翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

# 証跡イベントを CloudTrail Lake にコピー
<a name="cloudtrail-copy-trail-to-lake"></a>

既存の証跡イベントを CloudTrail Lake イベントデータストアにコピーして、証跡に記録されたイベントのpoint-in-timeスナップショットを作成できます。証跡イベントをコピーしても、イベントをログに記録する証跡の機能が損なわれることはなく、証跡が変更されることもありません。

証跡イベントは、CloudTrail イベント用に設定された既存のイベントデータストアにコピーするか、新しい CloudTrail イベントデータストアを作成し、イベントデータストア作成の一環として **[証跡イベントのコピー]** のオプションを選択することが可能です。証跡イベントを既存のイベントデータストアにコピーする方法の詳細については、「[CloudTrail コンソールを使用して証跡イベントを既存のイベントデータストアにコピーする](cloudtrail-copy-trail-events.md)」を参照してください。新しいイベントデータストアの作成方法に関する詳細は、「[コンソールを使用して CloudTrail イベント用にイベントデータストアを作成する](query-event-data-store-cloudtrail.md)」を参照してください。

証跡イベントを CloudTrail Lake イベントデータストアにコピーすると、コピーしたイベントに対してクエリを実行できます。CloudTrail Lake のクエリは、イベント履歴での単純なキーと値のルックアップ、または `LookupEvents` の実行よりも、さらに詳細でカスタマイズ可能なイベントのビューを提供します。CloudTrail Lake の詳細については、「[AWS CloudTrail Lake の使用](cloudtrail-lake.md)」を参照してください。

証跡イベントを組織のイベントデータストアにコピーするには、組織の管理アカウントを使用する必要があります。組織の委任された管理者アカウントを使用して、証跡イベントをコピーすることはできません。

CloudTrail Lake のイベントデータストアには料金が発生します。イベントデータストアを作成する際に、イベントデータストアに使用する[料金オプション](cloudtrail-lake-manage-costs.md#cloudtrail-lake-manage-costs-pricing-option)を選択します。料金オプションによって、イベントの取り込みと保存にかかる料金、および、そのイベントデータストアのデフォルトと最長の保持期間が決まります。CloudTrail 料金の詳細については、 ユーザーガイドの「[AWS CloudTrail の料金](https://aws.amazon.com/cloudtrail/pricing/)」および「[CloudTrail Lake のコスト管理](cloudtrail-lake-manage-costs.md)」を参照してください。

証跡イベントを CloudTrail Lake イベントデータストアにコピーすると、イベントデータストアが取り込む非圧縮データの量に基づいて料金が発生します。

証跡イベントを CloudTrail Lake にコピーすると、CloudTrail は gzip (圧縮) 形式で保存されているログを解凍し、ログに含まれるイベントをイベントデータストアにコピーします。非圧縮データのサイズは、実際の S3 ストレージサイズよりも大きくなる可能性があります。圧縮されていないデータのサイズを概算するには、S3 バケット内のログのサイズに 10 を掛けます。

コピーするイベントの時間範囲を短くすることで、コストを削減できます。コピーしたイベントのクエリにイベントデータストアのみを使用する予定の場合は、イベントの取り込みを無効にして、今後のイベントで料金が発生しないようにすることができます。詳細については、「[AWS CloudTrail  料金表](https://aws.amazon.com/cloudtrail/pricing/)」と「[CloudTrail Lake のコスト管理](cloudtrail-lake-manage-costs.md)」を参照してください。

**シナリオ**

次の表は、証跡イベントのコピーに関する一般的なシナリオと、コンソールを使用して各シナリオを実行する方法について示したものです。


| シナリオ | どうすればコンソールでこれを実行できますか? | 
| --- | --- | 
| 新しいイベントを取り込まずに、CloudTrail Lake の過去の証跡イベントを分析し、クエリを実行します。 | [新しいイベントデータストア](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/query-event-data-store-cloudtrail.html#query-event-data-store-cloudtrail-procedure)を作成し、イベントデータストアを作成する一環として **[証跡イベントをコピー]** を選択します。イベントデータストアを作成する際には、**[イベントを取り込む]** (手順のステップ 15) の選択を解除し、イベントデータストアが確実に証跡の過去のイベントのみを含み、未来のイベントは含まれないようにします。 | 
| 既存の証跡を CloudTrail Lake イベントストアに置き換える | 証跡と同じイベントセレクターを持つイベントデータストアを作成し、イベントデータストアの対象範囲が証跡と同じであることを確認します。<br />ソース証跡と送信先イベントデータストア間でイベントが重複しないようにするには、イベントデータストアの作成より前の、コピーされたイベントの日付範囲を選択します。<br />イベントデータストアを作成したら、証跡のログ記録をオフにします。そうすれば、追加料金の発生を防げます。 | 

**Topics**
+ [証跡イベントのコピーに関する留意事項](#cloudtrail-trail-copy-considerations)
+ [証跡イベントのコピーに必要な許可](#cloudtrail-copy-trail-events-permissions)
+ [CloudTrail コンソールを使用して証跡イベントを既存のイベントデータストアにコピーする](cloudtrail-copy-trail-events.md)

## 証跡イベントのコピーに関する留意事項
<a name="cloudtrail-trail-copy-considerations"></a>

証跡イベントをコピーする場合は、以下の要素を考慮してください。
+  証跡イベントをコピーするときに、CloudTrail は S3 [https://docs.aws.amazon.com/AmazonS3/latest/API/API_GetObject.html](https://docs.aws.amazon.com/AmazonS3/latest/API/API_GetObject.html) API オペレーションを使用して、ソース S3 バケットの証跡イベントを検索します。S3 Glacier Flexible Retrieval、S3 Glacier Deep Archive、S3 Outposts、S3 Intelligent-Tiering Deep Archive 階層など、一部の S3 でアーカイブされたストレージクラスには、`GetObject` を使用してアクセスできません。これらのアーカイブ済みストレージ クラスに保存されている証跡イベントをコピーするには、まず S3 `RestoreObject` オペレーションでコピーを復元する必要があります。アーカイブされたオブジェクトの復元の詳細については、「*Amazon S3 ユーザーガイド*」の「[アーカイブされたオブジェクトの復元](https://docs.aws.amazon.com/AmazonS3/latest/userguide/restoring-objects.html)」を参照してください。
+  証跡イベントをイベントデータストアにコピーすると、CloudTrail は送信先イベントデータストアのイベントタイプ、高度なイベントセレクタ、または の設定に関係なく、すべての証跡イベントをコピーします AWS リージョン。
+  証跡イベントを既存のイベントデータストアにコピーする前に、そのイベントデータストアの料金設定オプションと保持期間が、ご自身のユースケースについて適切に設定されていることを確認してください。
  + **料金オプション:** 料金オプションによって、イベントの取り込みと保存にかかるコストが決まります。料金オプションの詳細については、「[AWS CloudTrail 料金表](https://aws.amazon.com/cloudtrail/pricing/)」および「[イベントデータストアの料金オプション](cloudtrail-lake-manage-costs.md#cloudtrail-lake-manage-costs-pricing-option)」を参照してください。
  + **保持期間:** 保持期間によって、イベントデータをイベントデータストアに保持する期間が決まります。CloudTrail は、イベントデータストアの保持期間内の証跡イベントのうち、`eventTime` を持つもののみをコピーします。適切な保持期間を決定するには、コピーしたい最も古いイベントからの日数と、そのイベントをイベントデータストアに保持したい日数の合計を計算します (**保存期間** = {{最も古いイベントからの日数}} \+ {{保持する日数}})。例えば、コピーする最も古いイベントが 45 日前のもので、そのイベントをイベントデータストアにさらに 45 日間保持したい場合は、保持期間を 90 日間に設定します。
+ 調査のため証跡イベントをイベントデータストアにコピーしており、それ以上のイベントを取り込む必要がない場合は、イベントデータストアへの取り込みを停止できます。イベントデータストアを作成する際に、**[イベントを取り込む]** オプション ([手順](query-event-data-store-cloudtrail.md#query-event-data-store-cloudtrail-procedure)のステップ 15) の選択を解除し、イベントデータストアは確実に証跡の過去のイベントのみを含み、未来のイベントは含まれないようにします。
+  証跡イベントをコピーする前に、ソース S3 バケットにアタッチされているアクセスコントロールリスト (ACL) をすべて無効にして、送信先イベントデータストアの S3 バケットポリシーを更新します。S3 バケットとポリシーの更新の詳細については、「[証跡イベントのコピー用の Amazon S3 バケットポリシー](#cloudtrail-copy-trail-events-permissions-s3)」を参照してください。ACL の無効化の詳細については、「[オブジェクトの所有権の制御とバケットの ACL の無効化](https://docs.aws.amazon.com/AmazonS3/latest/userguide/about-object-ownership.html)」を参照してください。
+  CloudTrail は、ソース S3 バケットにある Gzip 圧縮ログファイルからのみ証跡イベントをコピーします。CloudTrail は、圧縮されていないのログファイルや Gzip 以外の形式を使用して圧縮されたログファイルから証跡イベントをコピーしません。
+  ソース証跡と送信先イベントデータストア間でイベントが重複しないようにするには、イベントデータストアの作成よりも前の、コピーされたイベントの時間範囲を選択します。
+  デフォルトでは、CloudTrail は S3 バケットの`CloudTrail`プレフィックスとプレフィックス内の`CloudTrail`プレフィックスに含まれる CloudTrail イベントのみをコピーし、他の AWS サービスのプレフィックスはチェックしません。別のプレフィックスに含まれる CloudTrail イベントをコピーする場合は、証跡イベントをコピーするときにプレフィックスを選択する必要があります。
+  証跡イベントを組織のイベントデータストアにコピーするには、組織の管理アカウントを使用する必要があります。委任された管理者アカウントを使用して、組織のイベントデータストアに証跡イベントをコピーすることはできません。

## 証跡イベントのコピーに必要な許可
<a name="cloudtrail-copy-trail-events-permissions"></a>

証跡イベントをコピーする前に、IAM ロールに必要なすべてのアクセス許可があることを確認してください。IAM ロールの許可を更新する必要があるのは、既存の IAM ロールを選択して証跡イベントをコピーする場合だけです。新しい IAM ロールの作成を選択した場合、CloudTrail によってロールに必要なアクセス許可がすべて提供されます。

ソース S3 バケットがデータ暗号化のために KMS キーを使用している場合は、KMS キーポリシーが CloudTrail によるバケット内のデータの復号を許可するようにしてください。ソース S3 バケットが複数の KMS キーを使用する場合、各キーのポリシーを更新して、CloudTrail によるバケット内のデータの復号を許可する必要があります。

**Topics**
+ [証跡イベントをコピーするための IAM 許可](#cloudtrail-copy-trail-events-permissions-iam)
+ [証跡イベントのコピー用の Amazon S3 バケットポリシー](#cloudtrail-copy-trail-events-permissions-s3)
+ [ソース S3 バケット内のデータを復号化するための KMS キーポリシー](#cloudtrail-copy-trail-events-permissions-kms)

### 証跡イベントをコピーするための IAM 許可
<a name="cloudtrail-copy-trail-events-permissions-iam"></a>

証跡イベントをコピーする場合は、新しい IAM ロールを作成するか、既存の IAM ロールを使用するか選択できます。新しい IAM ロールを選択すると、CloudTrail は必要な許可を持つ IAM ロールを作成するため、お客様側でそれ以上のアクションは必要ありません。

既存のロールを選択する場合は、IAM ロールのポリシーで CloudTrail が証跡イベントをソースの S3 バケットからコピーできることを確認してください。このセクションでは、必要な IAM ロールのアクセス許可と信頼ポリシーの例を示します。

次の例は、CloudTrail が証跡イベントをソースの S3 バケットからコピーできるアクセス許可ポリシーを示しています。{{amzn-s3-demo-bucket}}、{{myAccountID}}、{{region}}、{{prefix}}、および {{eventDataStoreId}} を設定に適切な値に置き換えます。{{myAccountID}} は CloudTrail Lake に使用される AWS アカウント ID であり、S3 バケットの AWS アカウント ID とは異なる場合があります。

{{key-region}}、{{keyAccountID}}、{{keyID}} を、ソース S3 バケットの暗号化に使用する KMS キーの値に置き換えます。送信元 S3 バケットが暗号化に KMS キーを使用しない場合は、`AWSCloudTrailImportKeyAccess` ステートメントを省略できます。

```
{
  "Version": "2012-10-17",		 	 	 
  "Statement": [
    {
      "Sid": "AWSCloudTrailImportBucketAccess",
      "Effect": "Allow",
      "Action": ["s3:ListBucket", "s3:GetBucketAcl"],
      "Resource": [
        "arn:aws:s3:::{{amzn-s3-demo-bucket}}"
      ],
      "Condition": {
        "StringEquals": {
          "aws:SourceAccount": "{{myAccountID}}",
          "aws:SourceArn": "arn:aws:cloudtrail:{{region}}:{{myAccountID}}:eventdatastore/{{eventDataStoreId}}"
         }
       }
    },
    {
      "Sid": "AWSCloudTrailImportObjectAccess",
      "Effect": "Allow",
      "Action": ["s3:GetObject"],
      "Resource": [
        "arn:aws:s3:::{{amzn-s3-demo-bucket}}/{{prefix}}",
        "arn:aws:s3:::{{amzn-s3-demo-bucket}}/{{prefix}}/*"
      ],
      "Condition": {
        "StringEquals": {
          "aws:SourceAccount": "{{myAccountID}}",
          "aws:SourceArn": "arn:aws:cloudtrail:{{region}}:{{myAccountID}}:eventdatastore/{{eventDataStoreId}}"
         }
       }
    },
    {
      "Sid": "AWSCloudTrailImportKeyAccess",
      "Effect": "Allow",
      "Action": ["kms:GenerateDataKey","kms:Decrypt"],
      "Resource": [
        "arn:aws:kms:{{key-region}}:{{keyAccountID}}:key/{{keyID}}"
      ]
    }
  ]
}
```

次の例は IAM 信頼ポリシーを示しています。これにより、CloudTrail は IAM ロールを引き受け、ソースの S3 バケットから証跡イベントをコピーすることができます。{{myAccounID}}、{{region}}、および{{eventDataStoreArn}}を設定に適した値に置き換えます。{{myAccountID}} は CloudTrail Lake に使用される AWS アカウント ID であり、S3 バケットの AWS アカウント ID とは異なる場合があります。

```
{
  "Version": "2012-10-17",		 	 	 
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "cloudtrail.amazonaws.com"
      },
      "Action": "sts:AssumeRole",
      "Condition": {
        "StringEquals": {
          "aws:SourceAccount": "{{myAccountID}}",
          "aws:SourceArn": "arn:aws:cloudtrail:{{region}}:{{myAccountID}}:eventdatastore/{{eventDataStoreId}}"
        }
      }
    }
  ]
}
```

### 証跡イベントのコピー用の Amazon S3 バケットポリシー
<a name="cloudtrail-copy-trail-events-permissions-s3"></a>

デフォルトでは、Amazon S3 バケットとオブジェクトはプライベートです。リソース所有者 (バケットを作成した AWS アカウント) のみが、バケットとそれに含まれるオブジェクトにアクセスできます。リソース所有者は、アクセスポリシーを記述することで他のリソースおよびユーザーにアクセス権限を付与することができます。

証跡イベントをコピーする前に、S3 バケットポリシーを更新して、CloudTrail が証跡イベントをソースの S3 バケットからコピーできるようにする必要があります。

S3 バケットポリシーに次のステートメントを追加することで、これらのアクセス許可を付与できます。{{roleArn}} と {{amzn-s3-demo-bucket}} を設定に適した値に置き換えます。

****

```
{
  "Sid": "AWSCloudTrailImportBucketAccess",
  "Effect": "Allow",
  "Action": [
    "s3:ListBucket",
    "s3:GetBucketAcl",
    "s3:GetObject"
  ],
  "Principal": {
    "AWS": "{{roleArn}}"
  },
  "Resource": [
    "arn:aws:s3:::{{amzn-s3-demo-bucket}}",
    "arn:aws:s3:::{{amzn-s3-demo-bucket}}/*"
  ]
},
```

### ソース S3 バケット内のデータを復号化するための KMS キーポリシー
<a name="cloudtrail-copy-trail-events-permissions-kms"></a>

ソースとなる S3 バケットがデータ暗号化に KMS キーを使用する場合は、KMS キーポリシーによって、SSE-KMS 暗号化が有効になっている S3 バケットからの証跡イベントのコピーに必要な `kms:Decrypt` と `kms:GenerateDataKey` 権限が CloudTrail で有効であることを確認します。ソース S3 バケットが複数の KMS キーを使用している場合は、各キーポリシーを更新する必要があります。KMS キーポリシー内を更新すると、CloudTrail はソース S3 バケットのデータを復号化し、検証チェックを実行してイベントが CloudTrail 標準に準拠していることを確認し、イベントを CloudTrail Lake イベントデータストアにコピーできます。

次の例は、ソース S3 バケットのデータを復号することを CloudTrail に許可する KMS キーポリシーを示しています。{{roleArn}}、{{amzn-s3-demo-bucket}}、{{myAccountID}}、{{region}}、{{eventDataStoreId}} を設定に適切な値に置き換えます。{{myAccountID}} は CloudTrail Lake に使用される AWS アカウント ID であり、S3 バケットの AWS アカウント ID とは異なる場合があります。

```
{
  "Sid": "AWSCloudTrailImportDecrypt",
  "Effect": "Allow",
  "Action": [
          "kms:Decrypt",
          "kms:GenerateDataKey"
  ],
  "Principal": {
    "AWS": "{{roleArn}}"
  },
  "Resource": "*",
  "Condition": {
    "StringLike": {
      "kms:EncryptionContext:aws:s3:arn": "arn:aws:s3:::{{amzn-s3-demo-bucket}}/*"
    },
    "StringEquals": {
      "aws:SourceAccount": "{{myAccountID}}",
      "aws:SourceArn": "arn:aws:cloudtrail:{{region}}:{{myAccountID}}:eventdatastore/{{eventDataStoreId}}"
    }
  }
}
```