Benchmarkという、汎用的なセキュリティガイドラインが提供されている(*1)。その中で、以下のようにCloudTrailのログをKMS暗号化することが推奨されている。(Scored)また、CloudTrailのログは、一つの管理アカウントに集約する運用もままある(*2)。双方を両立させる設定について、公式ドキュメントに一部(*3)載っているが、通しての手順はネット上でも見つからなかったので、忘備録として残しておく。111111111111)バケットを持つアカウント。KMSのCMKもここに作る。222222222222)Trailログ取得が必要になるアカウント。手順<Trail管理アカウント>S3バケットを作る次の手順で、S3バケットを自動生成するオプションもあるが、予め作ってあるバケットにTrailログを保存することもできる。ここでは、自分でS3バケットを作る手順で進める。バケット作成は、デフォルトのまま、任意のリージョンでOK。既存のCMKを使う場合は、リージョンを揃える必要がある。バケットポリシーは公式サイト(*4)より以下となる。]}<Trail管理アカウント>Trail設定をするTrail認証情報を作成する。バケット指定はバケット名で行う。例)myBucketNameKMSもS3バケットと同じく、予め用意したものを指定できるが、ポリシーが結構複雑になるので、自動生成に任せた方が楽。ここまでの手順でTrailログがバケットに流れ込み出すはず。<Trail管理アカウント>CMKポリシーの修正Trail管理配下アカウントのために、CMKポリシーを修正する。IAM画面から、先の手順で作られた暗号化キーを参照する。見つからない場合は、リージョンが合っているかを確認する。※画面右上のものでない対象キーを選択、キーポリシー欄にて、ポリシービューに切り替えて、編集できる状態にする。以下の部分を修正する。},StringLikeの要素をリストにし、管理配下のアカウントを追加する。<Trail管理配下アカウント>Trail設定をするほぼ同様の手順でOK。バケット名はリージョン内でユニークなはずなので、先と同じくバケット名でよい。KMSの指定は、ARNで行う。例)arn:aws:kms:ap-northeast-1:111111111111:key/xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxこれで、管理配下のTrailログも、管理アカウントのバケットに流れ込む。目視でもいいが、Configでチェックするとより安心。S3をはじめとするAWSの各種プロダクトを利用する際の、導入・設計から運用保守を含んだフルマネージドのサービスを提供し、バックアップや24時間365日の監視/障害対応、技術的な問い合わせに対するサポートなどを行っております。AWS上のインフラ構築およびAWSを活用したシステム開発など、案件のご相談はcloudpack.jpよりご連絡ください。cloudpack.。