Log Shipper用AWS CloudWatchプラグイン

本書では、AWS CloudWatch v1.0.0プラグインをNetskope Cloud ExchangeプラットフォームのLog Shipperモジュールで設定する方法について説明します。このプラグインは次のインジェクションをサポートしています。

• アラート（DLP、マルウェア、ポリシー、侵害されたクレデンシャル、悪意のあるサイト、検疫、修復、セキュリティ評価、ウォッチリスト、UBA、CTEP、デバイス、コンテンツ、異常、法的保持）
• イベント（ページ、アプリケーション、監査、インフラストラクチャ、ネットワーク、インシデント、エンドポイント、クライアントステータス）
• BWANイベント（認証、監査、クライアント、ゲートウェイ、システム）
• WebTxとログ（デバッグ、情報、エラー、警告）。

このプラグインは、CEFおよびJSON形式でのインジェストをサポートしています。

前提条件

この設定を完了するには、以下が必要です。

• Netskopeテナント（または、例えば本番環境と開発／テスト環境など、複数のテナント）。
• Tenant pluginと Log Shipper pluginがすでに構成されているNetskope Cloud Exchangeテナント。
• BWANプラグインがすでに設定されているNetskope Cloud Exchangeテナント。
• Netskope Log Streaming pluginからアラート、イベント、WebTxを取り込むために、すでに構成されている AWS Log Streaming pluginおよび Azure Log Streaming plugin。
• IAMユーザーへのAmazon CloudWatchログ権限。
  • DescribeLogGroups
  • DescribeLogStreams
  • CreateLogGroup
  • CreateLogStream
  • PutLogEvents
• AWS CloudWatchサービスへの接続。
• Secret Managerの構成については、このドキュメントを参照してください。Azure Key Vault Secrets Managerの設定については、このドキュメントを参照してください。

AWS CloudWatchプラグインのサポート

このプラグインは、CEFおよびJSON形式でのインジェストをサポートしています。

cloudwatch_client = boto3.client(
    "logs",
    aws_access_key_id=self.aws_public_key,
    aws_secret_access_key=self.aws_private_key,
    aws_session_token=self.aws_session_token,
    region_name=get_effective_region(self.configuration),
    verify=self._get_verify(),
    config=Config(
        proxies=self.proxy,
        user_agent=self.useragent,
        connect_timeout=CONNECT_TIMEOUT,
        read_timeout=READ_TIMEOUT,
        retries={"max_attempts": MAX_RETRIES, "mode": "standard"},
    ),
)

cloudwatch_client.describe_log_groups(
    logGroupNamePrefix=log_group_name, limit=1
)

response = cloudwatch_client.describe_log_groups(
    logGroupNamePrefix=log_group_name,
    limit=DESCRIBE_PAGE_LIMIT,
    nextToken=next_token,
)

response = cloudwatch_client.describe_log_streams(
    logGroupName=log_group_name,
    logStreamNamePrefix=log_stream_name,
    limit=DESCRIBE_PAGE_LIMIT,
    nextToken=next_token,
)

cloudwatch_client.create_log_group(logGroupName=log_group_name)

cloudwatch_client.create_log_stream(
    logGroupName=log_group_name,
    logStreamName=log_stream_name,
)

log_events = [
    {"timestamp": timestamp_ms, "message": message}
    for message in batch
]

cloudwatch_client.put_log_events(
    logGroupName=log_group_name,
    logStreamName=log_stream_name,
    logEvents=log_events,
)

# endpoint = "https://rolesanywhere.{region}.amazonaws.com"
#            ("amazonaws.com.cn" for the China partition)
# canonical_uri = "/sessions"

request_parameters = json.dumps(
    {
        "durationSeconds": 900,
        "profileArn": profile_arn,
        "roleArn": role_arn,
        "sessionName": "Session",
        "trustAnchorArn": trust_anchor_arn,
    }
)

headers = {
    "Content-Type": "application/json",
    "X-Amz-Date": amz_date,
    "X-Amz-X509": amz_x509,
    "Authorization": authorization_header,
    "User-Agent": self.user_agent,
}

response = requests.post(
    endpoint + canonical_uri,
    data=request_parameters,
    headers=headers,
    proxies=self.proxy,
    timeout=ROLES_ANYWHERE_TIMEOUT,
    verify=self.verify,
)

private_key = serialization.load_pem_private_key(
    private_key_file.encode("utf-8"), None
)

# Encrypted key
private_key = serialization.load_pem_private_key(
    private_key_file.encode("utf-8"),
    password=str.encode(pass_phrase),
)

cert = x509.load_pem_x509_certificate(
    public_certificate_file.encode()
)

amz_x509 = str(
    base64.b64encode(
        cert.public_bytes(encoding=serialization.Encoding.DER)
    ),
    "utf-8",
)

serial_number_dec = cert.serial_number

signature = private_key.sign(
    data=string_to_sign.encode("utf-8"),
    padding=padding.PKCS1v15(),
    algorithm=hashes.SHA256(),
)
signature_hex = signature.hex()

パフォーマンスマトリックス

このパフォーマンス測定は、以下のVM仕様を持つ大規模スタックCE上で実施されました。

ユーザーエージェント

APN/1.1 (ahq9d89xj9gspapczzdb59goq)

ワークフロー

1. AWS CloudWatchロググループ、ログストリーム、およびポリシーを作成します。
2. プライベートキー、証明書ボディ、パスワードフレーズ、プロファイルARN、ロールARN、トラストアンカーARNを生成します。 AWS IAMロールAnywhereの場合。
3. AWS CloudWatchプラグインを設定します。
4. AWS CloudWatchのログシッパービジネスルールを設定します。
5. AWS CloudWatch 向けの Log Shipper Log Delivery を構成します。
6. AWS CloudWatchプラグインを検証します。

動画を見る

再生ボタンをクリックして動画をご覧ください。

CloudWatchロググループを作成する

1. AWSコンソールにログインしてください。
2. 「すべてのサービス」から「CloudWatch」を選択するか、検索バーでCloudWatchを検索します。
3. 右上にあるリージョンセレクターを確認します。ロググループはそのリージョンに作成されます。プラグインのAWS CloudWatchリージョン名パラメーターで同じリージョンを選択してください。
4. 左側のパネルで、 Logs > Log groupsをクリックします。
5. Create log groupをクリックしてください。
6. Enter the Log group name, like netskope-ce-log-group.
7. Select a 「保持設定」, *期限切れなし*、または組織が必要とする期間を選択できます。
8. ログクラスにStandardを選択します。
9. KMSキーARNとタグはオプションです。
10. Createをクリックしてください。

CloudWatch Logストリームを作成する

1. CloudWatchでLogs > Log groupsに移動します。
2. 上で作成したロググループを検索し、その名前をクリックして開きます。
3. ［Log streams］タブを開きます。
4. Create log streamをクリックしてください。
5. Enter the Log stream name, like netskope-ce-log-stream.
6. Createをクリックしてください。

CloudWatchログポリシーの作成

1. 検索ボックスでIAMを検索し、左側のパネルでPoliciesをクリックします。

2. Create Policyをクリックしてください。

   

3. 「JSON」タブをクリックし、以下に記載するポリシーを入力します。「次へ：タグ」をクリックし、「次へ：確認」をクリックします

   

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Sid": "NetskopeCECloudWatchLogs",
               "Effect": "Allow",
               "Action": [
                   "logs:DescribeLogGroups",
                   "logs:DescribeLogStreams",
                   "logs:CreateLogGroup",
                   "logs:CreateLogStream",
                   "logs:PutLogEvents"
               ],
               "Resource": "*"
           }
       ]
   }

4. このポリシーをユーザーにアタッチします：

   • IAM > Usersに移動し、ポリシーを割り当てるユーザーを選択します。Add permissionsをクリックし、次にAdd permissions optionsをクリックします。

     

   • 「Permissions」オプションの下にある「Attach policies directly」オプションを選択します。前のステップで作成したポリシーを検索して選択します。

     

   • Nextをクリックしてから、Add permissionsをクリックします。ポリシーがユーザーに添付されます。

     

プラグイン認証方法

IAMロールAnywhereの設定

前提条件

プラグインを認証するには、AWS Certificate Manager サービスを有効にする必要があります。 AWS IAM Roles Anywhere 認証方法。

プライベート認証局、トラストアンカー、およびプロファイルは、AWS S3ソースバケットが存在するリージョンと同じリージョンに作成してください。

ポリシーを作成する

この には、プライベート CA 証明書を作成するために必要な権限 (トラスト アンカーとプロファイルを作成するための権限を含む) と IAM ロール Anywhere が含まれています。

1. 「ポリシー Generator」に移動し、ポリシータイプとして「IAM ポリシー」を選択してポリシーを生成します。

   • Select Type of Policy: IAMポリシー
   • Effect： 許可する
   • AWS Service: AWS Private Certificate Authority
   • Actions:
     1. 証明書認証局を作成する
     2. 認証局について説明します
     3. 証明書を取得する
     4. 認証局証明書を取得する
     5. GetCertificateAuthorityCsr
     6. 輸入証明書認証局証明書
     7. 証明書の発行
     8. 認証局一覧
   • ARN: *
2. Add Statementをクリックしてください。



• Select Type of Policy: IAMポリシー
• Effect： 許可する
• AWS Service: AWS Identity and Access Management（IAM）
• Actions:
  1. 役割ポリシーを添付する
  2. CreateAccessKey
  3. ロールの作成
  4. 役割を削除
  5. パスロール
• ARN: *
3. Add Statementをクリックしてください。



• Select Type of Policy: IAMポリシー
• Effect： 許可する
• AWS Service: AWS Certificate Manager
• Actions:
  1. 証明書の説明
  2. 輸出証明書
  3. 証明書を取得する
  4. 証明書一覧
  5. 証明書のタグ一覧
  6. 証明書のリクエスト
• ARN: *
4. Add Statementをクリックしてください。



• Select Type of Policy: IAMポリシー
• Effect： 許可する
• AWS Service: AWS Identity and Access Management Roles Anywhere
• Actions:
  1. プロフィールの作成
  2. CreateTrustAnchor
  3. プロフィールを取得する
  4. GetTrustAnchor
  5. プロフィール一覧
  6. リストトラストアンカー
• ARN: *
5. Add Statementをクリックしてください。



6. Generate Policyをクリックしてください。



7. ポリシーは、プライベート CA 証明書の作成に必要なポリシーを作成する次の手順で使用するため、コピーします。

8. AWSコンソールに移動し、All ServicesからIAMを選択します。左パネルのPoliciesをクリックし、Create Policyをクリックします。

   

9. ポリシーをJSONタブにコピーします。Next: Tags をクリックし、Next: Review. をクリックします

   

10. Enter the Name (like netskope-ce-rolesAnywhere-policy), and click Save Changes.

    

プライベート認証局を作成する

1. AWSコンソールにログインしてください。

2. Certificate Managerを検索します。

   

3. AWS Private CAをクリックしてください。

4. Create a private CAをクリックしてください。

   

5. Mode Optionsには、General-purposeを選択します。 

6. CAタイプのオプションについては、Rootを選択してください。

   

7. 組織名（O）を入力してください。

   

8. 「鍵アルゴリズム」オプションで、RSA 2048を選択します。

   

   

9. Add tags if any (optional).

10. 「CA権限オプション」セクションのチェックボックスを有効にします。

11. 「価格」セクションのチェックボックスをオンにします。

12. CA証明書を作成するには、 Createをクリックしてください。

    

    

13. ActionsからInstallを選択します。

    

14. Confirm and Installをクリックしてください。

    

    

トラストアンカーの作成

1. 「IAM」サービスを検索し、「アクセス管理」の下のRolesに移動します。下にスクロールして「Roles Anywhere」に移動し、Manageを選択します。

   

2. Create a Trust anchorをクリックしてください。

   

3. Enter a Trust anchor name, like netskope-ce-trust-anchor.

   

4. Select AWS Certificate Manager Private CA（前の手順で作成したもの）を認証局（CA）ソースとして選択します。

5. 必要に応じてタグを追加してください。

6. Create a trust anchorをクリックしてください。

   

   

7. 作成したトラストアンカーをクリックし、以下をコピーします： Trust Anchor ARN

   

IAM ロールの作成

1. AWSコンソールでIAMサービスに移動してください。

2. アクセス管理サブメニューの Role をクリックします。

3. Create Roleをクリックしてください。

   

4. 信頼済みエンティティタイプで、 Custom Trust Policyを選択します。

   

5. カスタム信頼ポリシーを以下に示す信頼ポリシーに置き換えます。このポリシーには、Roles Anywhereサービスを使うための権限が含まれています。

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Effect": "Allow",
               "Principal": {
                   "Service": [
                       "rolesanywhere.amazonaws.com"
                   ]
               },
               "Action": [
                   "sts:AssumeRole",
                   "sts:TagSession",
                   "sts:SetSourceIdentity"
               ]
           }
       ]
   }

   

6. Nextをクリックしてください。

7. 権限ポリシーで、前に作成したポリシーを選択します。

   

8. Nextをクリックしてください。

9. netskope-ce-roleAnywhere などのロール名とデスクリプションを入力します。

10. Create roleをクリックしてください。

    

11. AWS IAM Roles Anywhere認証メソッドのプラグイン構成パラメータRole ARNで必要になるため、Role ARNをメモしておきます。

    

プロフィールを作成する

1. Access managementの下にあるRolesを選択します。

2. 下にスクロールしてRoles Anywhereをクリックし、 Manageをクリックしてください。

   

3. セットアップ手順を展開してください。

4. Step 2: Configure rolesをクリックしてください。

5. Configure a profileをクリックしてください。

   

6. Enter a Profile name, like netskope-ce-profile.

7. 以前に作成したロール（netskope-ce-roleAnywhere）を選択します。

   

8. インラインポリシーを削除してください。

9. Create profileをクリックしてください。

   

   

   

10. 作成したプロファイルをクリックし、Profile ARNをコピーします。

    

プライベート証明書をリクエストする

1. AWS Certificate Manager > Request certificateへ移動してください。

2. Request a private certificate Select 。

   

3. Nextをクリックしてください。

4. 以前に作成した認証機関を選択します。

   

5. 「Fully qualified domain name」フィールドに、netskope-ce.comのようなドメイン名を入力します。

6. キーアルゴリズムにはRSA 2048 Select 。

   

7. 必要に応じてタグを追加してください。

8. 証明書の更新権限を承認してください。

9. Requestをクリックしてください。

   

10. AWS Certificate Manager のナビゲーション ペインからList certificatesに移動します。

11. 以前に作成した証明書Select 。

    

12. Exportをクリックしてください。

    

13. passphrase. を入力します。このパスフレーズは、AWS IAM Roles Anywhere認証方法を使用してAWS S3プラグインを設定する際に必要になるため、書き留めておいてください。

14. Generate PEM Encodingをクリックしてください。

    

15. Certificates は二度と表示されないため、すべてダウンロードしてください。新しい証明書については、再度エクスポートする必要があります。

    

    詳細については、 AWS IAM Role Anywhereを参照してください。

AWSにデプロイされた構成

ロールを作成する

1. AWSコンソールでIAMサービスに移動してください。

2. Create roleをクリックしてください。

   

3. AWS ServiceをSelect 。

4. 「使うケース」で、 EC2を選択します。

5. Nextをクリックします。

   

6. 「ポリシーの作成」で作成した権限ポリシーSelect 。

7. Nextをクリックしてください。

   

8. netskope-ce-instance-role などのロール名と、デスクリプションを入力します。

9. Create Roleをクリックしてください。

   

   

EC2インスタンスにロールを割り当てる

1. EC2インスタンスのコンソールを開きます。

2. Instancesの下にあるInstancesをクリックします

   

   

3. Action > Security > Modify IAM Roleへ移動してください。

   

4. ロールの作成で作成したロール（netskope-ce-instance-role）を選択します。

5. Add IAM role/Modify IAM Roleをクリックします。EC2インスタンスとバケットの両方が同じリージョンにある必要があることに注意してください。

   

Fargateインスタンスにロールを割り当てる

1. CFNスクリプトを開きます。

2. Get the ExistingECSTaskRole parameter value if present.

   

3. IAM > Rolesへ移動してください。

4. ExistingECSTaskRoleパラメータ値を検索するか、NetskopeCloudExchangeTaskRole-<CFN name>を検索してロールを選択します。

   

5. 以前に作成したポリシーをこのロールにアタッチします。

   • 「Add permission」をクリックし、ポリシーをアタッチします。

     

   • 以前に作成したポリシー（netskope-ce-s3-policy）を検索して選択します。

   • Add permissionsをクリックしてください。

     

K8sインスタンスにロールを割り当てる

1. K8sインスタンスを作成する際に、ServiceAccount用に作成されたロールを開きます。
2. ポリシーの作成で作成したポリシーをアタッチします

AWS CloudWatchプラグインの設定

1. Settings > Plugin Storeへ移動してください。AWS CloudWatch v1.0.0 (CLS)プラグインを検索して選択してください。

   

2. プラグイン構成名を入力します。CEF形式を使う場合は、［AWS CloudWatch Default Mapping］ファイルが選択されていることを確認してください。

   

   JSON形式でデータを取り込むには、基本情報の「形式」で「JSON」を選択します。

3. Nextをクリックして、設定パラメータを入力してください。

   • Authentication Method: AWSクライアント認証に使うメソッドをSelectします。
     「Deployed on AWS」は、Cloud Exchange が実行されている AWS 環境にアタッチされた IAM ロールを使用します。
     AWS IAM Roles Anywhereは、X.509証明書と秘密鍵を使用して一時的なAWSクレデンシャルを取得します。AWS外部で実行されているCloud Exchange用です。
   • Private Key: Certificate Bodyと一致するPEMエンコードされた秘密鍵。IAM Roles Anywhere CreateSessionリクエストに署名します。AWS IAM Roles Anywhere認証に必要です。
   • Certificate Body: トラストアンカーで構成されたCAによって発行されたPEMエンコードされたX.509エンドエンティティ証明書。AWS IAM Roles Anywhere認証に必要です。
   • Password Phrase: 秘密鍵が暗号化されている場合は、秘密鍵のパスフレーズ。AWS IAM Roles Anywhere認証に必要です。
   • Profile ARN: IAM Roles AnywhereプロファイルのARN。形式: arn:aws:rolesanywhere:{region}:{account-id}:profile/{profile-id}。AWS IAM Roles Anywhere認証に必要です。
   • Role ARN: 引き受ける IAM ロールの ARN。形式：arn:aws:iam::{account-id}:role/{role-name}。プラグインで作成する必要がある場合、ロールにはターゲットログストリームの logs:PutLogEvents、logs:CreateLogGroup、および logs:CreateLogStream が必要です。AWS IAM Roles Anywhere 認証に必要です。
   • Trust Anchor ARN: IAM Roles AnywhereトラストアンカーのARN。形式：arn:aws:rolesanywhere:{region}:{account-id}:trust-anchor/{anchor-id}。AWS IAM Roles Anywhere認証に必要です。
   • AWS CloudWatch Region Name: ターゲットのCloudWatchロググループを保持するAWSリージョン。AWS IAM Roles Anywhereを使う場合、このリージョンはプロファイルARNおよびトラストアンカーARNのリージョンと一致している必要があります。リストにないリージョンを入力するには Select Custom Region を選択します。
   • AWS CloudWatch Custom Region: ［AWS CloudWatch Region Name］がCustom Regionに設定されている場合のみ使用されます。それ以外の場合は空白のままにします。ロググループの有効なAWSリージョンコード。リストにないリージョン用（例：us-west-1）。AWS IAM Roles Anywhereは、aws、aws-cn、aws-us-govパーティションのみをサポートします。ISOリージョンやeusc-リージョンはサポートされません。
   • Log Group Name: データが書き込まれるCloudWatchロググループの名前。このプラグインは、ロググループが存在しない場合に作成します。1～512文字で、文字、数字、および文字を含めることができます。– _ / #。
   • Log Stream Name: ロググループ内のログストリームの名前。プラグインは、ログストリームが存在しない場合は作成します。長さは1～512文字で、: または * を含めることはできません。
     

   

   

   

4. 「Save」をクリックします。プラグイン設定は、「Log Shipper」>「Plugins」ページで利用できます。

   

AWS CloudWatchのログシッパービジネスルールを構成します

1. ビジネスルールページに移動してください。

2. デフォルトでは、すべてのアラートとイベントをフィルタリングするビジネスルールが設定されています。特定の種類のアラートやイベントを除外したい場合は、 Create New Ruleをクリックして、ルール名とフィルターを追加して新しいビジネスルールを設定します。

   

3. Saveをクリックしてください。

   

AWS CloudWatchのログシッパーのログ配信を設定する

1. Log Shipperで Log Delivery に移動し、Add Log Delivery Configuration をクリックします。
2. Select ソースプラグイン（CLS Netskopeまたはその他のソースプラグイン）、送信先プラグイン（CLS AWS CloudWatch）、およびビジネスルールを選択し、保存をクリックします。
3. WebTxの場合は、Sourceプラグイン(CLS AWS Netskope LogStreaming)とDestinationプラグイン(CLS AWS CloudWatch)を選択します。
4. ログ共有の場合、送信元プラグイン（CLS Cloud Exchange Logs）と送信先プラグイン（CLS AWS CloudWatch）を選択します。
5. BWANイベントを共有するには、ソースプラグイン（CLS Netskope BWAN）と送信先プラグイン（CLS AWS CloudWatch）を選択します。
6. Log Delivery を追加すると、Netskope テナントまたはソースプラットフォームからデータがプルされ、変換された後、AWS CloudWatch プラットフォームに取り込まれ始めます。

AWS CloudWatchプラグインを検証する

プルを検証する

Netskopeテナントからのイベント、アラート、ログ、BWANイベント、およびWebTxの取得を検証するため。

Cloud Exchangeで、Settings > Loggingに移動します。プルされたログを検索します。

プッシュ通知を検証する

Cloud Exchange でプラグインのワークフローを検証するには：

「Logging」に移動し、「message contains ingested」 というフィルタを使用して、取り込まれたEvents、Alerts、WebTx、Logsを検索します。取り込まれたログがフィルタリングされます。

AWS CloudWatch でのプッシュを検証するには、次を実行します。

AWSプラットフォームにログインします。

CloudWatch を検索してクリックします。

Logs > Log Analyticsに移動し、次のようなクエリを入力します。

SOURCE "arn:aws:logs:us-east-1:***********:log-group:<log_group_name>" START=-5m END=0s 
| fields @timestamp, @message
| sort @timestamp desc
| limit 10000
| filter @logStream like "<log_stream_name>"

取り込まれたアラートの例を以下に示します。

取り込まれたイベントの例を以下に示します。

BWANイベントがプラグインからAWS CloudWatchにどのように表示されるかは、次のとおりです。

CEログ用 AWS CloudWatch は、プラグインから AWS CloudWatch に次のように表示されます。

プラグインから AWS CloudWatch への WebTx データは次のようになります。

プラグインからAWS CloudWatchへJSONで共有される時のデータの形式は以下の通りです（解析前の形式）：

選択したフィールドのみを持つカスタムマッピングを使用した、 JSON 形式の取り込まれたデータの例を次に示します。

AWS CloudWatchプラグインのトラブルシューティング

環境内にAWSクレデンシャルが見つかりません

Error message:

環境内にAWSクレデンシャルが見つかりませんでした。プラグインをAWS環境にデプロイするか、AWS IAM Roles Anywhere認証を使う

Possible causes:

• 「Deployed on AWS」認証方式が選択されていますが、CEホストにインスタンスプロファイルやIAMロールがアタッチされていません。
• AWS IAM Roles Anywhereが誤って構成されており、アンビエントクレデンシャルチェーンが意図せず使用されています。

What to do:

1. CEホストに、必要なCloudWatchアクセス許可（logs:PutLogEvents、logs:CreateLogGroup、logs:CreateLogStream、logs:DescribeLogGroups、logs:DescribeLogStreams）が付与されたIAMインスタンスプロファイルがアタッチされているかを確認するか、認証方法を「AWS IAM Roles Anywhere」に切り替えてください。
2. IAM Roles Anywhereを使用している場合は、Private Key、Certificate Body、Profile ARN、Role ARN、およびTrust Anchor ARNが正しく構成されていることを確認してください。

AWS IAM Roles Anywhereのアクセスが拒否されました

Error message:

アクセスが拒否されました。設定パラメータで提供されたプロファイルARN、ロールARN、信頼アンカーARNと、そのロールに割り当てられたポリシーを確認してください。

Possible causes:

• 設定ファイルで指定されたARNが一致していないか、間違っています。
• IAM ロールの信頼ポリシーが Roles Anywhere サービスプリンシパルを許可していません。
• IAMロールに、必要なCloudWatch Logs権限がありません。

What to do:

1. プロファイルARN、ロールARN、およびトラストアンカーARNが正しく、AWSアカウント内の既存のリソースを参照していることを確認してください。
2. IAMロールの信頼ポリシーがAWSのIAM Roles Anywhereサービスに必要な権限を付与しているか確認してください。
3. IAMロールに、logs:PutLogEvents、logs:CreateLogGroup、logs:CreateLogStream、logs:DescribeLogGroups、およびlogs:DescribeLogStreamsの必要なCloudWatch Logs権限があることを確認してください。

AWS IAM Roles Anywhere のリソースが見つかりません

Error message:

リソースが見つかりません。設定パラメータで指定されたプロファイルARN、ロールARN、およびトラストアブカーARNを確認してください。

Possible causes:

• 構成されたARNの1つ以上が、存在しないプロファイル、ロール、またはトラストアンカーを参照しています。
• ARN 形式が正しくありません。
• ARNが、選択されたリージョンとは異なるリージョンに属しています。 AWS CloudWatch Region Name.

What to do:

1. AWSコンソールにログインし、設定されたARNによって参照されるプロファイル、ロール、およびトラストアンカーが存在し、アクティブであることを確認してください。
2. ARN形式が正しいことを確認してください：arn:aws:rolesanywhere:{region}:{account-id}:profile/{profile-id}。
3. Profile ARN と Trust Anchor ARN のリージョンが、プラグインで構成された AWS CloudWatch リージョン名と一致していることを確認してください。

秘密鍵または証明書ボディが無効です

Error messages:

• 提供された秘密鍵が無効です。秘密鍵は有効なPEM形式である必要があります
• 無効な証明書本体が提供されました。証明書本体は有効なPEM形式である必要があります。

Possible causes:

• 秘密鍵フィールドに、有効な PEM エンコードされた秘密鍵が含まれていません。
• 「Certificate Body」フィールドに有効な PEM エンコード済みの X.509 証明書が含まれていません。
• パスワードフレーズが暗号化された秘密鍵に対して正しくありません。

What to do:

1. 秘密鍵が —–BEGIN RSA PRIVATE KEY—– または —–BEGIN PRIVATE KEY—– で始まり、完全であることを確認してください。
2. 証明書ボディが —–BEGIN CERTIFICATE—– で始まり、完全であることを確認してください。
3. パスワードフレーズが秘密鍵生成時に使用されたパスフレーズと一致するか、鍵が暗号化されていない場合は空のままにしてください。

CloudWatchロググループにアクセスできません

Error messages:

• AWS CloudWatchロググループ「{log_group}」が存在しないか、アクセスできません。
• ResourceNotFoundException: 指定されたロググループが存在しません

Possible causes:

• プラグインで設定されたロググループ名が、指定されたAWSリージョンに存在しません。
• IAMクレデンシャルには、必要な logs:DescribeLogGroups または logs:CreateLogGroup 権限がありません。
• ロググループは、設定されているリージョンとは異なるリージョンに存在します。

What to do:

1. CloudWatch Logs コンソールにログインし、構成されたリージョンにロググループが存在することを確認します。
2. IAMロールまたはインスタンスプロファイルにlogs:DescribeLogGroupsおよびlogs:CreateLogGroupの権限があることを確認してください。
3. ロググループが別のリージョンにある場合は、プラグイン設定の「AWSリージョン」フィールドを、ロググループの実際のリージョンに合わせて更新してください。

CloudWatchロググループのリージョンが一致しません

Error message:

AWS CloudWatchロググループ「{log_group}」が存在しますが、設定されたリージョン「{configured}」ではなく、リージョン「{actual}」にあります。

Possible causes:

• プラグインに設定されているAWSリージョンが、ロググループが存在する実際のリージョンと一致しません。
• CloudWatchロググループはリージョン固有のリソースです。

What to do:

1. CloudWatch Logsコンソールにログインし、ロググループの実際のリージョンを確認します。
2. プラグイン構成のAWS Regionフィールドを、実際のロググループのリージョンと一致するように更新します。

CloudWatch Logsへの書き込み時のアクセス拒否

Error message:

AccessDeniedException: ユーザーはリソース「{log_group}」に対して「logs:PutLogEvents」を実行する権限がありません。

Possible causes:

• IAMロールまたはインスタンスプロファイルに、必要なCloudWatch Logs権限が1つ以上不足しています。
• リソースベースのポリシーまたはサービスコントロールポリシー (SCP) がアクションをブロックしています。
• ロググループはAWS KMS暗号化を使用しており、IAMロールに対応するKMSキー権限がありません。

What to do:

IAMロールがターゲットロググループに対して以下のアクセス権を持っていることを確認してください。

{
  "Effect": "Allow",
  "Action": [
    "logs:CreateLogGroup",
    "logs:CreateLogStream",
    "logs:PutLogEvents",
    "logs:DescribeLogStreams",
    "logs:DescribeLogGroups"
  ],
  "Resource": "*"
}

1. CloudWatch Logs へのアクセスを制限している可能性のある SCP または許可境界が AWS 組織にないか確認します。
2. ロググループが顧客管理型のAWS KMSキーで暗号化されている場合は、IAMロールにそのキーに対する kms:GenerateDataKey および kms:Decrypt の権限も付与されていることを確認してください。

CloudWatch Logsのレート制限

Error message:

ThrottlingException: ログのレートを超過しました:PutLogEvents

Possible causes:

• プラグインが送信しているログイベントのレートが、PutLogEventsに対するCloudWatch Logsサービスのクォータを超えています。
• 複数のCEインスタンスが同時に同じログストリームに書き込んでいます。

What to do:

1. お使いのアカウントのCloudWatch Logsサービスのクォータを確認し、必要に応じて増加をリクエストしてください。
2. 複数のCEインスタンスが同時に同じログストリームに書き込まないようにしてください。インスタンスごとに一意のログストリーム名を使用してください。

AWS CloudWatchに接続できませんでした

ユーザーに「{action}中にAWS CloudWatchに接続できませんでした。」というメッセージが表示された場合、ネットワーク接続、プロキシ設定、AWS CloudWatchのリージョン名を確認するか、「AWS CloudWatchへの接続中にエラーが発生しました」というメッセージが表示される場合は、次のいずれかの理由が考えられます。

• CEホストが、構成済みのリージョンのCloudWatch Logsエンドポイントに到達できません。
• Cloud Exchange で構成されたプロキシが正しくないか、リクエストをブロックしています。
• 設定されたリージョンが存在しないため、エンドポイントのホスト名を解決できません。

What to do:

1. CEホストがポート443でlogs.{region}.amazonaws.comに到達できることを確認してください。
2. Cloud Exchange のプロキシ設定を確認し、CloudWatch Logsエンドポイントがファイアウォールを通過できることを確認してください。
3. AWS CloudWatchのリージョン名（またはAWS CloudWatchのカスタムリージョン）が、ロググループが存在するリージョンであることを確認してください。

バッチの失敗によりプッシュが停止しました

ユーザーに {total} のバッチ {n} が失敗したため、プッシュが停止しました。 {n} 個のログがすでにAWS CloudWatchに到達しており、再試行から削除されました。 {n} 個のログがCloud Exchangeによって再送信されます というメッセージが表示される場合、次のいずれかの理由が考えられます。

• プッシュの途中で、クレデンシャル、権限、またはネットワークのエラーが発生しました。
• AWSがターゲットログストリームのPutLogEvents呼び出しを制限しました。

What to do:

1. このメッセージの直前に記録された特定のエラーを使用して、AWSクレデンシャル、ロググループに対するIAM権限、およびネットワーク接続を確認してください。
2. ログ自体に対してアクションは必要ありません。Cloud Exchangeは未送信の残り分のみを自動的に再送信するため、ログの欠落や重複はありません。
3. メッセージがスロットリングエラーで繰り返される場合は、アカウントの PutLogEvents クォータの引き上げをリクエストするか、追加のログストリーム全体にインジェクションを分散してください。
   

既知の動作

• 取り込まれたデータには、アクセント記号付き文字（英語）、英語以外の言語の文字、改行なしスペース、改行文字、その他の特殊な書式記号など、いくつかの要因によってエスケープ文字が含まれる場合があります。

  例：

  <14>Apr 07 09:32:56 alltypes CEF:0|Netskope|Mock Netskope Tenant|NULL|application|NULL|Unknown|act=Download appcategory=Cloud Storage applicationType=nspolicy browser=unknown \\u4ed5\\u4e8b cci=89 ccl=high device=Other dst=ef82::1a12:1234:1b12 os=unknown requestClientApplication=Box sourceServiceName=Box src=ef82::1a12:1234:1b12 suser=support@netskope.com timestamp=1743736484

  ここでは、取り込まれた2つの日本語文字が、上のログで「\\u4ed5\\u4e8b」のように表示されています。

• 「DLPインシデントフォレンジックの取得」フィールドを「はい」に設定した場合、またはいずれかのフィールドの内容が非常に大きい場合、取り込まれたコンテンツにフィールド/データが欠落する可能性があります。
  • 一部のフィールドが非常に大きく、Netskope Cloud Exchange がサポートする最大長を超えていることが確認されています。その結果、警告が表示される場合があり、残りの値がスキップされるため、取り込まれたイベントが不完全になる可能性があります。