はじめに

AWSマネジメントコンソールへユーザがサインインした際、ログインに関する情報をメールで通知する方法を紹介します。

構築時にいくつかの記事等を参考にしましたが、要件にアンマッチであったため試行錯誤した結果も併せて紹介します。

実現したいこと

・IAMユーザー/ルートユーザーがAWSコンソールにログインした際、指定した宛先へメール通知したい
　⇨メール通知に含めたい内容は以下
　　- ログイン時刻
　　- ログインユーザ
　　- ログインイベントに関するログ

いくつかの方法を試しましたが、最終的に構築した方法を最初に紹介します。

AWS CloudTrail：
- AWSコンソールログインログの収集 （全リージョン有効化）
Amazon CloudWatch：
- 各リージョンのログインログをAmazon CloudWatch Logs ロググループのログストリームに集約
- Amazon CloudWatch Logsサブスクリプションフィルターにより、Amazon CloudWatch Logsに出力されたログをLambdaに転送
AWS Lambda：
- ログを使用したメッセージを成形
- Amazon SNSへメッセージを連携
Amazon SNS:
- メッセージを対象者に配信

※具体的な実装方法については別記事にて紹介します。

採用案①で構築後にリリースされたAWS User Notificationsを使用した方法です。

#非常にシンプル...!

AWS User Notifications：
- AWSのサービスからの通知を一貫したわかりやすい形式で一元的にセットアップや表示可能
  　⇒通知可能なイベントとして「AWS Console Sign-in」をサポート

ここからは不採用案の紹介です。
ログ出力先などの仕様理解のきっかけとなったため紹介します。

原因①：AWSコンソールへのログインイベントは不特定のリージョンで実施される。
※CloudTrail仕様変更による。詳細は以下公式ドキュメントを参照ください。
　　　⇨ログは不特定のリージョンに記録される。

一部のグローバルサービスイベントは米国東部 (オハイオ) リージョンや米国西部 (オレゴン) リージョンなどのその他のリージョンで発生しているものとしてログに記録されます。

ConsoleLogin イベントに記録されるリージョンは、ユーザータイプと、サインインにグローバルエンドポイントとリージョンエンドポイントのどちらを使用したかによって異なります。

※不採用①の設定を全リージョンに構築しても新規リージョン追加の度に追加実装が必要となります。

AWS CloudTrail：
- AWSコンソールログインログの収集 （全リージョン有効化）
Amazon CloudWatch：
- 各リージョンのログインログをAmazon CloudWatch Logsロググループのログストリームに集約
- Amazon CloudWatch Logsメトリクスフィルターによりログを検知してAmazon SNSへ連携
Amazon SNS:
- メッセージを対象者に配信

2025/02/12 追記先日、こちらの内容でLT登壇してきました!

等々、多くのリアクションをいただきました!
以下の記事でイベントの様子も紹介しているためよかったらご覧ください。