複数人でAWSを利用する時に知っておくべきセキュリティ設定

「AWSマネジメントコンソールにログインできる人はあなただけですか？」

ほとんどの企業が、この質問に対して”No”と答えるでしょう。
社長自らAWSコンソールにログインしてシステムを運用しているというのは一人会社をのぞくと少数ではないでしょうか。

複数人がAWSコンソールへログインして操作する場合、セキュリティ的に注意すべき観点は以下の2点です。

悪意のあるユーザーの不正操作
人為的な操作ミス

上記２つの対策として有効な方法は、IAMユーザーアカウントの権限を適切に設定することです。
権限を絞ることによって不要な操作を物理的にできなくしてしまえば、不正操作や操作ミスのリスクを下げることができます。

とはいえ、権限を絞り過ぎてしまうと肝心の作業に影響を与えてしまうといったことも考えられます。

このようなケースの場合は、多少のリスクを覚悟して権限を与えることになりますが、
あとで権限を与えたユーザーの操作履歴を見れるようにすることが必要と言えるでしょう。

また「操作履歴をとっている」ことを周知しておくことで悪意のあるユーザーに対して一定の牽制にもなります。

この”操作履歴を取得する”という機能を提供するのがCloudTrail(クラウドトレイル)というAWSサービスです。

今回は、CloudTrailについてご紹介したいと思います。

CloudTrailとは？
CloudTrailの料金
CloudTrailによって取得した履歴を確認する方法（無料）
CloudTrailを使って特定の操作をEメール通知する方法（有料）

CloudTrailとは？

“CloudTrail”はクラウドトレイルと読みます。

CloudTrailとは、IAMユーザーやIAMロール、またはAWSサービスによって行われた以下の操作履歴を取得してくれるサービスです。

AWSマネジメントコンソール
AWS Command Line Interface
AWS SDK
AWS API

特に何も設定をしなくても、デフォルトですべての操作履歴が90日間保管されることになっています。

それ以上のログを保管したい、通知を利用したいといった場合はS3への保管、CloudWatch Logsとの連携、CloudWatchアラームを通してSNSによるEメール通知を行うといったことで実現することが可能です。
※下記”CloudTrailを使って特定の操作をEメール通知する方法（有料）”で、その設定方法をご紹介します。

また、AWSでは”CloudTrailパートナー”というサードパーティ製の製品やサービスを紹介しております。（詳細はこちら）

このような製品やサービスを利用することで、取得したログに対し、より複雑な分析や可視化を行うことが可能となります。

引用元：AWS クラウドサービス活用資料集

CloudTrailの料金

CloudTrail自体の利用料金は無料です。

CloudTrailコンソール画面からのイベント履歴参照やログデータのダウンロードを行うだけであれば利用料金はかかりません。

ただし、ログを90日以上保管するであるとか、特定のイベントに対して通知を行うといった場合は、他のAWSサービスを組み合わせる必要がありますので、その分の利用料金がかかります。

下記でご紹介している「特定のイベント操作をEメール通知する方法」は以下の料金が別途必要となりますのでご注意ください。

操作履歴を保管するためのS3保管料
CloudWatch Logsの操作履歴保管料
CloudWatch アラーム利用料
SNS利用料

CloudTrailによって取得した履歴を確認する方法（無料）

まずは、基本的な操作履歴を確認する方法をご紹介します。
ここでご紹介する方法は”無料”でご利用いただけます。

(1)CloudTrailコンソールより、左メニューの[イベント履歴]をクリックします

(2)フィルターによってどのような操作履歴を抽出するかを決定します。
※読み取り専用＝tureは、リソースの読み取りのみを行い、変更を行わないイベントを抽出します。
一方、falseとした場合、リソースの変更を伴うもの、例えばインスタンス起動や削除といったイベントを抽出します。

(3)時間範囲を設定することで、指定の時間範囲の操作履歴を抽出することができます。

(4)各イベント履歴の[▶︎]をクリックすることで詳細情報を確認することが可能です

(5)ダウンロードボタンをクリックすることで、”CSV”や”JSON”形式でダウンロードすることができます

このようにしてCloudTrailコンソール画面上で操作履歴を確認したり、ファイルに落として確認したりすることが可能です。

CloudTrailを使って特定の操作をEメール通知する方法（有料）

さぁ、それでは応用編です。
ここでご紹介する方法は”有料”となりますのでご注意ください。

CloudTrailを使って特定の操作が行われたらEメール通知される仕組みを設定してみたいと思いますが、
そもそもどのような操作を通知すべきかわからない、といった方が多いかと思います。

AWSでは推奨の通知項目を簡単に設定できるようにCloudFormationテンプレートにまとめられております。

◆CloudFormationテンプレートにまとめられている推奨の通知項目

開始や削除といったEC2インスタンスの再起動等の状態変更
セキュリティグループの変更
VPCの変更
CloudTrailの変更
認証の失敗
コンソールへのログイン失敗
4xlarge、または8xlargeサイズのEC2インスタンスの起動
インターネットゲートウェイ等のネットワークゲートウェイに関する変更
IAMポリシーの変更
ネットワークACLの変更

今回は、こちらのテンプレートを利用した設定方法をご紹介したいと思います。

(1)CloudTrailコンソール画面の左メニューより[証跡情報]をクリックし、[証跡の作成]をクリックします

(2)”証跡名”に任意の名前を入力、”読み込み/書き込みイベント”の選択、証跡情報を格納するS3バケットを追加します。
※下記画像では、既存のS3バケットではなく、新規でS3バケットを作成して、作成したS3バケットに証跡を入れる設定としております。
※書き込み専用とすることで変更を伴わない操作ログを捨て、S3への保管料やCloudWatch Logsへの保管料を抑えることが可能です。

設定完了しましたら[作成]をクリックします