翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

CloudTrail Lake ダッシュボード

CloudTrail Lake ダッシュボードを使用して、アカウント内のイベントデータストアのイベント傾向を表示できます。 CloudTrail Lake には、次のタイプのダッシュボードが用意されています。

各ダッシュボードは 1 つ以上のウィジェットで構成され、各ウィジェットはSQLクエリの結果をグラフィカルに表示します。ウィジェットのクエリを表示するには、クエリの表示と編集を選択してクエリエディタを開きます。

ダッシュボードが更新されると、 CloudTrail Lake はクエリを実行してダッシュボードのウィジェットにデータを入力します。クエリを実行するとコストが発生するため、 はクエリの実行に関連するコストを確認するよう CloudTrail 求めます。 CloudTrail 料金の詳細については、CloudTrail 「 の料金」を参照してください。

前提条件

CloudTrail Lake ダッシュボードには、次の前提条件が適用されます。

制限

CloudTrail Lake ダッシュボードには、次の制限が適用されます。

リージョンのサポート

CloudTrail Lake ダッシュボードは、 CloudTrail Lake AWS リージョン がサポートされているすべての でサポートされています。

Highlights ダッシュボードのアクティビティ概要ウィジェットは、次のリージョンでサポートされています。

他のすべてのウィジェットは、 CloudTrail Lake AWS リージョン がサポートされているすべての でサポートされています。

CloudTrail Lake でサポートされているリージョンの詳細については、「」を参照してくださいCloudTrail Lake でサポートされるリージョン。

必要なアクセス許可

このセクションでは、 CloudTrail Lake ダッシュボードに必要なアクセス許可と、次の 2 種類のIAMポリシーについて説明します。

ID ベースのポリシー要件

アイデンティティベースのポリシーは、 IAM ユーザー、ユーザーのグループ、ロールなど、アイデンティティにアタッチできるJSONアクセス許可ポリシードキュメントです。これらのポリシーは、ユーザーとロールが実行できるアクション、リソース、および条件をコントロールします。ID ベースのポリシーを作成する方法については、「 IAMユーザーガイド」の「カスタマー管理ポリシーを使用してカスタムIAMアクセス許可を定義する」を参照してください。

CloudTrail Lake ダッシュボードを表示および管理するには、次のいずれかのポリシーが必要です。

ダッシュボードの作成に必要なアクセス許可

次のサンプルポリシーは、ダッシュボードを作成するために必要な最小限のアクセス許可を提供します。partition、region、account-id、および を設定の値eds-idに置き換えます。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "Statement1",
            "Effect": "Allow",
            "Action": [
                "cloudtrail:CreateDashboard",
                "cloudtrail:StartDashboardRefresh",
                "cloudtrail:StartQuery"
            ],
            "Resource": [
                "arn:partition:cloudtrail:region:account-id:dashboard/*",
                "arn:partition:cloudtrail:region:account-id:eventdatastore/eds-id"
            ]
        }
    ]
}

ダッシュボードを更新するために必要なアクセス許可

次のサンプルポリシーは、ダッシュボードを更新するために必要な最小限のアクセス許可を提供します。partition、region、account-id、および を設定の値eds-idに置き換えます。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "Statement1",
            "Effect": "Allow",
            "Action": [
                "cloudtrail:UpdateDashboard",
                "cloudtrail:StartDashboardRefresh",
                "cloudtrail:StartQuery"
            ],
            "Resource": [
                "arn:partition:cloudtrail:region:account-id:dashboard/*",
                "arn:partition:cloudtrail:region:account-id:eventdatastore/eds-id"
            ]
        }
    ]
}

ダッシュボードを更新するために必要なアクセス許可

次のサンプルポリシーは、ダッシュボードを更新するために必要な最小限のアクセス許可を提供します。partition、region、、account-id、 を、設定の値dashboard-nameeds-idに置き換えます。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "Statement1",
            "Effect": "Allow",
            "Action": [
                "cloudtrail:StartDashboardRefresh",
                "cloudtrail:StartQuery"
            ],
            "Resource": [
                "arn:partition:cloudtrail:region:account-id:dashboard/dashboard-name",
                "arn:partition:cloudtrail:region:account-id:eventdatastore/eds-id"
            ]
        }
    ]
}

ダッシュボードとイベントデータストアのリソースベースのポリシー

リソースベースのポリシーは、リソースにアタッチするJSONポリシードキュメントです。リソースベースのポリシーの例としては、IAMロール信頼ポリシーと Amazon S3 バケットポリシーがあります。ポリシーがアタッチされているリソースの場合、指定されたプリンシパルがそのリソースに対して実行できるアクションと条件は、ポリシーによって定義されます。リソースベースのポリシーでは、プリンシパルを指定する必要があります。

手動またはスケジュールされた更新中にダッシュボードでクエリを実行するには、ダッシュボードのウィジェットに関連付けられているすべてのイベントデータストアにリソースベースのポリシーをアタッチする必要があります。これにより、 CloudTrail Lake はユーザーに代わってクエリを実行できます。カスタムダッシュボードを作成するか、 CloudTrail コンソールを使用して Highlights ダッシュボードを有効にすると、 はアクセス許可を適用するイベントデータストアを選択するオプション CloudTrail を提供します。リソースベースのポリシーの詳細については、「」を参照してください例: CloudTrail がクエリを実行してダッシュボードを更新することを許可する。

ダッシュボードの更新スケジュールを設定するには、リソースベースのポリシーをダッシュボードにアタッチして、 CloudTrail Lake がユーザーに代わってダッシュボードを更新できるようにする必要があります。カスタムダッシュボードの更新スケジュールを設定するか、 CloudTrail コンソールを使用して Highlights ダッシュボードを有効にすると、 は、ダッシュボードにリソースベースのポリシーをアタッチするオプション CloudTrail を提供します。ポリシーの例については、「ダッシュボードのリソースベースのポリシーの例」を参照してください。

リソースベースのポリシーは、 CloudTrail コンソール、、AWS CLIまたは PutResourcePolicyAPIオペレーションを使用してアタッチできます。

KMS イベントデータストア内のデータを復号するためのキーアクセス許可

クエリ対象のイベントデータストアがKMSキーで暗号化されている場合は、KMSキーポリシーで CloudTrail がイベントデータストア内のデータを復号できることを確認してください。次のポリシーステートメントの例では、 CloudTrail サービスプリンシパルがイベントデータストアを復号化できるようにします。

{
      "Sid": "AllowCloudTrailDecryptAccess",
      "Effect": "Allow",
      "Principal": {
          "Service": "cloudtrail.amazonaws.com"
        },
      "Action": "kms:Decrypt",
      "Resource": "*"
}