はじめに

こんにちは。株式会社ジールの@yakisobapanです。

VPCの作成時にデフォルトで作成されたリソースについて、CloudTrailで記録できるようになりました。

目次

アップデート内容
やってみた
所感

アップデート内容

ひとことで
いままで：VPC作成時に自動作成したリソースは、CloudWatchメトリクス等を用いて検知する必要があった
これから：CloudTrailにログ記録されるようになり、追加の検知機能実装が不要になった

Amazon VPC では、CloudTrail のログ機能が強化され、VPC 作成時にデフォルトで作成される VPC リソースもログに記録されるようになりました。この機能強化により、VPC リソースの可視性が向上し、監査とガバナンスが向上します。

Amazon VPC はデフォルトで作成された VPC リソースの CloudTrail ログ記録を追加します
（2025/05/13 What's New with AWS?より）

今までは明示的に作成、削除したVPCリソースのみがログとして記録されていました。
VPCの作成(削除)時に同時作成(削除)されたリソースは、CloudTrailでは拾えませんでした。
今回のアップデートで、CloudTrail上にリソース単位で記録されるようになりました！
対象としては以下です。

・サブネット
・ルートテーブル
・NATゲートウェイ
・VPCエンドポイント
・セキュリティグループ
・ネットワーク ACL

やってみた

VPCを作成

VPCの作成
VPCコンソールより、VPCを作成します。
同時にサブネット1つとルートテーブル1つが作成される設定です。

CloudTrailで確認

ログの確認

CloudTrailコンソールへ接続し、イベント履歴より以下条件でフィルタします。
　リソースタイプ：AWS::EC2::VPC

イベント名「CreateVpc」だけではなく、「CreateSubnet」、「CreateRouteTable」も記録されていることがわかります。
今までは、「CreateVpc」のみ記録され、他のイベントはCloudTrailイベントでは拾えませんでした。

削除も行ってみます。

削除完了後、デフォルトで作成されたサブネットとルートテーブルが削除されていることが、イベントとして記録されています。

所感

今回のアップデートによってCloudTrailでログ記録が完結するようになりました。
従来は、監視、監査を行う手法を構築して対応する必要がありました。
例）
　・CloudWatchメトリクス
　・AWS Configによるリソース変更検出

「CloudTrailを導入しているからそれだけ確認すれば問題ない」といった方針で監査を行っているシステムも無きにしもあらず、だと思いますので、今まで実は漏れていたというケースも考えられます。

今回のアップデートは、単純に監査能力の向上を感じました。
他のサービスについても、「付帯して作成されるリソースは記録されない」といったものはあるかと思うので、どんどん対象になってくると良いですね。

参考

株式会社ジールでは、「ITリテラシーがない」「初期費用がかけられない」「親切・丁寧な支援がほしい」「ノーコード・ローコードがよい」「運用・保守の手間をかけられない」などのお客様の声を受けて、オールインワン型データ活用プラットフォーム「ZEUSCloud」を月額利用料にてご提供しております。
ご興味がある方は是非下記のリンクをご覧ください：