【AWSのログ周りを整理する】第2回 出す ── ログはどこで生まれるか

Transcript

1. 2026年9月 AWSのログ周りを整理する 第2回 出す ── ログはどこで生まれるか 赤神青空
2. ▪全6回のうち、今回は第2回 このシリーズの地図 第1回 全体像 第2回 出す 第3回 運ぶ 第4回 貯める 第5回 調べる 第6回 選び方 今ココ はじめに 4段に分けて位置づける ログはどこで生まれるか 発生源と置き場のあいだ コストの大半はここで決まる 貯めたログに問い合わせる 結局どう決めるのか 2/11
3. ▪誰が見るログなのかで分かれる 発生源は3系統 発生源をこの3つに分けておくと、保管期間の判断が楽になる。 01 02 03 誰が何をしたか。長期保管が要る 通信の記録。量が多い 自分で書いた行。調査の主戦場 監査系 今ココ 出す ネットワーク系 アプリ系 3/11
4. ▪AWSへのAPI操作を記録する監査ログ CloudTrail 「誰がいつ何のAPIを叩いたか」を記録する。まず有効化するログ。 管理イベントは90日ぶんをコンソールで閲覧できる 長期保管するなら証跡を作ってS3へ出す Organizations全体をまとめた組織証跡が作れる CloudTrail Lakeは2026年5月で新規受付を終了 今ココ 出す 4/11
5. ▪組織証跡とイベント履歴の違い CloudTrail の置きどころ AWS Organizations 管理アカウント 組織全体に⼀括で設定 メンバー A CloudTrail メンバー B CloudTrail メンバー C 組織証跡 → S ⻑期保管はこちら 証跡を作らない場合 イベント履歴 管理イベントの直近90⽇だけ CloudTrail CloudTrail Lake 最⻑10年‧SQLで引ける 2026年5⽉で新規受付を終了 それより古いものは 後から遡れない 組織証跡ならアカウントごとの設定が要らない 今ココ 出す 5/11
6. ▪量が多く、コストが効きやすい層 ネットワークとアクセスログ 有効にした瞬間に量が跳ねるのはこの系統。保持期間を先に決める。 VPC Flow Logs — ENI単位の通信記録 ELB / CloudFront — アクセスログ S3サーバーアクセスログ — バケットへの操作 AWS WAF — 検査したリクエストの記録 今ココ 出す 6/11
7. ▪2026年は入口が増えています アプリログの入れ方 エージェント経由だけでなく、HTTPやOTLPで直接投げられるようになった。 CloudWatchエージェント — EC2やオンプレの定番 AWS SDK — PutLogEventsで直接送る 2026年に追加された入口 HTTP Log Collector（ND-JSON / 構造化JSON） ベアラートークン認証（OTLPも対象になった） Lambdaは S3 や Firehose へ直接出力もできる 今ココ 出す 7/11
8. ▪AWSサービスが出すログは別料金 Vended Logs という区分 VPC Flow Logs や WAF のログは、配信そのものに課金される枠に入る。 AWSサービスが出す特定のログがこれにあたる 宛先が S3 や Firehose でも配信料金がかかる 単価は宛先と量で変わり、量が増えるほど下がる Lambdaのログも2025年にこの区分へ移った 同じアカウントのVended Logsは合算で段階が決まる 今ココ 出す 8/11
9. ▪宛先を変えても消えないもの 配信料金はどこで発生するか AWSサービスが出すログ VPC Flow Logs AWS WAF Lambda 宛先はどれでも選べる CloudWatch Logs ＋ 保管 $0.03/GB‧⽉ 配信（Vended） ここで必ず課⾦される TBまで $0.50/GB → TB超で $0.05/GB Amazon S ＋ S の保管料 つまり S に出しても 配信料⾦は消えない 安くなるのは 保管料の差ぶんだけ Data Firehose ＋ Firehose 取り込み ⾚い⽮印が課⾦の発⽣する箇所。価格は⽶国東部の例 宛先を変えても、真ん中の赤い箱は必ず通る 今ココ 出す 9/11
10. ▪CloudWatch 最初の分岐はここ Logs に出すか、S3 に出すか CloudWatch Logs に出す すぐ検索できる メトリクスフィルタが使える 取り込み課金が発生する 保持期間を切らないと増え続ける S3 に直接出す 保管料は S3 の料金で安い Vended Logs は配信料金が別 そのままでは検索できない Athenaなどの基盤が要る S3に出しても配信料金は残ります。消えるのは保管料の差だけです。 今ココ 出す 10/11
11. ▪第2回で覚えて帰るのは3つ まとめ 01 発生源は3系統 監査・ネットワーク・アプリ。必要な保管期間が違う。 02 配信料金は消えない S3に出しても、安くなるのは保管料の差ぶんだけ。 03 最初の分岐を先に決める CloudWatch Logs に入れるか、S3 に直接置くか。 次回は「運ぶ」── 発生源と置き場のあいだを見ていきます 今ココ おわりに 11/11