AWS

CloudTrailでAWSの操作履歴を確認

NEW 2026年8月20日

目次Category


AWSを利用していると、 「誰がEC2を起動したのか」 「いつ設定が変更されたのか」など、 AWS上で行われた操作を後から確認したい場面があります。

そのようなときに役立つのが、 AWS CloudTrailです。

この記事では、CloudTrailを初めて利用する方に向けて、 EC2インスタンスを実際に起動し、 その操作がCloudTrailに記録されていることを確認する方法を解説します。

この記事でできること

  • CloudTrailの基本的な役割を理解する
  • EC2の起動操作をCloudTrailで確認する
  • イベント履歴から特定の操作を検索する
  • 「誰が・いつ・何をしたか」を確認する

この記事の対象者

  • AWSを学び始めた方
  • CloudTrailを初めて利用する方
  • AWSの操作履歴を確認する方法を知りたい方

CloudTrailとは？

AWS CloudTrailは、 AWSアカウントで行われた操作をイベントとして記録し、 後から「誰が・いつ・何をしたのか」を確認できるサービスです。

AWSマネジメントコンソールから行った操作だけでなく、 AWS CLIやSDK/APIなどを利用して行った操作についても、 CloudTrailのイベントとして記録されます。

例えば、EC2インスタンスの起動や停止、 S3バケットの作成・削除など、 AWS上で実行されたさまざまな操作を確認できます。

ポイント

CloudTrailは、AWS上で行われた操作を記録するサービスです。 監査や障害原因の調査、不正な操作の確認などに利用できます。 今回利用する「イベント履歴」では、 過去90日間の管理イベントを確認できます。

CloudWatchとの違い

名前が似ているAWSサービスに「CloudWatch」がありますが、 CloudTrailとCloudWatchでは役割が異なります。

サービス主な役割
CloudTrail「誰が・いつ・何を操作したか」を記録する
CloudWatchCPU使用率やログなど、AWSリソースやアプリケーションの状態を監視する

1. 今回試す内容

今回は、停止しているEC2インスタンスを起動し、 その操作がCloudTrailへ記録されることを確認します。

EC2インスタンスを起動
↓
CloudTrailが操作を記録
↓
イベント履歴を確認
↓
StartInstancesを検索

EC2を起動すると、CloudTrailには StartInstances というイベント名で操作が記録されます。

今回はTrail（証跡）の作成は不要です

CloudTrailの「イベント履歴」は、 AWSアカウントでデフォルトで利用できます。 今回はイベント履歴を利用して、 EC2の起動操作を確認します。 90日を超えて継続的に操作履歴を保存したい場合は、 Trail（証跡）やCloudTrail Lakeを利用します。

2. CloudTrailでEC2の起動履歴を確認する

手順1：CloudTrailを開く

  1. AWSマネジメントコンソールへログインします。
  2. 画面上部の検索欄に「CloudTrail」と入力します。
  3. 検索結果から「CloudTrail」を選択します。

AWSマネジメントコンソールからCloudTrailを開きます。

手順2：イベント履歴を開く

CloudTrailの画面を開いたら、 左側のメニューから 「イベント履歴」 を選択します。

イベント履歴では、 AWS上で行われた最近の管理操作を一覧で確認できます。


CloudTrailの左側メニューから「イベント履歴」を選択します。

手順3：EC2インスタンスを起動する

次に、CloudTrailへ記録される操作を発生させるため、 停止しているEC2インスタンスを起動します。

  1. AWSマネジメントコンソールから「EC2」を開きます。
  2. 左側のメニューから「インスタンス」を選択します。
  3. 停止中のEC2インスタンスを選択します。
  4. 「インスタンスの状態」から「インスタンスを開始」を選択します。
  5. インスタンスの状態が「実行中」になることを確認します。

停止中のEC2インスタンスを選択し、「インスタンスを開始」を実行します。

手順4：StartInstancesを検索する

EC2を起動したら、 CloudTrailのイベント履歴へ戻ります。

  1. CloudTrailの「イベント履歴」を開きます。
  2. 必要に応じて更新ボタンを押します。
  3. ルックアップ属性で「イベント名」を選択します。
  4. 検索欄に StartInstances と入力します。

イベント名に「StartInstances」を指定して、 EC2の起動履歴を検索します。

イベントが表示されない場合

操作直後はイベントが表示されない場合があります。 少し待ってからイベント履歴を更新してください。 また、EC2を操作したリージョンと、 CloudTrailで確認しているリージョンが一致しているか確認します。

手順5：イベントの詳細を確認する

検索結果に表示された 「StartInstances」 を選択します。

イベントの詳細から、 EC2を起動したときの情報を確認できます。

確認項目確認できる内容
イベント名StartInstances
実行主体操作を実行したユーザー、IAMロール、AWSサービスなど
イベント時刻操作が実行された日時
対象リソース操作対象となったEC2インスタンス

StartInstancesのイベント詳細から、 実行主体や実行日時などを確認します。

確認結果

EC2の起動操作が StartInstances としてCloudTrailに記録されていることを確認できました。 これにより、「誰が・いつ・何を操作したのか」を後から確認できます。

3. CloudTrailで確認できるイベント例

CloudTrailではEC2の起動以外にも、 さまざまなAWS操作を確認できます。

操作イベント名
EC2を起動StartInstances
EC2を停止StopInstances
S3バケットを作成CreateBucket
S3バケットを削除DeleteBucket

4. CloudTrailでできること

操作履歴を検索する

イベント名、ユーザー名、リソース名、 イベントソース、期間などを指定して、 必要な操作履歴を検索できます。

操作履歴を長期間保存する

Trail（証跡）を作成することで、 対象となるイベントをS3バケットへ継続的に配信できます。

CloudWatch Logsと連携する

CloudWatch Logsと連携することで、 特定の操作を検知し、 CloudWatchアラームやSNSなどを利用した通知につなげることもできます。

CloudTrail Lakeで分析する

CloudTrail Lakeではイベントデータを保存し、 SQLを使用して複数の条件を組み合わせた分析を行うことができます。

5. CloudTrailの活用例

活用例内容
セキュリティ調査身に覚えのない操作や、 不正な操作が行われていないか確認する
障害原因の調査設定変更や削除などの操作が、 障害の原因になっていないか確認する
監査・証跡誰がどの操作を行ったのかを記録として確認する
重要操作の監視CloudWatch Logsなどと連携し、 特定の操作を検知する

6. 利用時のポイント

リージョンを確認する

イベントが見つからない場合は、 操作を行ったリージョンと、 CloudTrailで確認しているリージョンが一致しているか確認します。

長期間保存したい場合

イベント履歴では過去90日間の管理イベントを確認できます。 90日を超えて操作履歴を保存したい場合は、 Trailを作成してS3へ継続的に配信する方法や、 CloudTrail Lakeを利用する方法があります。

料金について

CloudTrailのイベント履歴の閲覧には、 CloudTrailの追加料金はかかりません。 一方で、Trailによるログ配信やS3への保存、 データイベント、CloudTrail Insights、 CloudTrail Lakeなどを利用する場合は、 構成に応じて料金が発生するため、 利用前に料金を確認してください。

まとめ

今回確認したこと

  • CloudTrailの基本的な役割
  • EC2を起動するとStartInstancesイベントが記録されること
  • イベント履歴から特定の操作を検索する方法
  • 操作の実行主体・実行日時・対象リソースなどを確認する方法

CloudTrailを利用することで、 AWS上で行われた操作について 「誰が・いつ・何をしたのか」を後から確認できます。

AWS環境で問題が発生した際の原因調査や、 セキュリティ上の操作確認、 監査などにも活用できるため、 CloudTrailはAWSを運用するうえで重要なサービスの一つです。

まずは今回のようにEC2の起動履歴を確認し、 CloudTrailの基本的な使い方に慣れてみてください。

この記事を書いた人

藤田颯斗

hayato_fujita

こんにちわ、がんばります。