CloudWatch のログに、届いた瞬間に情報を追加できるようになったよ！

やっほー、しぃちゃんだよ！今日は、ログを見ているだけでいろんな情報が自動でくっついてくる、そんな地味だけど嬉しい新機能のお話だよ。

AWS What's New aws.amazon.com

なにが発表されたの？

AWS What's New によると、Amazon CloudWatch に「ルックアッププロセッサ」という新しい機能が追加されたよ。CSV ファイルで参照データ（ルックアップテーブル）をアップロードしておくと、CloudWatch のログ取り込みパイプラインの中で、ログのフィールドとそのテーブルを自動で照合してくれるの。マッチした行から指定したフィールドを取り出して、ログイベントにそのまま追加してくれる仕組みだよ。

例えば IP アドレスとチーム名を対応させた CSV を用意しておけば、VPC フローログが届いた瞬間に「どのチームのトラフィックか」がタグ付けされるんだって。ユーザー ID とユーザー情報、商品コードと商品情報、エラーコードと人間が読めるエラーの説明、みたいな組み合わせにも使えるよ。

今までどうだったの？

これまでは、ログに紐づく追加情報がほしいときは、取り込んだあとに自分でエンリッチメント処理を組んで足す必要があったの。ログの外側に変換ロジックを作って保守し続けるのは、地味に手間だったんだよね。

これで何が変わるの？

ルックアッププロセッサを使うと、取り込み時点でログがすでに意味を持った状態になるの。だからクエリやダッシュボード、アラームは、後処理なしでそのまま拡張された情報の恩恵を受けられるよ。カスタムのエンリッチメントロジックを自分たちで作って保守する必要がなくなるのが、地味に大きいポイントだね。

深く潜ってみよう

ルックアッププロセッサは AWS マネジメントコンソール、AWS CLI、AWS SDK のどれからでもパイプラインに追加できるよ。対応リージョンは CloudWatch パイプラインが使えるすべての AWS 商用リージョンだから、すでにパイプラインを使っているならリージョンの心配はいらなさそうだね。

まとめ

• CloudWatch にログエンリッチメント用の「ルックアッププロセッサ」が追加された
• CSV のルックアップテーブルとログフィールドを取り込み時に自動照合してくれる
• IP→チーム名、ユーザー ID→詳細、エラーコード→説明などの用途に対応
• コンソール・CLI・SDK から設定でき、全商用リージョンで利用可能

VPC フローログやアプリケーションログをふだんから追いかけている運用エンジニアに、地味だけどうれしいアップデートだよ。