翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。
オブザーバビリティのニーズに合わせて Amazon OpenSearch Serverless を使用する場合、OpenSearch Service にデータをコピーしたり取り込んだりすることなく、Amazon CloudWatch Logs を分析できるようになりました。この機能は、OpenSearch Service からの Amazon S3 内のデータの分析と同様に、データのクエリにダイレクトクエリを活用します。まず、 AWS マネジメントコンソールから接続された新しいデータソースを作成します。
CloudWatch Logs で運用ログを直接クエリするために Amazon OpenSearch Serverless を構築することなく、CloudWatch Logs データを分析するための新しいデータソースを作成できます。これにより、OpenSearch Service の外部にあるアクセスした運用データを分析できます。OpenSearch Service と CloudWatch Logs 間でクエリを実行することで、CloudWatch Logs でログの分析を開始し、ツールを切り替えることなく OpenSearch でデータソースのモニタリングに戻ることができます。
この機能を使用するには、 AWS マネジメントコンソールを使用して OpenSearch Service の CloudWatch Logs ダイレクトクエリデータソースを作成します。
前提条件
開始する前に、次のドキュメントを確認してください。
データソースを作成する前に、 に次のリソースが必要です AWS アカウント。
-
CloudWatch Logs を有効にします。OpenSearch リソース AWS アカウント と同じ でログを収集するように CloudWatch Logs を設定します。 OpenSearch 手順については、「Amazon CloudWatch Logs ユーザーガイド」の「CloudWatch Logs の開始方法」を参照してください。 Amazon CloudWatch
-
1 つ以上の CloudWatch ロググループ。 クエリするデータを含むロググループを指定できます。ロググループの作成手順については、「Amazon CloudWatch Logs ユーザーガイド」の「CloudWatch Logs でロググループを作成する」を参照してください。 Amazon CloudWatch
-
（オプション) 手動で作成された IAM ロール。 このロールを使用して、データソースへのアクセスを管理できます。または、OpenSearch Service で、必要なアクセス許可を持つロールを自動的に作成することもできます。手動で作成した IAM ロールを使用する場合は、「」のガイダンスに従ってください手動で作成された IAM ロールに必要なアクセス許可。
手順
を使用して、コレクションレベルのクエリデータソースを設定できます AWS Management Console。
を使用してコレクションレベルのデータソースを設定するには AWS Management Console
-
Amazon OpenSearch Service コンソール (https://console.aws.amazon.com/aos/
) に移動します。 -
左側のナビゲーションペインで、中央管理に移動し、接続されたデータソースを選択します。
-
[接続]を選択してください。
-
データソースタイプとして CloudWatch を選択します。
-
[Next (次へ)] を選択します。
-
データ接続の詳細で、名前とオプションの説明を入力します。
-
IAM ロールで、ロググループへのアクセスを管理する方法を選択します。
-
このデータソースのロールを自動的に作成する場合は、次の手順に従います。
-
新しいロールの作成 を選択します。
-
IAM ロールの名前を入力します。
-
1 つ以上のロググループを選択して、クエリできるデータを定義します。
-
-
自分で管理する既存のロールを使用する場合は、次の手順に従います。
-
[既存のロールを使用] を選択します。
-
ドロップダウンメニューから既存のロールを選択します。
-
注記
独自のロールを使用する場合は、IAM コンソールから必要なポリシーをアタッチして、必要なすべてのアクセス許可があることを確認する必要があります。詳細については、「手動で作成された IAM ロールに必要なアクセス許可」を参照してください。
-
-
（オプション) タグで、データソースにタグを追加します。
-
[Next (次へ)] を選択します。
-
OpenSearch のセットアップ で、OpenSearch のセットアップ方法を選択します。
-
デフォルト設定を使用します。
-
デフォルトのリソース名とデータ保持設定を確認します。カスタム名を使用することをお勧めします。
デフォルト設定を使用すると、新しい OpenSearch アプリケーションと Essentials ワークスペースが追加料金なしで作成されます。OpenSearch を使用すると、複数のデータソースを分析できます。これにはワークスペースが含まれており、一般的なユースケースに合わせたエクスペリエンスを提供します。Workspace はアクセスコントロールをサポートしているため、ユースケースのプライベートスペースを作成し、共同作業者とのみ共有できます。
-
-
カスタマイズした設定を使用します。
-
[Customize] (カスタマイズ) を選択してください。
-
必要に応じて、コレクション名とデータ保持設定を編集します。
-
使用する OpenSearch アプリケーションとワークスペースを選択します。
-
-
-
[Next (次へ)] を選択します。
-
選択内容を確認し、変更を加える必要がある場合は編集を選択します。
-
Connect を選択してデータソースを設定します。データソースの作成中は、このページにとどまります。準備ができたら、データソースの詳細ページが表示されます。
次のステップ
OpenSearch Dashboards にアクセスする
データソースを作成すると、OpenSearch Service は OpenSearch Dashboards URL を提供します。これを使用して、アクセスコントロールの設定、テーブルの定義、一般的なログタイプのログタイプベースのダッシュボードの設定、SQL または PPL を使用したデータのクエリを行います。
詳細については、「OpenSearch Dashboards での CloudWatch Logs データソースの設定とクエリ」を参照してください。
追加リソース
手動で作成された IAM ロールに必要なアクセス許可
データソースを作成するときは、データへのアクセスを管理する IAM ロールを選択します。これには 2 つのオプションがあります。
-
新しい IAM ロールを自動的に作成する
-
手動で作成した既存の IAM ロールを使用する
手動で作成したロールを使用する場合は、ロールに正しいアクセス許可をアタッチする必要があります。アクセス許可は、特定のデータソースへのアクセスを許可し、OpenSearch Service がロールを引き受けることを許可する必要があります。これは、OpenSearch Service がデータに安全にアクセスしてやり取りできるようにするために必要です。
次のサンプルポリシーは、データソースの作成と管理に必要な最小特権の許可を示しています。logs:* または AdminstratorAccess ポリシーなどのより広範な許可を持っている場合、これらの許可にはサンプルポリシーの最小特権が含まれます。
次のサンプルポリシーでは、プレースホルダーテキストをユーザー自身の情報に置き換えます。
{
"Version": "2012-10-17",
"Statement": [
{
"Sid": "AmazonOpenSearchDirectQueryAllLogsAccess",
"Effect": "Allow",
"Action": [
"logs:DescribeLogGroups",
"logs:StartQuery",
"logs:GetLogGroupFields"
],
"Condition": {
"StringEquals": {
"aws:ResourceAccount": "accountId"
}
},
"Resource": [
"arn:aws:logs:region:accountId:log-group:*"
]
}
]
}
{
"Version": "2012-10-17",
"Statement": [
{
"Sid": "AmazonOpenSearchDirectQueryServerlessAccess",
"Effect": "Allow",
"Action": [
"aoss:APIAccessAll",
"aoss:DashboardsAccessAll"
],
"Resource": [
"arn:aws:aoss:region:accountId:collection/ARN/*",
"arn:aws:aoss:region:accountId:collection/ARN"
]
}
]
}また、ロールには、ターゲット ID を指定する次の信頼ポリシーが必要です。
{ "Version": "2012-10-17", "Statement": [ { "Sid": "TrustPolicyForAmazonOpenSearchDirectQueryService", "Effect": "Allow", "Principal": { "Service": "directquery.opensearchservice.amazonaws.com" }, "Action": "sts:AssumeRole", "Condition": { "ArnLike": { "aws:SourceArn": "arn:aws:opensearch:region:accountId:datasource/rolename" } } } ] }
ロールを作成する手順については、「カスタム信頼ポリシーを使用したロールの作成」を参照してください。
デフォルトでは、ロールは直接クエリデータソースインデックスにのみアクセスできます。データソースへのアクセスを制限または許可するようにロールを設定できますが、このロールのアクセスは調整しないことをお勧めします。データソースを削除すると、このロールは削除されます。これにより、他のユーザーがロールにマッピングされている場合、そのユーザーのアクセスは削除されます。
