【cloudformation】cloudtrailのPutObject記述方法

#cloudformationを用いたcloudtrailの記述方法

"s3:x-amz-acl: bucket-owner-full-control"の必要性が理解できません。

下記参照先(AWS::CloudTrail::Trail)の公式ドキュメントには**"すべてのリージョンのイベントを記録する証跡、ログの発行先となる Amazon バケット"**という紹介で下記の通りcloudtrailログをputする例が記載されていますが、"StringEquals:s3:x-amz-acl: bucket-owner-full-control"を記述してしまったらバケットの所有者のcloudtrailしか記録されないのではないでしょうか。

※bucket-owner-full-control(アクセスコントロールリスト (ACL) の概要)
オブジェクト所有者とバケット所有者はオブジェクトに対する FULL_CONTROL を取得します。バケットの作成時にこの既定 ACL を指定しても、Amazon S3 には無視されます。

#目的
全てのユーザ、ロールが使用したcloudtrailログを収集したいです。

#参照先
アクセスコントロールリスト (ACL) の概要

AWS::CloudTrail::Trail
※以下公式ドキュメントより抜粋

 - Sid: AWSCloudTrailWrite
          Effect: Allow
          Principal:
            Service: cloudtrail.amazonaws.com
          Action: s3:PutObject
          Resource: !Sub arn:aws:s3:::${S3PaBucketlogs}/AWSLogs/${AWS::AccountId}/*
          Condition:
            StringEquals:
              s3:x-amz-acl: bucket-owner-full-control

行動規範の内容に同意します

回答1件

ベストアンサー

ここで言っている「バケットの所有者」とはユーザではなくAWSアカウントを指しているのかと思います。
これは当該アカウントのCloudTrailがS3にPutObjectするためのバケットポリシーを定義しているのであって、CloudTrailが何を記録するかについて設定するものではないです。
bucket-owner-full-control のACLはS3に上げられたオブジェクトに対する権限を定義した既定ACLで、それに沿った権限でS3にオブジェクトが保存される、ということでしょう。
なので、CloudTrailそのものの挙動には関係ありません。

CloudTrailについての設定をしているのはサンプルだとこの部分です。
何をどう記録するかはここの部分をドキュメントを読みながらいじれば良さそうです。

    myTrail: 
      DependsOn: 
        - BucketPolicy
        - TopicPolicy
      Type: AWS::CloudTrail::Trail
      Properties: 
        S3BucketName: 
          Ref: S3Bucket
        SnsTopicName: 
          Fn::GetAtt: 
            - Topic
            - TopicName
        IsLogging: true
        IsMultiRegionTrail: true

参考
AWS S3 をマルチアカウントで使う時の注意

どちらかというとCloudFormationのドキュメントではなくCloudTrailのドキュメントを見たほうがいいかなと
CloudTrail の Amazon S3 バケットのポリシー

おまけ
ちなみにですが、CloudTrailをオンにするStackSetsはAWSがサンプルを用意してくれています。
CloudFormationのコンソールから
StackSets→StackSetsの作成
で
サンプルテンプレートを使用
から参照するか、
AWS CloudFormation StackSets サンプルテンプレート
にリンクがあるのでそこからダウンロードできます。