【IBM Cloud】 Activity TrackerからCloud LogsへのActivity Tracker Event Routing設定変更の流れ

## はじめに
2024年6月頃、IBM Cloudでは既存の監視ツールであるLog AnalysisとActivity Trackerの後継サービスであるIBM Cloud LogsをFrankfurtとMadridリージョンにGAし、2024年9月にはTokyoとOsakaリージョンでGAされました。
そのため、既存のLog AnalysisとActivity Trackerのインスタンスを後継のCloud Logsに移行する検証を行いました。

今回は既存の監査イベントがActivity Trackerに表示されるように設定されていたLogs Routing機能をCloud Logsに表示されるように設定変更する流れを整理します。

[前回の記事](https://qiita.com/Sungyun_Moon/items/1a51879fd2fd478ec84d)ではLog Analysisのログ・データをCloud Logsへ変更する設定の流れを整理しましたが、今回はActivity TrackerからCloud Logsへのイベント・データを変更する流れを整理しました。
基本的な操作の流れは似ているので、[前回の記事](https://qiita.com/Sungyun_Moon/items/1a51879fd2fd478ec84d)も参考にしてください。

:::note warn
Log AnalysisとActivity Trackerは2025年3月30日でEOSされる予定です。
そのため、EOSまでに既存インスタンスのマイグレーションが必要となりますので、ご注意ください。
:::

:::note
Activity Tracker Event RoutingはEOSにはなりません。
監査イベントを監視サービスへ転送するために、本記事の設定が必要です。
:::

また、今回の内容にはIBM Cloudの[アカウント](https://cloud.ibm.com/docs/account?topic=account-accounts)（無料利用可能）が前提となっています。

## Activity Tracker Event Routingとは？
![スクリーンショット 2024-10-02 17.23.00.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2626032/a0aed6e1-d227-e60d-e59d-3223b5b24bee.png)
Event Routingとは、IBM Cloudサービスからの監査イベントを特定のインスタンス（Cloud Logs、Activity Trackerなど）に送信できるように設定する機能です。これによって、複数リージョンから発生するログを一つのインスタンスに集約することができます。

今回は既存のActivity Tracker宛に設定されていたEvent RoutingをCloud Logsに変更する検証となります。


## 全体的な流れ
#### IBM Cloud Object Storage（ICOS）インスタンスの準備
この記事はCloud Logsのインスタンスは準備された前提で作成しています。
[前回の記事](https://qiita.com/Sungyun_Moon/items/1a51879fd2fd478ec84d)を参考にCloud Logsのインスタンスを作成ください。

Cloud Logsのインスタンスが作成されたら、次は監査イベントを永続的に保管するため、ICOSインスタンスを作成する必要があります。以下の手順に沿ってインスタンスを作成し、予め作成したCloud Logsインスタンスとのマウント設定を行います。

ICOS画面にて`インスタンスの作成`をクリックします。
![スクリーンショット 2024-07-11 17.19.45.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2626032/f3e791d5-e4fa-6b8c-1f63-033a7e838412.png)
インフラの選択やインスタンス名、リソースグループなどの設定を行ってインスタンスを作成します。
![FireShot Capture 008 - Cloud Object Storage - IBM Cloud - cloud.ibm.com.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2626032/ae4d4473-d2b4-1911-008c-c37102528c80.png)

ICOSのインスタンスが作成されたら、次は「バケット」を作成します。
「バケット」とは、インタンス内で監査イベントが保管される論理的区域であり、名前通りデータを入れておく箱のようなものとなります。

なお、監査イベント用のバケットはLog Analysisからのログ・データを保管するためのバケットとは別にバケットを作成する必要があります。
そのため、すでにログ・データ用のバケットがある場合でも、監査イベント用のバケットを別途作成ください。

まずは`バケットの作成`をクリックします。
![スクリーンショット 2024-07-11 17.20.23.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2626032/8955139f-37aa-e773-3e8d-3c9acaea3840.png)

Quick Startテンプレートを含め、複数のテンプレートが用意されていますが、今回はカスタムテンプレートにて作成しました。
![スクリーンショット 2024-07-11 17.21.28.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2626032/d89934ba-8432-f7b3-b307-fb1963f15dbe.png)

バケット名や可用性の設定、リージョン、Storage Tierなどを設定し、バケットを作成します。こちらの設定はバケット作成後には変更ができませんのでご注意ください。
なお、今回の検証を実施した際にはまだ国内リージョンがGAされる前だったため、フランクフルト（eu-de）リージョンで作成しています。
![FireShot Capture 009 - Cloud Object Storage - IBM Cloud - cloud.ibm.com.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2626032/3900cd59-cdd1-4615-1ef6-2a9ed6542f16.png)

バケットまで作成できたら、Cloud Logsインスタンスのストレージタブに入って`メトリック・データ`→`接続`にて、使用するICOSのバケットとマウントします。
なお、上記の通り`ログ・データ`はLog Analysisからのログを接続する項目となり、今回は使用しません。

:::note info
こちらの段階では`サービス間許可（S2S許可）`が前提となります。もしS2S許可前の場合、`サービス許可が必要です`という画面が表示されるケースがありますが、`今すぐ許可`をクリックするとインスタンスリストが表示され、接続可能な状態になります。
もしうまくいかない場合、[バケットへのアクセス権限を付与するための S2S 許可の作成](https://cloud.ibm.com/docs/cloud-logs?topic=cloud-logs-iam-service-auth-cos&interface=ui)を参考ください。
:::

![スクリーンショット 2024-10-02 17.03.12.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2626032/728bf24e-32fc-5d98-a884-a8b72b068fb6.png)
Cloud LogsとICOSのバケットをマウントするために、先ほど作成したICOSのインスタンスを検索し、監査イベント用のバケットを選択して接続します。
![スクリーンショット 2024-07-11 17.52.50.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2626032/8d6adb01-3df3-2de9-2aed-20f8c3067db4.png)

#### Activity Tracker Event Routingの設定
既存Activity TrackerのEvent Routing設定を変更し、監査イベントの宛先や経路をActivity TrackerからCloud Logsに変更するためこちらの設定を行います。

左メニューにあるActivity Trackerの「ルーティング」カテゴリーにアクセスします。
![スクリーンショット 2024-07-23 16.15.07.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2626032/f8b625f6-4e22-dc39-5f99-a34fda384dca.png)

`経路`タブにて、監査イベントを収集するアカウント内インスタンスを指定するため、`作成`ボタンにて経路を作成します。
![スクリーンショット 2024-07-23 17.28.05.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2626032/bfac4ea5-d1ed-c568-3602-bafbd7bc876e.png)

次に、経路のルート名やルーティング・ルールの送信元とターゲットなどを設定します。
送信元として、ワイルドカード、あるいはロケーションを選択します。
ロケーションにはプラットフォーム・イベント（グローバル）かロケーション・ベースイベントを選択することができます。

::: note
グローバルイベントとは、IAM設定・ポータル操作やICOSなどの特定のサービスを起因としたイベント監査ログです。
グローバルイベントを生成するサービスについて、詳しくは以下Docsを参照ください。
[IBM Cloud docs: グローバル・イベント](https://cloud.ibm.com/docs/atracker?topic=atracker-event_types&locale=ja#event_types_global)

ロケーション・ベースのイベントは、IBM Cloud データ・センターの特定のロケーション (ダラスやフランクフルトなど) 内でホストされている IBM サービスによってアカウント内でアクティビティーが生成されたことを報告するものです。
ロケーション・ベースのイベントについて、以下Docsを参照ください。
[IBM Cloud docs: ロケーション・ベースのイベント](https://cloud.ibm.com/docs/activity-tracker?topic=activity-tracker-event_types&locale=ja#event_types_location)
:::

ターゲットはICOSやCloud Logsのインスタンスを選択することができます。
![スクリーンショット 2024-07-23 17.28.16.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2626032/c00b7bec-077a-b2a6-5438-822652109495.png)
![スクリーンショット 2025-01-17 13.30.53.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2626032/da396591-d579-5ee2-5854-c263ddd41080.png)

今回はグローバルからの監査イベントを予め作成したCloud LogsとICOSインスタンスに設定しています。
![スクリーンショット 2024-07-23 17.28.37.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2626032/5d3419dc-bd02-94a0-2652-b0fa50dd9097.png)


また、`ターゲット`タブにて監査イベントの収集場所を設定します。
`作成`ボタンにてターゲットを作成することができますが、タイプとしてはCloud LogsやObject Storageのインスタンスなどを選択することができますので適宜設定します。
今回はCloud Logsに表示させるため、予め作成したCloud Logsインスタンスを設定しています。
![スクリーンショット 2024-07-23 17.24.48.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2626032/36db1480-5f0d-8982-de0b-17a2e3f2bd2d.png)
![スクリーンショット 2024-07-23 17.25.44.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2626032/2005c489-6794-a6fe-da2a-3a249f7a58da.png)
 
#### イベントログの確認
[前回の記事](https://qiita.com/Sungyun_Moon/items/1a51879fd2fd478ec84d)までは既存のLog Analysisのログしか見ることができませんでしたが、今回のEvent Routingにより、`ibm-audit-event`、`bvt`が追加され、Activity Trackerの監査イベントもCloud Logsコンソールで確認できます。
なお、監査イベントの内容も既存のActivity Trackerと同じものであり、違和感なく従来通り利用することができるかと思います。
![スクリーンショット 2024-07-25 16.33.38.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2626032/149e0ba3-2d0a-8daf-1a96-60405b57d305.png)
![スクリーンショット 2024-07-25 16.34.10.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2626032/feeb358b-bd91-e3db-c01c-d5c69316046b.png)