ある企業のセキュリティ・コンプライアンスチームが、AWS Organizations配下の25のメンバーアカウントを対象とした長期的なセキュリティ調査基盤を新規に構築しようとしています。要件は以下の通りです：
・全アカ

Question

ある企業のセキュリティ・コンプライアンスチームが、AWS Organizations配下の25のメンバーアカウントを対象とした長期的なセキュリティ調査基盤を新規に構築しようとしています。要件は以下の通りです：
・ 全アカウントのCloudTrail管理イベントを単一のデータストアに集約する
・ AthenaテーブルやGlueパーティションの管理なしにコンソールから直接SQLクエリを実行できる
・ 最大7年間イベントデータを保持してコンプライアンス監査に対応する
・「特定IAMユーザーが過去3年間に実行したすべてのAPI操作をアカウント横断で検索する」ようなクロスアカウントクエリが実行できる

最もこの要件を満たすアーキテクチャはどれですか？

Accepted Answer

正解: AWS CloudTrail Lake のイベントデータストアを作成し、Organizations統合を有効にして全メンバーアカウントのイベントを集約する。最大7年間の保持期間を設定し、組み込みのクエリエディタでSQLを直接実行する。正解：
AWS CloudTrail Lake のイベントデータストアを作成し、Organizations統合を有効にして全メンバーアカウントのイベントを集約する。7年の保持期間を設定し、組み込みのクエリエディタでSQLを直接実行する。

AWS CloudTrail Lake はCloudTrailイベントのためのマネージドデータレイクで、Organizations統合により全メンバーアカウントのイベントを単一のイベントデータストアに自動集約できます。コンソール/APIからネイティブSQLクエリを直接実行でき、Athenaテーブルやパーティション管理は不要です。保持期間は最大7年以上を設定可能でコンプライアンス要件を満たします。
選択肢BのS3 + Glue + Athena は既存CloudTrailログに対してもクエリ可能な有効な手法ですが、Glueクローラーでのカタログ作成・S3パーティション設計・Athenaテーブル管理が必要で「Athenaテーブル管理不要」の要件を満たしません。
選択肢CのCloudTrail Insights は管理イベントのAPIコールボリューム異常を検出する機能に特化しており、任意のIAMユーザーの過去の操作履歴を自由なSQLで横断検索する用途には対応していません。
選択肢DのCloudWatch Logs Insights はCloudWatch Logs専用のクエリサービスであり、Organizations全体の統合クエリや7年の長期保持への最適化、SQL構文での柔軟なクロスアカウント分析の面でCloudTrail Lakeより劣ります。

Answer

各メンバーアカウントにCloudTrail証跡（Trail）を作成して中央S3バケットに集約し、S3ライフサイクルで7年間保持する。AWS Glueクローラーでデータカタログを作成してAmazon AthenaでクロスアカウントのSQLクエリを実行する — 各アカウントのTrailをS3に集約しGlue＋Athenaでクエリする構成は実現可能ですが、Glueクローラーやパーティションの管理が必要で『テーブル・パーティション管理なし』の要件に反します。運用負荷が高く最適ではありません。

Answer

AWS CloudTrail Insights を全アカウントで有効化し、異常なAPIアクティビティパターンを検出してInsightsイベントを7年間S3に保存・分析する — CloudTrail InsightsはAPI呼び出し・書き込み率の異常検知に特化した機能で、全イベントを横断的にSQL検索する用途には対応しません。網羅的なクロスアカウントの監査クエリ基盤としては不適です。

Answer

Amazon CloudWatch Logsに全アカウントのCloudTrailログを転送し、7年間のログ保持期間を設定する。CloudWatch Logs Insightsのクエリ言語でログを分析するとともにクロスアカウントのロググループ集約を設定する — CloudWatch LogsへCloudTrailを転送しLogs Insights独自言語で分析する構成は、ネイティブSQLでの自由なクロスアカウント検索やイベントデータストアとしての集約に最適化されておらず、長期監査用途では管理が煩雑です。

解説

解説