AWS Private CAが証明書発行の詳細ログ提供を開始

AWS Private CAにおいて、証明書の完全な内容、発行CA情報、リクエスタの身元、および署名ステータスを記録する新しいCloudTrailサービスイベント IssueCertificateDetails が導入されました。これにより、成功した発行だけでなく、名前制約違反などの署名前の失敗についても理由とともに記録されます。本機能は追加設定や追加費用なしで、AWS Private CAが提供されているすべてのリージョンで自動的に提供されます。

運用上のメリット

これまでCloudTrailの IssueCertificate イベントでは、APIの成功（ARNの返却）しか分からず、「具体的にどのような内容の証明書が発行されたか」や「なぜ発行に失敗したか」をログから追跡することが困難でした。今回のアップデートで TBS（To-Be-Signed）証明書の全フィールド が記録されるため、外部ツールに頼らずにCloudTrailだけで証明書のインベントリ管理や監査が可能になります。

日本国内の利用状況

リサーチの結果、東京リージョンおよび大阪リージョンで利用可能 です。AWS Private CAが提供されている全リージョンが対象であるため、国内環境ですぐに導入いただけます。

実務的なアドバイス

• コストと監視: CloudTrailの標準料金のみで利用でき、追加費用はかかりません。Amazon EventBridgeと組み合わせることで、特定のアルゴリズムを使用した証明書の発行や、発行失敗の発生をリアルタイムで検知し、Slack等に通知する仕組みを簡単に構築できます。
• 監査の効率化: 大量の証明書を管理している場合は、Amazon Athenaを用いて IssueCertificateDetails イベントをクエリすることで、有効期限や署名アルゴリズムの移行状況を迅速に把握できます。

次のアクション

まずはCloudTrailのイベント履歴から IssueCertificateDetails イベントを探し、どのようなJSON構造で証明書詳細が記録されているかを確認することをお勧めします。

参考ドキュメント

AWS Private CA User Guide https://docs.aws.amazon.com/privateca/latest/userguide/logging-using-cloudtrail-pca.html#pca-service-events