こんにちは。DevOpsの世界へようこそ。
大規模な開発チームを率いていると、ふと背筋が凍るような瞬間がありませんか？「誰が、いつ、どの権限設定を変更したのか？」「CI/CDパイプラインの構成ファイルを書き換えたのは誰か？」
GitLabの画面上で確認できる「Audit Events（監査ログ）」は非常に優秀ですが、それはあくまで「GitLabの中」に留まる情報です。もし、攻撃者がGitLabの管理者権限を奪い、ログを改ざん・削除して足跡を消そうとしたら？
そこで今回紹介するのが、GitLab「Audit Streams」です。これを使いこなせば、ログは即座に外部のSIEM（SplunkやElasticsearchなど）へ転送され、「GitLabが壊されても、証拠は残る」という鉄壁のセキュリティ体制が完成します。
今回は、この高度な監査機能を、初心者の方でも最短で実装できるレベルまで噛み砕いて解説します。
—
1. Audit Streamsとは何か？
Audit Streamsは、GitLab上で発生したあらゆる「重要操作イベント」を、ストリーミング形式で外部エンドポイントに送り出す機能です。
- なぜ重要か？: ログの保存先をGitLab外に分離することで、コンプライアンス要件を満たし、インシデント発生時のフォレンジック調査を確実に行えるようになります。
- 今回のゴール: GitLabで発生した操作ログを、あなたが指定する外部サーバー（ここでは受信テスト用のWebhook）へリアルタイムに飛ばすところまでをやり遂げましょう。
—
2. 準備するもの：ログの「受け皿」を用意する
まずは、GitLabから送られてくるログを受け取る「耳」が必要です。今回は手軽に動作確認をするために、[Webhook.site](https://webhook.site/) を使います。
1. [Webhook.site](https://webhook.site/) にアクセスし、表示された「Your unique URL」をコピーしてください。これがあなたの「ログ転送先エンドポイント」になります。
—
3. 【最重要】GitLabでの設定ステップ
GitLabのAudit Streams設定は、「誰がどのログを飛ばすか」というポリシーの設計が肝です。
手順①：ストリーミング先の追加
GitLabのUIで、以下の順に進みます。
1. [Group] または [Instance] (GitLab Ultimateライセンスが必要です) の設定を開く。
2. 左メニューから [Security & Compliance] > [Audit events] を選択。
3. [Streaming audit logs] タブをクリック。
4. [Add new destination] をクリック。
- Destination URL: さきほどコピーした `https://webhook.site/xxxx` を入力。
- Verification token: ここに任意の文字列（パスワードのようなもの）を入力。
- 先輩の知見: これは「本当にGitLabから送られてきたログか？」を検証するための鍵です。必ず設定しましょう。
手順②：設定の保存と検証
設定を保存すると、GitLabは即座にテストリクエストを送信します。Webhook.siteの画面に、JSON形式のデータが届いていれば接続成功です！
—
4. 「Hello World」：実際にログを飛ばしてみる
設定が完了したら、実際にGitLabで操作をしてログが飛ぶか確認しましょう。
1. 操作を行う: グループ内の「Member」を新しく招待したり、権限を変更したりしてみてください。
2. 受信確認: 数秒後、Webhook.siteの画面に以下のようなJSONが届きます。
{
“event_type”: “member_created”,
“author_name”: “DevOps Engineer”,
“target_details”: “user-a@example.com”,
“created_at”: “2023-10-27T10:00:00Z”
}
これが「ログのリアルタイム転送」の正体です。このJSONデータをSIEMに流し込み、ダッシュボードで可視化すれば、「誰が何をいつ触ったか」が一目瞭然のコマンドセンターが完成します。
—
5. 伝説のエンジニアからのアドバイス
この設定を現場で運用する際、以下の3点だけは必ず心に刻んでください。
- 1. ログの欠落を防ぐ（Retry戦略）:
万が一、SIEM側がダウンしていたら？GitLabのAudit Streamsは自動リトライ機能を持っていますが、監視側でも「ログが届いていないこと自体を検知する」アラートを設定してください。
- 2. 個人情報のフィルタリング:
転送されるログには詳細な情報が含まれます。GDPR等の規制対象となる個人情報が含まれないよう、SIEM側でインデックスする前にログのマスキング処理を行うのがプロの流儀です。
- 3. 開発サイクルへの統合:
「ログを出す」だけで満足してはいけません。例えば、「本番環境のブランチへのマージがあったら即座にSlackに通知する」といったオートメーションと組み合わせることで、セキュリティと開発速度を両立させることができます。
—
最後に
セキュリティは「強固な壁」を作るだけでなく、「何が起きたかを見通せる目」を持つことが不可欠です。GitLabのAudit Streamsは、その「目」を外部に持つための強力な武器になります。
これをマスターすれば、あなたのチームのセキュリティ運用は劇的にレベルアップします。もし不明点があれば、いつでも聞いてください。一緒に最強のCI/CDパイプラインを構築していきましょう！