AWS Resolver クエリログを送信できる リソース

注記

クエリをログ記録するワークロードで、1 秒あたりのクエリ数 (QPS) が多くなることが想定される場合は、Amazon S3 を使用することで、送信先に書き込まれる時点で発生するクエリログのスロットリングを防ぎます。Amazon を使用する場合は CloudWatch、 PutLogEventsオペレーションの 1 秒あたりのリクエスト数の制限を増やすことができます。 CloudWatch 制限の引き上げの詳細については、「Amazon CloudWatch ユーザーガイド」のCloudWatch 「ログのクォータ」を参照してください。

Resolver クエリログは、次の AWS リソースに送信できます。

Amazon CloudWatch Logs (Amazon CloudWatch Logs) ロググループ

Logs Insights を使用すると、ログの分析やメトリクスとアラームの作成が可能です。

詳細については、「Amazon CloudWatch Logs ユーザーガイド」を参照してください。

Amazon S3 (S3) バケット

長期間にわたるログのアーカイブには、S3 バケットの使用が経済的です。通常は、高いレイテンシーが得られます。

すべての S3 サーバー側の暗号化オプションがサポートされています。詳細については、「Amazon S3 ユーザーガイド」の「サーバー側の暗号化によるデータの保護」を参照してください。

自分が所有するアカウント内に S3 バケットがある場合、必要なアクセス許可がバケットポリシーに自動的に追加されます。自身で所有していないアカウントの S3 バケットにログを送信する場合は、その S3 バケットの所有者が、バケットポリシーの中に必要なアクセス許可を追加する必要があります。次に例を示します。

{
    "Version": "2012-10-17",
    "Id": "CrossAccountAccess",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "delivery.logs.amazonaws.com"
            },
            "Action": "s3:PutObject",
            "Resource": "arn:aws:s3:::your_bucket_name/AWSLogs/your_caller_account/*"
        },
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "delivery.logs.amazonaws.com"
            },
            "Action": "s3:GetBucketAcl",
            "Resource": "arn:aws:s3:::your_bucket_name"
        },
         {
            "Effect": "Allow",
            "Principal": {
                "AWS": "iam_user_arn_or_account_number_for_root"
            },
            "Action": "s3:ListBucket",
            "Resource": "arn:aws:s3:::your_bucket_name"
        }
    ]
}

注記

組織の中心的な S3 バケットにログを保存する場合は、(中心的バケットへの書き込みに必要なアクセス許可を持つ) 中央のアカウントからクエリログ記録を設定した上で、RAM を使用しながら、アカウント全体でその構成を共有することをお勧めします。

詳細については、Amazon Simple Storage Serviceユーザーガイドを参照してください。

Firehose 配信ストリーム

ログは、Amazon OpenSearch Service、Amazon Redshift、またはその他のアプリケーションにリアルタイムでストリーミングできます。

詳細については、「Amazon Data Firehose デベロッパーガイド」を参照してください。

Resolver クエリログ記録の料金については、「Amazon の CloudWatch 料金」を参照してください。

CloudWatch ログ料金は、ログが Amazon S3 に直接公開されている場合でも、Resolver ログを使用する場合に適用されます。詳細については、「Amazon CloudWatch 料金表」の「S3 へのログの配信」を参照してください。