CloudWatchにLog Alarmが登場、メトリクスフィルターなしでログから直接アラームを作成可能に

このアップデートの要点

Amazon CloudWatchに、メトリクスフィルターを使用せずにログから直接アラームを作成できる新機能「Log Alarm」が登場しました。これにより、「ログにERRORが何件か出たらアラートしたい」といった場合に、これまで必要だったメトリクスフィルターによるカスタムメトリクスへの変換という2段階のプロセスが不要になり、Logs Insightsのクエリ結果を直接しきい値評価してアラームを設定できるようになりました。

背景にある技術トレンド

従来のCloudWatchでは、ログの特定のパターンを検知してアラートを上げるためには、まずメトリクスフィルターを設定してログデータをカスタムメトリクスに変換し、そのカスタムメトリクスに対してアラームを設定するという手順が必要でした。この方法は、ログのパターンが増えるたびにカスタムメトリクスが増加し、管理が煩雑になるという課題がありました。また、複数ロググループを横断するクエリをアラームに適用することも困難でした。

Log Alarmは、これらの課題を解決するために導入されました。Logs Insightsで普段利用しているクエリ構文をそのままアラームに転用できるため、監視設定の簡素化と柔軟性の向上が期待できます。裏側では、AWS管理のScheduled Queryが自動作成され、スケジュール実行される仕組みになっています。これにより、count(*) by serviceNameのような集計で、サービスごとに独立評価するマルチコントリビューターアラームも容易に作成可能になります。

影響と今後の見通し

Log Alarmの導入により、エンジニアはより迅速かつ容易にログに基づいたアラートを設定できるようになります。これにより、システム障害の早期発見や問題解決の迅速化に貢献することが期待されます。また、複数ロググループを横断するクエリをアラームに適用できるようになったことで、より包括的な監視が可能になります。

ただし、利用にあたっては料金体系に注意が必要です。標準アラーム料金に加えて、クエリのスキャン量に応じた課金が発生します。そのため、クエリの効率化（filterをクエリの先頭に置く、StartTimeOffsetを必要最小限にするなど）が重要となります。また、Scheduled Queryの同時実行数には制限があるため、大量のアラームを作成する際にはスケジュールの調整が必要になる場合があります。

Log Alarmは、AWS CLIから設定することも可能です。具体的には、まずロググループと、CloudWatch LogsがScheduled Queryを実行するためのIAMロールを作成します。次に、put-log-alarmコマンドを使用して、アラーム名、比較演算子、しきい値、評価対象のクエリ結果数、アラーム遷移条件、そしてクエリ本体、対象ロググループ、集計式、スケジュール設定を含むscheduled-query-configurationを指定してLog Alarmを作成します。

実際にERRORログを流し込んでアラーム遷移を確認するテストも行われています。ログ投入後、一定時間経過すると、INSUFFICIENT_DATAからOK、そしてALARMへと状態が遷移することが確認されています。ALARM時のStateReasonからは、クエリ結果がしきい値を超えたことが示されます。ログ取り込み遅延が懸念される場合は、クエリ範囲の終端を過去にずらすEndTimeOffsetの設定が推奨されています。

まとめ

CloudWatch Log Alarmは、ログ監視のアラーム設定を大幅に簡素化する画期的な機能です。メトリクスフィルターを経由せずにLogs Insightsクエリを直接利用できるため、設定の手間が省け、より柔軟な監視が可能になります。料金やクエリ実行数制限などの注意点を理解した上で活用することで、システムの信頼性向上に大きく貢献するでしょう。

出典: https://qiita.com/leomarokun/items/dd29a1cb4df87a016f2b