Servisphere
AWS CloudTrail のアイコン（AWS Architecture Icons）

AWS CloudTrail

API 呼び出しの記録

アカウント内のすべての API 呼び出し（誰が、いつ、どこから、何をしたか）を記録します。監査とセキュリティ調査に使います。

  • コスト$ 安い
  • 難易度●●●●●
  • 未使用でも課金？少し
  • AWS マネージド
  • 出題試験CLF · SAA · SOA

範囲: Regional（1 つの trail ですべての Region を記録可能）

CloudTrail をマップで開く →
たとえるなら出入りするすべての人とその行動を記録する防犯カメラのようなものです。

CloudTrail はシステムのどこにある？

CloudTrail

CloudTrail が呼び出す

マップで全体を見る →

具体例でステップごとに

  1. 月曜の朝、データベースのセキュリティグループがインターネット全体に開放されていました。
  2. CloudTrail のイベント履歴を開き、AuthorizeSecurityGroupIngress イベントで絞り込みます。
  3. CloudTrail には、どのユーザーが日曜の 23 時 14 分に、どの IP アドレスから、どのツールで呼び出したかが表示されます。
  4. あらかじめ組織全体の証跡を作り、別の監査用アカウントの S3 バケットにログを書き込み、整合性検証も有効にしていました。
  5. そのためログは改ざんも削除もされず、数か月後の調査にも使えます。

▶ シナリオ「誰が何を守るか」をマップで見る

いつ使う？

✓ 使うべき場面

監査、コンプライアンス、セキュリティインシデントの調査。

✗ 避けるべき場面

アプリケーションのパフォーマンス測定 → CloudWatch。

よくある使い方

  • 監査: 誰がいつリソースを削除したか
  • セキュリティインシデントの調査
  • 規制へのコンプライアンス（ログを 1～7 年保存）

CloudTrail・CloudWatch・CloudWatch Logs の違い

CloudTrailCloudWatchCloudWatch Logs
答える問い誰がいつどこから何をしたか？システムはどう動いているか？アプリは何を出力したか？
データAWS API の呼び出しメトリクス、アラームアプリのログ
デフォルトで有効はい、管理イベント 90 日分はい、基本メトリクスログを送るサービス次第
用途監査、セキュリティ、コンプライアンス監視、アラートデバッグ

料金はいくら？

料金の例management event を記録する trail 1 つ → $0 + S3 上のログファイルの保存料金。
  • 課金方式: management event の最初のコピー: 無料。追加の trail 約 $2/100,000 event、data event 約 $0.10/100,000、CloudTrail Lake は GB 単位で課金。
  • 無料枠: 90 日間の event 履歴をコンソールで無料で閲覧できます。
⚠️ 料金の落とし穴

トラフィックの多い S3 bucket や Lambda で data event を有効にする。重複する trail を多数作成する。

料金は us-east-1 の参考値（2026年10月14日 更新）で、変更されている可能性があります。必ず AWS の料金ページでご確認ください。 AWS 公式の料金ページ ↗

💡 試験のコツ

「誰がリソースを削除・変更したか」「API 呼び出しの履歴」なら CloudTrail です。長期かつ一元的に保存するなら、全リージョン・組織全体の証跡を別アカウントの S3 に送ります。ログの改ざん防止にはログファイルの整合性検証を使います。

本番の試験問題に挑戦

AWS 認定試験は英語でも受験できるため、問題文は英語のまま掲載しています。

1You are very concerned about security on your network because you have multiple programmers testing APIs and SDKs and you have no idea what is happening. You think CloudTrail may help but are not sure what it does. Which of the following statements best describes the AWS service CloudTrail?

  1. AWith AWS CloudTrail you can get a history of AWS API calls and related events for your account.
  2. BWith AWS CloudTrail you can get a history of IAM users for your account.
  3. CWith AWS CloudTrail you can get a history of S3 logfiles for your account.
  4. DWith AWS CloudTrail you can get a history of CloudFormation JSON scripts used for your account.
答えを見る

正解: A

CloudTrail は、アカウント内の API 呼び出しと関連イベントの履歴（誰が、いつ、どこから何を呼び出したか）を記録します。

Servisphere で 700 問以上を練習する →

よくある質問

CloudTrail はデフォルトで有効ですか？

はい。イベント履歴には、管理イベント（リソースの作成、変更、削除）が 90 日分、すべてのアカウントで無料で保存されます。より長く保存したり、データイベントを記録したり、一か所に集約したりするには、S3 に書き込む証跡を作成するか CloudTrail Lake を使います。

管理イベントとデータイベントの違いは何ですか？

管理イベントはインスタンスの起動やセキュリティグループの変更など、リソースを管理する操作です。データイベントは S3 オブジェクトの読み書きや Lambda の呼び出しなど、データに対する大量の操作で、デフォルトでは記録されず、料金がかかります。

CloudTrail の料金はどのように決まりますか？

各リージョンの管理イベントの最初のコピーは無料です。データイベント、管理イベントの追加コピー、Insights、CloudTrail Lake に料金がかかり、ログファイルを保存する S3 の料金も発生します。

AWS 認定試験では CloudTrail について何が問われますか？

誰がリソースを削除・変更したかの調査、全リージョンや組織全体を対象とする証跡、改ざんを検知するログファイルの整合性検証、別アカウントの S3 バケットへのログの集約、CloudWatch や AWS Config との違いなどです。

関連サービス

CloudTrail をマップで開く →