サーバの操作履歴はどこで確認する？さくらのクラウドのイベントログとOS内部の記録を比較

こんにちは。NERです！

サーバの操作履歴を確認したいとき、「さくらのクラウドのイベントログを見ればよいのか、それともOS内部のログを確認すべきなのか」と迷ったことはありませんか？

さくらのクラウドには、クラウド上で行われた操作履歴を確認できる「イベントログ」という機能があります。
しかし、イベントログにサーバ内部のすべての操作が記録されるわけではありません。

今回は、さくらのクラウドの「コンソール」からのログインと、検証用サーバにSSH接続して実行したコマンドを比較し、それぞれの操作がどこに記録されるのかを検証してみました！

イベントログとOS内部の記録は何が違う？

最初に結論からお伝えすると、さくらのクラウドのイベントログとOS内部の記録では、確認できる操作の種類が異なります。

さくらのクラウドのイベントログでは、コントロールパネルやAPIを通じた操作のうち、記録対象となっているイベントを確認できます。

一方、Linuxサーバ内部で実行したコマンドなどは、OS側の履歴やログを確認する必要があります。

確認したい内容	主な確認先	注意点
コンソールへの接続要求	さくらのクラウドのイベントログ	OSへのログイン成功まで示すものではない
Linuxで実行したコマンド	bashの `history` など	すべての操作が保存されるわけではない
ファイルが存在するか	`ls` などのOSコマンド	存在だけでは実行者を特定できない
OS内部の詳細な操作監査	OS側の監査機能	適切な監査設定が必要

それぞれの記録には異なる役割があります。
まずはイベントログの基本的な機能を確認し、その後、実際の操作結果を比較していきましょう。

さくらのクラウドのイベントログとは

さくらのクラウドのイベントログは、クラウド上で行われた対象操作の履歴を確認できる機能です。

公式マニュアルによると、リソースの作成・削除、サーバの起動・停止、VNCプロキシへのアクセスなどが記録対象となっています。

イベントログは、さくらのクラウドホーム画面の左メニューにある「イベントログ」から確認できます。
また、期間・ログ種別・リソースIDなどの条件を使用して、目的の操作履歴を絞り込むことも可能です。
検索結果はCSV形式でダウンロードできます。
一方で、すべての操作が記録されるわけではありません。

例えば、公式マニュアルでは、コントロールパネルやAPIキーによる「操作」イベントについて、成功した操作のみが記録され、失敗した操作は原則として記録されないと説明されています。
ただし、さくらのクラウドユーザによるログイン失敗など、一部の例外もあります。
つまり、イベントログに履歴が見つからないからといって、何も操作されていないとは限らないということです。

さくらのクラウド公式マニュアル「イベントログとは」

さくらのクラウド公式マニュアル「イベント一覧」

検証① コンソールからのログインはイベントログに記録される？

まずは、さくらのクラウドのコントロールパネルから、検証用サーバのコンソールにアクセスしてみます。

今回はコンソールを開いて検証用サーバにログインした後、イベントログにどのような操作履歴が残るのか確認しました。

検証サーバは、AlmaLinux 9系です。

実際にコンソールからログインしてみる

まず、コンソールへアクセスする前のイベントログを確認しました。

この時点では、指定した検索期間内に897件のイベントが表示されていました。
また、停止していた検証用サーバを起動したイベントまでが記録されている状態です。

続いて、検証用サーバの「コンソール」からログインし、イベントログを再確認しました。

すると、イベントログの件数が900件に増加していました！
追加された3件には、「サーバへのVNC接続をリクエスト」が記録されていました。
※3件増えているのは、記録の都合上何度か接続を試したからです。

いずれも同じ検証用サーバに対する操作履歴で、ログ種別は「操作」となっていました。

このように、コンソールを利用した際のVNC接続リクエストがイベントログに記録されることを確認できました。

なお、公式マニュアルのイベント一覧では、この操作は「VNCプロクシにアクセス」と記載されています。
一方、今回の管理画面には「サーバへのVNC接続をリクエスト」と表示されました。
ここで注意したいのは、イベントログに記録されたのが、あくまでVNC接続リクエストであるという点です。
この記録だけでは、コンソールからOSへのログインが成功したことや、ログイン後に実行したコマンドまでは確認できません。

コンソールとSSHの接続方法の違いについては、以下の記事でも解説しています。

検証② AlmaLinux内部の操作は記録される？

続いて、OS内部での操作を確認してみます。

検証用サーバにSSH接続し、検証用のファイルを作成しました。

ファイルを作成する

最初に、対象ファイルが存在しないことを確認します。

# ls -l ~/eventlog-test.txt
ls: '/root/eventlog-test.txt' にアクセスできません: そのようなファイルやディレクトリはありません

実行すると、ファイルが存在しない旨のメッセージが表示されました。

続いて、次のコマンドでファイルを作成します。

# touch ~/eventlog-test.txt

その後、再度 ls -l を実行しました。

# ls -l ~/eventlog-test.txt
-rw-r--r-- 1 root root 0 11月  1 17:41 /root/eventlog-test.txt

2026年11月1日17:41頃に、検証用ファイルが作成されたことを確認できました。

コマンド履歴を確認する

次に、bashの history コマンドで操作履歴を確認しました。

# history | tail -n 10

今回の環境では、以下の履歴が表示されました。

356  ls -l ~/eventlog-test.txt
357  touch ~/eventlog-test.txt
358  ls -l ~/eventlog-test.txt
359  history | tail -n 10

touch によるファイル作成と、その前後の確認操作が履歴に表示されています。

それでは、このOS内部の操作がさくらのクラウドのイベントログにも記録されているか確認してみましょう。

イベントログを再確認する

AlmaLinuxでの操作後、さくらのクラウドのイベントログを再確認しました。

しかし、イベントログの件数は900件のままで、新しいイベントは表示されていませんでした。
最新の記録も、17:35:36のVNC接続リクエストのままです。

今回の確認では、OS内部のファイル作成やコマンド実行に対応する新しいイベントは見つかりませんでした。
これは、さくらのクラウドのイベントログが、クラウド側の対象操作を記録する仕組みであることと整合する結果です。

ただし、あくまで今回の検証環境と確認時点での結果です。
履歴が見つからない場合は、対象プロジェクト、検索期間、ログ種別、反映状況なども確認する必要があります。

検証結果からわかったこと・注意点

今回の検証結果を整理すると、次のようになります。

操作	主な確認先	検証結果
コンソールの利用	クラウドのイベントログ	VNC接続リクエストを確認
コンソールからのOSログイン	OS側の認証記録など	今回はログイン履歴自体の確認を実施していない
`touch` によるファイル作成	AlmaLinuxのファイル情報	作成を確認
`touch` のコマンド履歴	bashの `history`	履歴を確認
OS内部操作に対応するクラウドイベント	クラウドのイベントログ	新しいイベントは見つからず

イベントログだけですべての操作を把握できるわけではない

今回の検証では、コンソールを利用した際のVNC接続リクエストはイベントログに記録されましたが、OS内部のファイル作成に対応するイベントは見つかりませんでした。

さくらのクラウドのイベントログは、クラウド側の対象操作を確認するための機能です。
そのため、OS内部で実行されたコマンドやファイル操作の詳細を調べたい場合は、OS側の記録を確認する必要があります。
また、コンソールに関連するイベントが残っていても、それだけでOSへのログイン成功や、その後の操作内容を把握できるわけではありません。

historyも完全な監査ログではない

今回のAlmaLinux環境では、history から実行コマンドを確認できました。
ただし、bashの履歴は、保存設定や実行環境などによって内容が変わります。
また、履歴が存在することだけで、実行者や正確な実行時刻を確実に特定できるわけではありません。
操作を詳細に監査する必要がある場合は、適切なOS監査機能やログ管理の仕組みを検討する必要があります。