AWS Private CA の証明書発行が丸ごとログに残るようになったよ！

こんにちは、しぃちゃんだよ！証明書まわりの監査がぐっと楽になる更新が来たから、紹介するね！

AWS What's New aws.amazon.com

なにが発表されたの？

AWS の What's New で、AWS Private CA の「詳細な証明書発行ログ」が発表されたよ！

新しい CloudTrail のサービスイベント IssueCertificateDetails が、証明書を発行するたびに次の情報を記録してくれるの。

• 証明書の完全な内容
• 署名した CA の情報
• リクエスタの ID
• 署名の成否

今までどうだったの？

これまでの IssueCertificate API の CloudTrail 管理イベントは、API 呼び出しが成功したことと証明書の ARN が分かるだけだったよ。

• 証明書の内容は記録されなかった
• 署名した CA の情報も記録されなかった
• 署名の前に失敗した発行は記録に残らなかった

これで何が変わるの？

発行の全体像が CloudTrail だけで追えるようになるよ！AWS は次のような使い道を挙げているの。

• コンプライアンス監査
• 証明書のインベントリ管理
• アルゴリズム移行の追跡
• 発行失敗のモニタリング

「どのアルゴリズムの証明書がどれだけ発行されているか」を発行ログから確認できるのは、移行計画を立てるセキュリティ担当のみんなに嬉しいね！

深く潜ってみよう

イベントに入る情報を整理するね。

• 署名前の証明書（TBS 証明書）の全 X.509 フィールドと拡張
• 使いやすい項目として、サブジェクト・発行者・シリアル番号・有効期間・テンプレート・署名アルゴリズム

成功だけでなく失敗の発行でもイベントが出るよ。たとえば名前制約違反のような署名前の失敗でも、失敗の説明つきの記録が残るの。

リクエスタの表し方は発行経路で変わるよ。

• API を直接呼んだ場合: アカウントと IAM プリンシパル
• AWS Private CA コネクタや連携サービス経由の場合: サービスプリンシパル

クロスアカウント構成では、イベントは CA の所有アカウントに届くよ。

CloudTrail の管理イベントとして自動で配信されるから、設定もオプトインも要らないの。追加料金もなくて、かかるのは通常の CloudTrail 料金だけ。提供は AWS Private CA が使える全リージョンで、EventBridge でのリアルタイム処理や Athena でのまとめた検索にも使えるよ。

まとめ

• 新イベント IssueCertificateDetails が、証明書の全内容・CA 情報・リクエスタ・署名状況を記録する
• 署名前の失敗も、失敗の説明つきで残る
• 設定不要で、追加料金は通常の CloudTrail 料金のみ
• EventBridge や Athena と組み合わせて監査・監視ができる

プライベート PKI を運用していて、監査や移行追跡に悩んでいるみんなに刺さる更新だよ！