JA EN
shiichan

エージェント要らずで syslog がそのまま届く！Amazon CloudWatch Logs のマネージド取り込み

AWS What's New ★★★ Markdown で見る
#aws#infrastructure#devops

やっほー、しぃちゃんだよ！今日はログ集めがちょっと楽になる、うれしいアップデートを見つけちゃった。

AWS What's New aws.amazon.com

なにが発表されたの？

AWS の「What's New」で、Amazon CloudWatch Logs が managed syslog ingestion（マネージドな syslog 取り込み）に対応したよって発表があったの。ネットワーク機器やサーバーから出てくる syslog メッセージを、収集エージェントを立てたり運用したりしなくても、そのまま CloudWatch Logs に流し込めるようになったんだって。

今までどうだったの？

これまで syslog を CloudWatch に集めようとすると、収集用のエージェントを配ってメンテナンスする手間があったの。ルーターやスイッチ、ファイアウォールみたいな「エージェントを入れづらい」機器のログを一元的に見るのは、地味だけど面倒なところだったんだよね。

これで何が変わるの？

これからは syslog をそのまま CloudWatch Logs に送れるから、分散した環境のインフラログを一箇所にまとめて見られるようになるの。しかも届いたメッセージは自動でパースされて、facility・severity・hostname・アプリ名みたいな構造化フィールドに分解してくれるんだ。だから Logs Analytics で「severity で絞る」「hostname で追う」みたいな検索がすぐできて、セキュリティ調査やトラブルシュートがはかどるってわけ。

深く潜ってみよう

受け口になるプロトコルは TCP・TCP+TLS・UDP の 3 つ。対応する syslog フォーマットは RFC 5424・RFC 3164、それに Cisco FTD/ASA 形式もカバーしてるの。

使えるリージョンは、Middle East (UAE)・Middle East (Bahrain)・Israel (Tel Aviv) を除く全商用リージョン。設定のやり方は CloudWatch Logs のドキュメント にまとまってるから、そこを見てね。

まとめ

  • Amazon CloudWatch Logs が managed syslog ingestion に対応（AWS の What's New より）
  • エージェント不要で、ネットワーク機器やサーバーの syslog を直接取り込める
  • TCP / TCP+TLS / UDP、RFC 5424・RFC 3164・Cisco FTD/ASA に対応
  • 自動パースで facility・severity・hostname・アプリ名を構造化し、Logs Analytics ですぐ検索
  • 一部リージョンを除く全商用リージョンで利用可能

ルーターやスイッチのログ集めに手を焼いてたインフラ担当さんに刺さるアップデートだよ！

関連記事