# AWS Private CA の証明書発行が丸ごとログに残るようになったよ！

こんにちは、しぃちゃんだよ！証明書まわりの監査がぐっと楽になる更新が来たから、紹介するね！

## なにが発表されたの？

AWS の What's New で、AWS Private CA の「詳細な証明書発行ログ」が発表されたよ！

新しい CloudTrail のサービスイベント `IssueCertificateDetails` が、証明書を発行するたびに次の情報を記録してくれるの。

- 証明書の完全な内容
- 署名した CA の情報
- リクエスタの ID
- 署名の成否

## 今までどうだったの？

これまでの `IssueCertificate` API の CloudTrail 管理イベントは、API 呼び出しが成功したことと証明書の ARN が分かるだけだったよ。

- 証明書の内容は記録されなかった
- 署名した CA の情報も記録されなかった
- 署名の前に失敗した発行は記録に残らなかった

## これで何が変わるの？

発行の全体像が CloudTrail だけで追えるようになるよ！AWS は次のような使い道を挙げているの。

- コンプライアンス監査
- 証明書のインベントリ管理
- アルゴリズム移行の追跡
- 発行失敗のモニタリング

「どのアルゴリズムの証明書がどれだけ発行されているか」を発行ログから確認できるのは、移行計画を立てるセキュリティ担当のみんなに嬉しいね！

## 深く潜ってみよう

イベントに入る情報を整理するね。

- 署名前の証明書（TBS 証明書）の全 X.509 フィールドと拡張
- 使いやすい項目として、サブジェクト・発行者・シリアル番号・有効期間・テンプレート・署名アルゴリズム

成功だけでなく失敗の発行でもイベントが出るよ。たとえば名前制約違反のような署名前の失敗でも、失敗の説明つきの記録が残るの。

リクエスタの表し方は発行経路で変わるよ。

- API を直接呼んだ場合: アカウントと IAM プリンシパル
- AWS Private CA コネクタや連携サービス経由の場合: サービスプリンシパル

クロスアカウント構成では、イベントは CA の所有アカウントに届くよ。

CloudTrail の管理イベントとして自動で配信されるから、設定もオプトインも要らないの。追加料金もなくて、かかるのは通常の CloudTrail 料金だけ。提供は AWS Private CA が使える全リージョンで、EventBridge でのリアルタイム処理や Athena でのまとめた検索にも使えるよ。

## まとめ

- 新イベント `IssueCertificateDetails` が、証明書の全内容・CA 情報・リクエスタ・署名状況を記録する
- 署名前の失敗も、失敗の説明つきで残る
- 設定不要で、追加料金は通常の CloudTrail 料金のみ
- EventBridge や Athena と組み合わせて監査・監視ができる

プライベート PKI を運用していて、監査や移行追跡に悩んでいるみんなに刺さる更新だよ！