CloudTrail＋EventBridge＋LambdaでIAMユーザ作成を検知してSlack通知してみた

AmazonQ Developer CLIでコードを書いてみました。

https://github.com/blue21jp/aws-resources-change-alert

AWS環境でのリソース変更を自動検知し、Amazon Bedrock Nova Premierが変更内容を分
かりやすい日本語で解説してSlackに通知するサーバーレスシステムです。

IAMユーザーの作成・削除・権限変更などの重要な操作を監視し、CloudTrailイベント
をリアルタイムで分析。AIが「なぜこの変更が行われたのか」「どんな影響があるのか
」を自動で説明するため、セキュリティチームや運用チームが迅速に状況を把握できま
す。

Python 3.13 + AWS SAM + EventBridge + Lambda で構築した完全サーバーレス構成で
、運用コストを最小限に抑えながら24時間365日の監視を実現しています。

SLACK通知例

このシステムでは、Lambdaコードを一切修正せずに監視対象を変更できます。

SAMテンプレートのEventBridgeルール設定だけで、IAMユーザー操作からS3バケット作
成、RDSインスタンス変更まで、任意のAWSサービスイベントを監視対象に追加・削除で
きます。現在はIAM関連のみ有効ですが、コメントアウトされたネットワークやRDS監視
も簡単に有効化可能。

新しいサービスを監視したい場合も、SAMテンプレートにEventBridgeルールを追加する
だけ。Lambdaは汎用的に設計されているため、どんなCloudTrailイベントでもAIが解
析します。