CloudTrailAuthorizationFailures アラームの詳細情報を取得するにはどうすればいいですか?

Question

このようなアラームがいくつか発生したため、CloudTrail のイベント履歴を確認することにしました。ただし、エラー コードで確認できるイベントはありません。アラームの原因となるイベントはここにあるはずだと思っていました。

質問：では、CloudWatch アラームの原因となったイベントに関する詳細情報を取得するにはどうすればよいでしょうか? 具体的には、ソース IP、IAM ユーザー (存在する場合)、使用されたアクセス キー (存在する場合) などを知りたいです。

Answer 1

短い答え：
アラーム名に一致するメトリック フィルター セットを持つ CloudWatch ログ グループを見つける必要があります。

長い答え
必要な情報にたどり着くまでの観察と手順の順序は次のとおりです。

1. 電子メールにはイベント ID が含まれていません。
2. AWS コンソールで CloudTrail を見ると、エラー コードに基づいて検索する方法がありません。また、ページを移動しても、不正アクセスを示唆するエラー コードは表示されません。
3. 電子メールで受信したものと相関する時間を持つ CloudTrail Insights が見つかりません。
4. メールにはアラームへのリンクがあります。CloudWatch カスタム メトリック「AuthorizationFailureCount」がどこから来たのかはわかりません。また、どの AWS サービスにマッピングされているかを確認するためにクリックできるものもありません。
5. CloudWatch の下に、メトリック フィルター付きのログ グループが見つかりました。AuthorizationFailuresMetricFilterフィルターをクリックすると、#4 のメトリックがどのように作成されたかなどの情報が表示されます。
6. コンソールで「テスト パターン」を実行すると、一部のログ ストリームについては結果が生成されませんが、他のログ ストリームについては結果が生成されます。結果には、eventIdプロパティを含むイベント JSON が含まれますsharedEventID。
7. 上記のイベントと一致する ID (または共有 ID) を持つイベントが CloudTrail の下に見つかりません。

したがって、現段階での私の推測では、このログ グループで見つかったイベントは、アラームを発生させるメトリックに関連付けられたイベントの完全なリストです。

アラームのビューに、関連するログ グループに結び付けるものがあれば、このプロセス全体がはるかに簡単になりますが、そのようなものはありません。ステップ 5 は、ステップ 4 からの論理的なつながりがないまま、偶然に見つかりました。