CloudWatch Logsとは

詳細な図解

CloudWatch Logsの位置づけ

CloudWatch Logsは、AWS上のサービスやアプリケーションログを集め、保存し、検索するためのマネージドログ基盤です。Lambda、ECS、API Gateway、VPC Flow Logsなど、多くのAWSサービスの調査入口になります。

障害対応では、メトリクスで異常に気づき、CloudWatch Logsで具体的なエラーやリクエストを確認する流れがよくあります。ログが残っていないと、何が起きたかを後から説明できません。

実務でよく使う場面

Lambdaの例外、API Gatewayの5xx、ECSタスクの起動失敗、アプリケーションの認証エラー、VPC Flow Logsの拒否通信などを調べるときに使います。CloudTrailが操作履歴を見るのに対し、CloudWatch Logsは実行時のアプリやサービスログを見ることが多いです。

本番障害の報告では、ログの時刻、リクエストID、エラー文、影響した処理を残すと、再現確認や恒久対応に使えます。

確認する設定

確認では、ロググループ名、ログストリーム、保存期間、暗号化、権限、サブスクリプションフィルター、メトリクスフィルターを見ます。保存期間がNever expireのままだと費用が増え、短すぎると監査や障害分析に足りません。

• 対象サービスのロググループと保存期間を確認する。
• 機密情報やトークンが出力されていないか見る。
• 障害時に使う検索クエリと時刻範囲をRunbookへ残す。

よくある誤解

CloudWatch Logsにログがあるだけでは監視できているとは言えません。必要なログを検索できるか、異常条件をメトリクス化して通知できるか、保存期間が要件に合うかを別に確認します。

また、CloudTrailとCloudWatch Logsは役割が違います。誰がAWS APIを実行したかを見るならCloudTrail、アプリが何を出力したかを見るならCloudWatch Logsが主な入口です。

運用での使いどころ

CloudWatch Logsは、障害対応だけでなく、リリース後の確認、セキュリティ調査、費用分析にも関係します。ログ量が急増した場合は、エラーの増加だけでなく、デバッグログの戻し忘れや高カーディナリティな出力も疑います。

関連語はCloudTrail、ログ、監査ログです。操作履歴、実行ログ、通信ログを分けて見ると、AWS上の証跡設計が整理しやすくなります。

関連語

同じ主要カテゴリの用語

クラウドの学習順

同じ主要カテゴリの用語をまとめて確認できます。現在の用語を起点に、前後の用語へ進むと文脈を保ったまま読み進められます。

InfraEngKit内の関連機能