【AWSのログ周りを整理する】第5回 調べる ── 貯めたログに問い合わせる

Transcript

1. 2026年9月 AWSのログ周りを整理する 第5回 調べる ── 貯めたログに問い合わせる 赤神青空
2. ▪全6回のうち、今回は第5回 このシリーズの地図 第1回 全体像 第2回 出す 第3回 運ぶ 第4回 貯める 第5回 調べる 第6回 選び方 今ココ はじめに 4段に分けて位置づける ログはどこで生まれるか 発生源と置き場のあいだ コストの大半はここで決まる 貯めたログに問い合わせる 結局どう決めるのか 2/11
3. ▪直近を見るCloudWatch Log Analytics ── 2026年6月に統合された画面 バラバラだった3つの機能が1つの画面にまとまった。既定の体験になっている。 Logs Insights — クエリを書いて分析する Live Tail — リアルタイムに流れを見る Contributor Insights — 上位の要因を出す ファセットで絞り込める（標準クラスのみ） 今ココ 調べる 3/11
4. ▪直近を見るLogs Insights の進化 ── 書けることが増えている 2026年だけで30個以上のコマンドと関数が追加された。 JOIN とサブクエリでロググループをまたげる lookup で外部の対応表と突き合わせできる タグを指定して複数ロググループを横断できる OpenSearch の PPL と SQL も選べる 今ココ 調べる 4/11
5. ▪エラー率の高いパスを出す Logs Insights のクエリ例 独自のクエリ言語。 stats と filter を覚えれば大半は書ける。 sql fields @timestamp, path, status | filter status >= 500 | stats count(*) as errors by path | sort errors desc | limit 20 今ココ 調べる 5/11
6. ▪過去を掘るAmazon Athena ── S3に置いたログにSQLを投げる 課金はスキャンしたバイト数。読む量を減らすことがそのまま節約になる。 スキャン量に対して 1TB あたり $5 クエリ1本あたり最低 10MB は課金される Glueデータカタログにスキーマを置く 列指向＋パーティションで桁が変わる 今ココ 調べる 6/11
7. ▪パーティションで読む量を絞る Athena のクエリ例 WHERE でパーティション列を必ず絞る。ここを忘れると全部読む。 sql SELECT srcaddr, count(*) AS c FROM vpc_flow_logs WHERE dt BETWEEN '2026-09-01' AND '2026-09-07' AND action = 'REJECT' GROUP BY srcaddr ORDER BY c DESC LIMIT 20; 今ココ 調べる 7/11
8. ▪過去を掘るパーティションの効き方 ── 読む量がそのまま料金になる Amazon S dt= - dt= - dt= - ⽇付で切った パーティション Glue カタログ スキーマ置き場 Athena dt= - dt= - dt= - dt= - dt= - WHERE で絞った範囲だけ読む パーティションなし‧⾮圧縮 スキャン量 パーティションあり‧Parquet スキャン量 全期間を読む 必要な列と⽇付だけ読む ⼤きい ⼩さい 料⾦はスキャンしたバイト数。1クエリあたり最低10MBは課⾦される WHERE で日付を絞るかどうかで桁が変わる 今ココ 調べる 8/11
9. ▪常時監視OpenSearch Service ── 検索とダッシュボードが要るとき 常時見張る用途では強いが、クラスタが動いている間ずっと課金される。 全文検索とダッシュボードが作れる zero-ETL で S3 を直接クエリできる Security Lake とも直接つながる 直接クエリでは異常検知などは動かない 今ココ 調べる 9/11
10. ▪ログの隣にある2つ メトリクスとトレース 計装はOpenTelemetryに寄せるのが2026年の既定路線になった。 X-RayのSDKとデーモンは2026年2月に保守のみへ 移行先は ADOT（AWS Distro for OpenTelemetry） 2027年2月にサポート終了。移行の期限はここ Application Signals がSLOベースの監視を担う CloudWatch が OTLP と PromQL に対応した 今ココ 調べる 10/11
11. ▪第5回で覚えて帰るのは3つ まとめ 01 用途で道具が決まる 直近はLog Analytics、過去はAthena、常時はOpenSearch。 02 料金はスキャンした量 読む量を減らせば下がる。パーティションが効く。 03 計装はOpenTelemetryへ X-RayのSDKは2027年2月にサポート終了。 次回は最終回「選び方」── 結局どう決めるのかを見ていきます 今ココ おわりに 11/11