CloudWatch EventsでS3への特定オブジェクトのアップロードを検知する

AWS CloudTrail コンソールを開きます。

ナビゲーションペインで、[Trails] を選択します。

[Create Trail (証跡の作成)] を選択します。[Trail name] に、証跡の名前を入力します。

[Apply trail to all regions (すべてのリージョンで証跡を適用)] では [No] を選択します。

[Data events (データイベント)] で [S3] が選択されていることを確認します。フォルダ内のすべてのオブジェクトのデータイベントをログ記録するために、Amazon S3 バケットおよびオブジェクトプレフィックス (フォルダ名) を指定します。証跡ごとに、最大 250 個の Amazon S3 オブジェクトを追加できます。

[Read/Write events (読み取り/書き込みイベント)] で [なし] を選択します。

[Write (書き込み)] を選択します。証跡では、指定したバケットとプレフィックスの Amazon S3 オブジェクトレベルの API アクティビティ (GetObject や PutObject など) が記録されます。

[保存場所] でログファイルを保存するために使用するバケットを作成あるいは指定します。デフォルトでは、Amazon S3 バケットとオブジェクトはプライベートです。リソース所有者 (バケットを作成した AWS アカウント) のみが、バケットとそのオブジェクトにアクセスできます。バケットには、バケット内のオブジェクトにアクセスできる AWS CloudTrail 権限を付与するリソースポリシーがある必要があります。

証跡が適切であることを確認したら、[作成] を選択します。

これで下準備はOKです。

CloudWatch Eventsルールを作成する

次はCloudWatch Eventsを作成します。

CloudWatchコンソールのサイドバーからイベント>ルールを開き、ルールの作成をクリックし、CloudWatch Eventsルールを作成します。

今回は以下のようにして、S3バケットcloudwatch-events-trigger-testに対するPutObjectを検知するようにしました。

f:id:BioErrorLog:20201017175155p:plain — 特定のS3バケットへのPutObjectを検知するように設定する

しかしこれだけでは、CloudWatch Eventsのトリガー元をS3バケットに絞ることが出来ても、オブジェクトレベルでは絞れていません。オブジェクトレベルで絞るには、イベントパターンを編集する必要があります。

以下のように、イベントパターンのrequestParametersにkeyを追加して指定することで、オブジェクトを指定することが出来ます。

{
  "source": [
    "aws.s3"
  ],
  "detail-type": [
    "AWS API Call via CloudTrail"
  ],
  "detail": {
    "eventSource": [
      "s3.amazonaws.com"
    ],
    "eventName": [
      "PutObject"
    ],
    "requestParameters": {
      "bucketName": [
        "cloudwatch-events-trigger-test"
      ],
      "key": [
        "target/object"
      ]
    }
  }
}

上の例では、S3バケットcloudwatch-events-trigger-testに、オブジェクトtarget/objectがPutObjectされたときに、このCloudWatch Eventsが起動することになります。

ここまでイベントソースを指定したら、今度はCloudWatch Eventsのターゲットを指定します。今回は検証としてCloudWatch Evetnsが起動したことが分かればよいので、CloudWatch ロググループをターゲットとして指定しました。

CloudWatch Eventsルールの作成は以上です。

CloudWatch Eventsの動作確認

それでは、S3に該当オブジェクトをアップロードして、CloudWatch Eventsが起動されることを確認します。今回は、ターゲットとしたCloudWatchロググループを確認して、CloudWatch Eventsが起動されたかどうかを見ました。

まず、S3バケットcloudwatch-events-trigger-testに、オブジェクトtarget/objectをアップロードします。 CloudWatch Eventsが１回起動されることが予想されます。

f:id:BioErrorLog:20201017185210p:plain — S3バケット`cloudwatch-events-trigger-test`に、オブジェクト`target/object`をアップロード

想定通り、CloudWatch Eventsが起動されました。

つぎは、S3バケットcloudwatch-events-trigger-testに、オブジェクトtarget/object-dummyをアップロードします。 CloudWatch Eventsが起動されない(= ログは１つのまま)ことが予想されます。

f:id:BioErrorLog:20201017185420p:plain — S3バケット`cloudwatch-events-trigger-test`に、オブジェクト`target/object-dummy`をアップロード

想定通り、CloudWatch Eventsは起動されませんでした。

以上、S3への特定オブジェクトのアップロードをトリガーに、CloudWatch Eventsを起動する方法を見ました。

補足: ワイルドカードの使用

補足として、オブジェクト名の指定にワイルドカードが使用できるのか、を調べました。

CloudWatch Eventsルールの定義としてkeyの値にワイルドカードを使用し、特定パス下にオブジェクトが配置された際にCloudWatch Eventsを起動することが出来るか、が気になったためです。

CloudWatch Eventsルールのイベントパターンを編集し、keyの値をtarget/*とします。

{
  "source": [
    "aws.s3"
  ],
  "detail-type": [
    "AWS API Call via CloudTrail"
  ],
  "detail": {
    "eventSource": [
      "s3.amazonaws.com"
    ],
    "eventName": [
      "PutObject"
    ],
    "requestParameters": {
      "bucketName": [
        "cloudwatch-events-trigger-test"
      ],
      "key": [
        "target/*"
      ]
    }
  }
}