AWS Private CA で詳細な証明書発行ログの提供を開始
AWS Private CA では、詳細な証明書発行ログを発表しました。これは、証明書の全内容、発行元 CA 情報、リクエスタ ID、すべての発行の署名ステータスを記録する新しい AWS CloudTrail サービスイベントです。これらのイベントは、コンプライアンス監査、証明書インベントリ、アルゴリズム移行の追跡、発行失敗のモニタリングに使用できます。以前は、IssueCertificate API の CloudTrail 管理イベントでは、証明書の ARN を指定して API コールが成功したことが確認されましたが、証明書の内容、署名した CA に関する情報、署名前に失敗した発行はキャプチャされませんでした。
新しい IssueCertificateDetails イベントでは、すべての X.509 フィールドと拡張子に加えて、サブジェクト、発行者、シリアル番号、有効期間、テンプレート、署名アルゴリズム用の便利なフィールドを含む、署名前 (TBS) 証明書全体がキャプチャされます。イベントは発行の成功と失敗の両方に対して発行されるため、名前の制約違反などの署名前の失敗で、失敗の説明を含むレコードが生成されるようになりました。各イベントではリクエスタが識別されます。リクエスタは、直接の API の呼び出し元の場合はアカウントと IAM プリンシパルであり、AWS Private CA コネクタまたは統合された AWS サービスを通じて発行された証明書の場合はサービスプリンシパルです。クロスアカウント構成では、イベントは CA 所有者アカウントに配信されます。
イベントは CloudTrail 管理イベントとして自動的に配信され、設定やオプトインは不要で、標準の AWS CloudTrail 料金を超える追加費用もありません。CloudTrail を経由するため、Amazon EventBridge を使用してリアルタイムで処理することも、Amazon Athena を使用してバッチクエリを実行して、証明書の監査、インベントリ、追跡、モニタリングを行うこともできます。 この機能は、AWS Private CA が提供されているすべての AWS リージョンで利用できます。詳細については、AWS Private CA ユーザーガイドを参照してください。