• amazon-athena
• aws-cloudtrail
• aws-private-certificate-authority
• security-identity-and-compliance

• AWS Private CAが新しいCloudTrailサービスイベント「IssueCertificateDetails」を発表
• 完全な証明書内容（X.509フィールド・拡張を含むTBS証明書）、発行CA情報、リクエスターID、署名ステータスを記録
• 成功した発行だけでなく、失敗した発行（名前制約違反など）もエラー説明付きで記録される
• コンプライアンス監査、証明書インベントリ、アルゴリズム移行追跡、発行失敗監視に活用可能
• リクエスターの識別が可能（直接API呼び出し元のIAMプリンシパル、またはコネクター経由のサービスプリンシパル）
• クロスアカウント構成では、イベントはCA所有者アカウントに配信
• 設定やオプトイン不要で自動配信、標準CloudTrail料金以外の追加費用なし
• Amazon EventBridgeでリアルタイム対応、Amazon Athenaでバッチクエリが可能
• AWS Private CAが提供されているすべてのAWSリージョンで利用可能

AWS Private CAが、証明書の完全な内容、発行CA情報、リクエスター情報、署名ステータスを記録する新しいAWS CloudTrailサービスイベント「IssueCertificateDetails」を発表しました。このイベントはコンプライアンス監査、証明書インベントリ、アルゴリズム移行追跡、失敗した発行の監視に活用でき、追加費用なしで自動的にCloudTrail管理イベントとして配信されます。

AWS Private CAは、詳細な証明書発行ログを発表しました。
これは新しいAWS CloudTrailサービスイベントで、すべての発行に対して完全な証明書内容、発行CA情報、リクエスターのID、署名ステータスを記録します。
これらのイベントは、コンプライアンス監査、証明書インベントリ、アルゴリズム移行追跡、および発行失敗の監視に使用できます。

以前は、IssueCertificate APIのCloudTrail管理イベントは、証明書ARNを提供してAPI呼び出しが成功したことを確認するだけで、証明書の内容、署名したCAの情報、署名前に失敗した発行を記録していませんでした。

新しいIssueCertificateDetailsイベントは、すべてのX.509フィールドと拡張を含む完全なto-be-signed（TBS）証明書を記録し、さらにサブジェクト、発行者、シリアル番号、有効期間、テンプレート、署名アルゴリズムの便利なフィールドも含みます。
イベントは成功した発行と失敗した発行の両方で出力されるため、名前制約違反などの署名前の失敗も、失敗の説明を含むレコードが生成されます。

各イベントはリクエスターを識別します。
直接のAPI呼び出し元の場合はアカウントとIAMプリンシパル、AWS Private CAコネクターや統合AWSサービスを通じて発行された証明書の場合はサービスプリンシパルが記録されます。
クロスアカウント構成では、イベントはCA所有者アカウントに配信されます。

このイベントは、設定やオプトインは不要で、標準のAWS CloudTrail料金以外の追加費用なしに、CloudTrail管理イベントとして自動的に配信されます。
CloudTrailを通じて流れるため、Amazon EventBridgeでリアルタイムに対応したり、Amazon Athenaでバッチクエリして証明書の監査、インベントリ、追跡、監視を行うことができます。

この機能は、AWS Private CAが提供されているすべてのAWSリージョンで利用可能です。
詳細については、AWS Private CAユーザーガイドを参照してください。

• AWS CloudTrail
• AWS Private Certificate Authority
• Amazon EventBridge

• AWS CloudTrailは、AWSアカウント内で行われたすべてのAPIコール（誰が、いつ、どのリソースに対して、何をしたか）を記録・監視するサービスです。セキュリティ監査、コンプライアンス対応、トラブルシューティングに活用されます。管理イベント（リソースの作成・変更・削除など）とデータイベント（S3オブジェクトの読み書きなど）を記録し、ログはS3バケットに保存されます。本記事では、AWS Private CAの証明書発行に関する詳細情報がCloudTrail管理イベントとして自動記録されるようになったことが紹介されています。
• AWS Private Certificate Authority（AWS Private CA）は、組織内で使用するプライベートSSL/TLS証明書を発行・管理するためのマネージドサービスです。公的な認証局（CA）を使わずに、自社独自のプライベート認証局を構築・運用できます。内部アプリケーション、IoTデバイス、VPN接続などで使用するプライベート証明書のライフサイクル（発行、更新、失効）を一元管理でき、セキュリティとコンプライアンス要件を満たすのに役立ちます。
• Amazon EventBridgeは、AWSサービスや外部アプリケーション、SaaSアプリケーションからのイベントをリアルタイムで受信し、ルールに基づいてターゲット（Lambda関数、SNS、SQSなど）にルーティングするサーバーレスイベントバスサービスです。例えば、CloudTrailイベントを検知して自動的にアラートを送信したり、Lambda関数を起動して対応処理を実行したりできます。本記事では、証明書発行イベントをEventBridgeでリアルタイムに検知・対応するユースケースが紹介されています。

• https://docs.aws.amazon.com/privateca/latest/userguide/logging-using-cloudtrail-pca.html#pca-service-events