re:Invent期間に発表されたCloudWatch Logsのアップデートを金融エンジニアの目線で試してみる

Slide 1

Slide 1 text

Slide 2

Slide 2 text

2 CONFIDENTIAL © 2024 Japan Digital Design, Inc. 吉竹直樹 Technical Project Manager Japan Digital Design • 2022 APN AWS Top Engineer • 『AWS認定資格試験テキスト AWS認定SysOpsアドミニストレーター – アソシエイト』の執筆に参加プロフィールこの写真は犬カフェのもので飼い犬ではありません。かわいいけど資格等 • 2023/11からJDDでTechnical Project Manager として活動 • 前職のSIerでは、アプリケーションエンジニアとして活動 • 業界：銀行/資産運用/クレジット/生保…等 • システム：オンプレミスの業務系〜AWSのコンテナアプリ…等

Slide 3

Slide 3 text

Slide 4

Slide 4 text

Slide 5

Slide 5 text

5 CONFIDENTIAL © 2024 Japan Digital Design, Inc. CloudWatch Logs 注目したアップデート AWSの重要事項である2つの要素に関するアップデートがあった • コスト • re:Invent 2023での Amazon CTO Werner 氏による基調講演『倹約なアーキテクト（THE FRUGAL ARCHITECT）』 • セキュリティ • 『AWSクラウドセキュリティは最優先事項です（“Cloud security at AWS is the highest priority.”）』注目した理由出典：https://docs.aws.amazon.com/ja_jp/whitepapers/latest/aws-overview/security-and-compliance.html

Slide 6

Slide 6 text

Slide 7

Slide 7 text

7 CONFIDENTIAL © 2024 Japan Digital Design, Inc. 低頻度アクセスログクラス CloudWatch Logs のコスト気になりませんか？ • Logs はログ取込（収集）にそれなりのコストがかかる。 • もしLogsが高いと感じている場合、まず取込量を見直すべき。 Logs 以下のようなケースでコストが大変なことになります… • パフォーマンステストで出力された大量のログを全てLogsに取り込んでいる • 不要なデバッグログが大量に出力されている取込で特にコストを気にするケース EC2 agent 取込のコストに注意保存にもコストがかかる

Slide 8

Slide 8 text

8 CONFIDENTIAL © 2024 Japan Digital Design, Inc. 低頻度アクセスログクラス re:Invent期間に低頻度アクセスログクラスが発表出典：[AWS Black Belt Online Seminar] AWS re:Invent 2023速報 https://aws.amazon.com/jp/blogs/news/2023-12-reinvent2023-aws-blackbelt/

Slide 9

Slide 9 text

Slide 10

Slide 10 text

Slide 11

Slide 11 text

11 CONFIDENTIAL © 2024 Japan Digital Design, Inc. コスト • 標準のログクラスに比べて「収集」のコストが半額に • Logs Insights を使うことになるため、参照にもコストがかかる。以下のような使い方はコスト超過のおそれあり • 頻繁なログへのアクセス • 大量のログデータをスキャン出典：https://aws.amazon.com/jp/cloudwatch/pricing/ スキャンしたデータ 1 GB あたり 0.0076 USD 低頻度アクセスログクラス CloudWatch Logs のコスト（東京リージョン）

Slide 12

Slide 12 text

12 CONFIDENTIAL © 2024 Japan Digital Design, Inc. 低頻度アクセスログクラス制約事項 • サブスクリプションフィルターや, Live Tail などの機能が利用不可出典：https://aws.amazon.com/jp/blogs/news/new-amazon-cloudwatch-log-class-for-infrequent-access-logs-at-a-reduced-price/ 低頻度アクセスログクラスと標準ログクラスの比較

Slide 13

Slide 13 text

13 CONFIDENTIAL © 2024 Japan Digital Design, Inc. 低頻度アクセスログクラス使い所を考えてみる • AWSブログでは「フォレンジック分析」「コンプライアンス」が例として記載されている • 金融システムでも、ログの長期保存や監査が要件になることがある上記以外での使い所 • 対象ログの参照頻度が低く、コスト重視で割り切れるケース • 障害調査が少ない、障害が発生しても緊急度が低い • 但し、対象のログを障害のアラート等には使っていない（サブスクリプションフィルタが使えないため） • 開発環境で参照頻度の低いログの出力先分析・長期保存での使い所 • 対象のログを Insights で分析するケース • Insights の機能で要件を満たす分析が可能 • 低頻度アクセスはエクスポートができないため、他サービスでログを使うことが難しい

Slide 14

Slide 14 text

14 CONFIDENTIAL © 2024 Japan Digital Design, Inc. 低頻度アクセスログクラス懸念事項 • 制約事項が多く、本番システムで利用するにはハードルが高く感じる長期保存や分析用途なら標準クラス＋S3のほうが無難に思える Logs S3 • 従来のアーキテクチャ例 • ログをCloudWatch LogsとS3にそれぞれ保存 • 2週間以内はLogsで参照、2週間経過したらLogsから削除する。以降はS3からログを取得 • Logs の保存コストを節約可能 • エクスポート機能等を使った分析も可能後からアーキテクチャの変更をしづらい点が懸念 • エクスポートやサブスクリプションフィルタ等の便利機能が使えない • 一度作ったログクラスを変更できない ⇛ 後から「やっぱり標準クラスが良い」となると困る

Slide 15

Slide 15 text

15 CONFIDENTIAL © 2024 Japan Digital Design, Inc. 低頻度アクセスログクラス公式ブログを読み返すと… • 「ログタイプごとに異なるソリューションを選択したりして、さまざまなロギングソリューションを管理するのが複雑になり、非効率になるお客様もいます。〜(略)〜これらの回避策はアプリケーションのオブザーバビリティに影響を与える可能性があります。なぜなら、顧客はログを確認するために複数のソリューション間を移動する必要があるからです。」 • 「すべてのログを 1 か所にまとめ〜(略)〜 CloudWatch を使用して包括的なオブザーバビリティソリューションを構築」ログを1つのサービスで見られる点に重点を置いている低コスト化よりも Observability 向上のアップデートと捉えられる • 複数のログ管理サービスを扱うことの煩雑さの解消や、それの伴うコストの削減 • 近年の CloudWatch は Observability に関する機能の進化が著しいので、将来的には「ログはLogs にまとめれば十分」と言えるようになるかもしれない出典：AWS Summit Online 2022「AWS の Observability（可観測性）の全体像〜 Amazon CloudWatch とオープンソースの活⽤〜」

Slide 16

Slide 16 text

Slide 17

Slide 17 text

17 CONFIDENTIAL © 2024 Japan Digital Design, Inc. カスタムデータ識別子のデータ保護ログのセキュリティ気にしてますか？ • そもそも、ログに機密情報を出力すべきではない • OWASP Logging Cheat Sheet • 但し、従来はOKだった情報も法改正等により個人情報として扱われる可能性も • システムのユーザーIDも「照合容易性(*1)」を満たすと社内では個人情報の扱いになるケースがあるクラウドではログのセキュリティへの意識も求められるように • ログのセキュリティは後回しにされがち（かもしれない） • ログはアプリケーションの全機能に関わる。修正コストが膨大 • ユーザーへの直接的な価値に繋がらない（システム上は非常に重要だが） • ログの設計指針が無い時代にシステムが作られた • OWASPのログのチートシートも6年前(?)が初版 • そもそもクラウドになることを想定していなかった • クラウドでは本番環境とログの参照でアクセス権限が異なるケースがある • ログを外部のSaaSへ送信して利用 • コンソールでLogsを参照 ※各社の設計次第です ※オンプレでも障害アラートのメールにログの情報を出力しているみたいなケースはあったと思われます Logs EC2 SSHは本番アクセス統制ログやメトリクスの参照は別権限 (*1) 社内において、IDだけで特定の個人を「いつでも簡単に照合できるようなケース」

Slide 18

Slide 18 text

18 CONFIDENTIAL © 2024 Japan Digital Design, Inc. カスタムデータ識別子のデータ保護 CloudWatch Logs データ保護でカスタムデータ識別子のサポートを開始出典：https://aws.amazon.com/jp/about-aws/whats-new/2023/12/amazon-cloudwatch-logs-data-protection-data-identifiers/ 微妙にre:Invent期間からズレてますがご了承ください 2022年のre:Inventで発表された機密データ保護の機能が強化

Slide 19

Slide 19 text

Slide 20

Slide 20 text

20 CONFIDENTIAL © 2024 Japan Digital Design, Inc. カスタムデータ識別子のデータ保護低頻度アクセスログクラスを試してみる 2/2 3. 正規表現でマスクしたいデータを表現する 4. 設定後に出力されるログでマスクされるようになる • Logs上の見え方が変わるだけでログデータが失われているわけではない userIDがUUIDだった時の例 IDがマスクされている emailがマスクされているのはマネージドも設定したため

Slide 21

Slide 21 text

21 CONFIDENTIAL © 2024 Japan Digital Design, Inc. コスト • 検出のためにスキャンしたデータ量に対して課金 • 取り込んだ全量をスキャン対象とした場合16%弱のコスト増加 • 0.76 + 0.12 = 0.88 USD • 結構お高い… • 対象とするロググループは選定した方が良い • ロググループを分けられるようなアプリケーションの作りにしておくことが重要出典：https://aws.amazon.com/jp/cloudwatch/pricing/ スキャンされたデータ 1 GB あたり 0.12 USD カスタムデータ識別子のデータ保護 CloudWatch Logs のコスト（東京リージョン）

Slide 22

Slide 22 text

22 CONFIDENTIAL © 2024 Japan Digital Design, Inc. カスタムデータ識別子のデータ保護試してみて気になった点 1/2 • 主に正規表現の使い方正規表現次第では、JSON出力が崩れる場合がある • アプリケーション側でログをJSON出力すると、Insights でフィールドの選択や集計など便利に使うことができる • 正規表現の設定次第では、テキストに戻って出力されてしまう

Slide 23

Slide 23 text

23 CONFIDENTIAL © 2024 Japan Digital Design, Inc. カスタムデータ識別子のデータ保護試してみて気になった点 2/2 • 主に正規表現の使い方同一体系のIDが一緒にマスクされる • ID体系に対する正規表現なので、別フィールドがマスクされる可能性がある • 「“id”フィールドの後のUUID(正規表現)」のような指定ができるとありがたいヘッダーに設定したリクエスト識別用のIDもマスクされた

Slide 24

Slide 24 text

Slide 25

Slide 25 text

25 CONFIDENTIAL © 2024 Japan Digital Design, Inc. • 低頻度アクセスログクラス • Logsでコスト要因になりがちな「取込」のコストを半額に • 機能制約が多く、上手く使うには検討が要りそう • CloudWatch の Observability 機能のさらなる進化に期待 • カスタムデータ識別子へのデータ保護 • ログのセキュリティを見直す良い機会に • 設定も簡単で便利だが、コストには注意 • 生成系AIも良いけど、実運用に役立つアップデートは嬉しいサマリ終わりに

Slide 26

Slide 26 text

26 CONFIDENTIAL © 2024 Japan Digital Design, Inc. • ASCII.jp：倹約的なアーキテクトとは？ AmazonボーガスCTOが今一番気になるコストとAIを語る • https://ascii.jp/elem/000/004/173/4173943/ • Amazon S3とCloudWatch Logsのログ保存料金とサイズを見てみた | DevelopersIO • https://dev.classmethod.jp/articles/compare-archive-cost-cloudwatchlogs-s3/ • モニタリングとオブザーバビリティ｜AWSを題材にしたケーススタディ｜ブログ｜NRIセキュア • https://www.nri-secure.co.jp/blog/aws-monitoring-observability • O'Reilly Japan Blog - スタートアップ企業向けインフラ運用入門（2）：ログ・メトリクスの収集 • https://www.oreilly.co.jp/blog/2012/08/infrastructure-management-for-startups-log-metrics.html • OWASP / Logging Cheat Sheet • https://github.com/OWASP/CheatSheetSeries/blob/master/cheatsheets/Logging_Cheat_Sheet.md • 個人情報保護法の知識<第5版> • https://bookplus.nikkei.com/atcl/catalog/2021/9784532114251/ • Amazon CloudWatch Logs内の機密データをマスキングする方法 (CloudWatch Logs の機密データ保護機能) - サーバーワークスエンジニアブログ • https://blog.serverworks.co.jp/cloud-watch-logs-protect-sensitive-data その他参考文献終わりに