【EventBridge 待望のアップデート】「誰がイベントを送ったか」が丸わかり！CloudTrail でのデータプレーン・ロギングがついに解禁！

Amazon EventBridge が AWS CloudTrail によるデータプレーン API のロギングをサポートしました。これにより、これまで可視化が難しかった PutEvents や PutPartnerEvents といったイベント送信操作の監査証跡が CloudTrail に記録されるようになります。本機能は全商用 AWS リージョンで利用可能であり、設定には CloudTrail のイベントセレクターでのオプトインが必要です。

🚀 ついに「ブラックボックス」が解消される！

これまでの EventBridge 運用で、「原因不明のイベントがバスに流れてきて、システムの挙動がおかしくなった。でも、誰（どのロール）がそれを送ったのかログが残っていない...」 という絶望的な状況に直面したことはありませんか？

今回のアップデートは、まさにその課題に対する決定打です。PutEvents API が記録されるようになることで、セキュリティ監査やトラブルシューティングの精度が劇的に向上します。

📍 日本国内のエンジニアへの重要情報

リサーチの結果、東京リージョン (ap-northeast-1) および大阪リージョン (ap-northeast-3) で問題なく利用可能であることが確認されています。日本のプロジェクトでも、すぐに導入検討が可能です。

💡 実践的な運用アドバイス

ただし、「とりあえず全部オン！」は要注意です。データプレーンのロギングは、CloudTrail のデータイベント料金（10万イベントあたり $0.10）が発生します。高頻度なイベントが流れるバスで無策に有効化すると、コストが跳ね上がるリスクがあります。

• 重要バスに絞る: セキュリティ要件が高い、あるいは監査が必要な特定のイベントバスに対してのみ、ターゲットを絞って有効化することを強く推奨します。
• コスト最適化: CloudTrail のログ保存先 S3 には必ずライフサイクルポリシーを設定し、不要になった古いログは Glacier へ移行しましょう。

✅ まず何をすべきか？

1. 重要なイベントバスの特定
2. 開発・検証環境で CloudTrail のイベントセレクターを設定し、実際にログが記録されるかを確認
3. ログの量を確認し、コスト試算を行う

このステップで、安全かつ低コストに運用を開始しましょう！

参照リファレンス: Amazon EventBridge ユーザーガイド: Logging Amazon EventBridge API calls using AWS CloudTrail AWS CloudTrail 料金ページ