ログに対するアラーム

ログデータをモニタリングする CloudWatch アラームは、次の 2 つの方法で作成できます。

ログアラームの作成

ログアラームの作成

CloudWatch Logs Insights クエリを使用してログデータを直接モニタリングする CloudWatch アラームを作成できます。このクエリはスケジュールされたクエリを使用してスケジュールに従って実行され、アラームはしきい値に対して集計結果を評価します。ログアラームの仕組みの詳細については、「ログアラーム」を参照してください。

前提条件

ログアラームを作成する前に、スケジュールされたクエリを実行するためのアクセス許可を CloudWatch Logs に付与する IAM ロールを作成する必要があります。Amazon SNS 通知にもログ行を含める場合は、2 つ目のロールを作成する必要があります。

スケジュールされたクエリ実行ロール

スケジュールされたクエリ実行ロールにより、CloudWatch Logs はユーザーに代わってクエリを実行できます。このロールは、すべてのログアラームがスケジュールされたクエリを実行するために必要です。このロールは logs.amazonaws.com サービスプリンシパルを信頼する必要があります。

次の例は、スケジュールされたクエリ実行ロールの信頼ポリシーを示しています。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "logs.amazonaws.com"
            },
            "Action": "sts:AssumeRole"
        }
    ]
}

以下の例に示しているのは、アクセス許可ポリシーです。クエリがターゲットとするロググループ ARN に対して、Resource をスコープします。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "logs:StartQuery",
                "logs:StopQuery",
                "logs:GetQueryResults",
                "logs:DescribeLogGroups"
            ],
            "Resource": "arn:aws:logs:region:account-id:log-group:your-log-group:*"
        }
    ]
}

ログ行ロール (オプション)

ログ行ロールを使用すると、CloudWatch は Amazon SNS 電子メール通知のログ行を取得できます。このロールは ActionLogLineCount を 0 より大きい値に設定した場合にのみ必要です。このロールは cloudwatch.amazonaws.com サービスプリンシパルを信頼する必要があります。

次の例は、ログ行ロールに必要な信頼ポリシーを示しています。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "cloudwatch.amazonaws.com"
            },
            "Action": "sts:AssumeRole"
        }
    ]
}

次の例は、ログ行ロールに必要なアクセス許可ポリシーを示しています。ログ行を取得するには、logs:GetQueryResults アクセス許可が必要です。クエリがターゲットとするロググループ ARN に対して、Resource をスコープします。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "logs:GetQueryResults"
            ],
            "Resource": "arn:aws:logs:region:account-id:log-group:your-log-group:*"
        }
    ]
}

コンソールを使用したログアラームの作成

このセクションのステップでは、CloudWatch コンソールを使用してログアラームを作成する方法について説明します。ログアラームは AWS CLI を使用して作成することもできます。詳細については、「AWS CLI を使用したログアラームの作成」を参照してください。

AWS CLI を使用したログアラームの作成

AWS CLI put-log-alarm コマンドを使用してログアラームを作成できます。

次の例では、ロググループのエラー数をモニタリングし、5 回のクエリ実行のうち 3 回でカウントが 100 を超えると ALARM 状態に移行するというログアラームを作成します。

aws cloudwatch put-log-alarm \
    --alarm-name "HighErrorCount" \
    --alarm-description "Alarm when error count exceeds 100" \
    --comparison-operator GreaterThanThreshold \
    --threshold 100 \
    --query-results-to-evaluate 5 \
    --query-results-to-alarm 3 \
    --treat-missing-data missing \
    --alarm-actions "arn:aws:sns:region:account-id:topic-name" \
    --scheduled-query-configuration '{
        "QueryString": "fields @timestamp, @message | filter @message like /ERROR/",
        "LogGroupIdentifiers": ["/aws/lambda/my-function"],
        "ScheduledQueryRoleARN": "arn:aws:iam::account-id:role/ScheduledQueryRole",
        "AggregationExpression": "count(*)",
        "ScheduleConfiguration": {
            "ScheduleExpression": "rate(10 minutes)",
            "StartTimeOffset": 600
        }
    }' \
    --action-log-line-count 5 \
    --action-log-line-role-arn "arn:aws:iam::account-id:role/LogLineRole"

次の表では put-log-alarm コマンドの主要パラメータについて説明します。

AWS CloudFormation を使用したログアラームの作成

AWS::CloudWatch::LogAlarm リソースタイプを使用して、AWS CloudFormation テンプレートでログアラームを作成できます。

次のサンプルテンプレートでは、エラー数をモニタリングするログアラームを作成します。

AWSTemplateFormatVersion: '2010-09-09'
Resources:
  HighErrorCountAlarm:
    Type: AWS::CloudWatch::LogAlarm
    Properties:
      AlarmName: HighErrorCount
      AlarmDescription: Alarm when error count exceeds 100
      ComparisonOperator: GreaterThanThreshold
      Threshold: 100
      QueryResultsToEvaluate: 5
      QueryResultsToAlarm: 3
      TreatMissingData: missing
      ActionLogLineCount: 5
      ActionLogLineRoleArn: !GetAtt LogLineRole.Arn
      ScheduledQueryConfiguration:
        QueryString: "fields @timestamp, @message | filter @message like /ERROR/"
        LogGroupIdentifiers:
          - /aws/lambda/my-function
        ScheduledQueryRoleARN: !GetAtt ScheduledQueryRole.Arn
        AggregationExpression: "count(*)"
        ScheduleConfiguration:
          ScheduleExpression: "rate(10 minutes)"
          StartTimeOffset: 600
      AlarmActions:
        - !Ref AlarmSNSTopic

ロググループのメトリクスフィルターに基づく CloudWatch アラームの作成

このセクションの手順では、ロググループのメトリクスフィルターに基づいてアラームを作成する方法について説明します。メトリクスフィルターを使用すると、データが CloudWatch に送信された時に、ログデータの用語やパターンを検索することができます。詳細については、「Amazon CloudWatch Logs ユーザーガイド」の「フィルターを使用したログイベントからのメトリクスの作成」を参照してください。ロググループのメトリクスフィルターに基づいてアラームを作成する前に、次のアクションを完了する必要があります。