudTrail組織トレイル

Organizations内のアカウントへCloudTrail設定を適用するトレイル。

ログアカウント

監査ログを集約し、ワークロードから分離して管理するアカウント。

S3集約

複数アカウントのログを中央S3バケットへ保存すること。

管理イベント

AWSリソースの作成・変更などのAPI操作イベント。

各アカウントで個別にCloudTrailを設定し、ログを各アカウントだけへ保存する

集約と中央監査を満たしにくく、管理者による操作の影響を受ける。

ログ保存先バケットへの削除権限を全管理者へ与える

監査証跡を削除でき、改ざん耐性を損なう。