翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

HLC エンドポイントを使用した CloudWatch Logs へのログの送信

Amazon CloudWatch Logs は、シンプルな HTTP ベースのプロトコルを使用して CloudWatch Logs に直接ログを送信できる HTTP Log Collector (HLC) エンドポイントをサポートしています。この機能は、 AWS SDK 統合を必要とせずに、アプリケーションとサービスのログ取り込みを簡素化します。

HLC エンドポイント機能を使用すると、次のことが可能になります。

前提条件

HLC エンドポイントを使用してログを送信する前に、以下を行う必要があります。

オプション 1: AWS コンソールを使用したセットアップの簡素化 (推奨)

AWS マネジメントコンソールは、HLC エンドポイントアクセス用の API キーを生成するための合理化されたワークフローを提供します。

含まれるアクセス許可: 自動的に作成された IAM ユーザーには、次のアクセス許可があります。

オプション 2: 手動セットアップ

IAM 設定をより詳細に制御したい場合、またはアクセス許可をカスタマイズする必要がある場合は、HLC エンドポイントを手動で設定できます。

ステップ 1: IAM ユーザーを作成する

ログの取り込みに使用される IAM ユーザーを作成します。

ステップ 2: サービス固有の認証情報を生成する (API キー)

CreateServiceSpecificCredential API を使用して CloudWatch Logs API キーを生成します。 CreateServiceSpecificCredential create-service-specific-credential CLI コマンドを使用することもできます。認証情報の有効期間には、1～36600 日の値を指定できます。認証情報の有効期間を指定しないと、API キーは期限切れになりません。

有効期限が 30 日の API キーを生成するには:

aws iam create-service-specific-credential \
    --user-name cloudwatch-logs-hlc-user \
    --service-name logs.amazonaws.com \
    --credential-age-days 30

レスポンスは ServiceSpecificCredential オブジェクトです。ServiceCredentialSecret 値は CloudWatch Logs API キー (ベアラートークン) です。

ステップ 3: ロググループとログストリームを作成する

ログが保存されるロググループとログストリームを作成します。

# Create the log group
aws logs create-log-group \
    --log-group-name /aws/hlc-logs/my-application \
    --region us-east-1

# Create the log stream
aws logs create-log-stream \
    --log-group-name /aws/hlc-logs/my-application \
    --log-stream-name application-stream-001 \
    --region us-east-1

ステップ 4: ベアラートークン認証を有効にする

ロググループでベアラートークン認証を有効にします。

aws logs put-bearer-token-authentication \
    --log-group-identifier /aws/hlc-logs/my-application \
    --bearer-token-authentication-enabled \
    --region us-east-1

設定の検証:

aws logs describe-log-groups \
    --log-group-name-prefix /aws/hlc-logs/my-application \
    --region us-east-1

HLC エンドポイントへのログの送信

エンドポイントフォーマット

HLC エンドポイント URL は次の形式に従います。

https://logs.<region>.amazonaws.com/services/collector/event?logGroup=<name>&logStream=<name>[&entityName=<name>&entityEnvironment=<environment>]

必須パラメータ:

オプションのパラメータ:

オプションで、次のクエリパラメータを含めることで、ログイベントをServiceエンティティに関連付けることができます。HLC エンドポイントを介して送信されるログはカスタムテレメトリであるため、自動的にエンティティに関連付けられません。これらのパラメータを指定することで、CloudWatch Logs は を KeyAttributes.Typeに設定してエンティティを作成しService、ログイベントに関連付けます。これにより、CloudWatch の Explore 関連機能は、これらのログを同じサービスの他のテレメトリ (メトリクス、トレース、ログ) と関連付けることができるため、さまざまなシグナルタイプのアプリケーションのトラブルシューティングとモニタリングが容易になります。エンティティおよび関連するテレメトリの詳細については、「カスタムテレメトリへの関連情報の追加」を参照してください。

リクエストの形式

次のヘッダーと本文を含む HTTP POST を使用してログを送信します。

ヘッダー:

本文形式:

リクエスト本文は、イベントの配列を含む JSON 形式である必要があります。

{
    "event": [
        {
            "time": 1730141374.001,
            "event": "Application started successfully",
            "host": "web-server-1",
            "source": "application.log",
            "severity": "info"
        },
        {
            "time": 1730141374.457,
            "event": "User login successful",
            "host": "web-server-1",
            "source": "auth.log",
            "user": "john.doe"
        }
    ]
}

フィールドの説明:

必要に応じて、追加のカスタムフィールドを含めることができます。

リクエスト例

curl -X POST \
    'https://logs.<region>.amazonaws.com/services/collector/event?logGroup=/aws/hlc-logs/my-application&logStream=application-stream-001' \
    -H "Authorization: Bearer <your-bearer-token>" \
    -H "Content-Type: application/json" \
    -d '{
        "event": [
            {
                "time": 1730141374.001,
                "event": "Application started",
                "host": "web-server-1",
                "severity": "info"
            }
        ]
    }'

CloudWatch Logs API キーを生成して使用するためのアクセス許可を制御する

CloudWatch Logs API キーの生成と使用は、CloudWatch Logs と IAM サービスの両方でアクションと条件キーによって制御されます。

CloudWatch Logs API キーの生成の制御

iam:CreateServiceSpecificCredential アクションは、サービス固有のキー (CloudWatch Logs API キーなど) の生成を制御します。このアクションの範囲をリソースとして IAM ユーザーに限定し、キーを生成できるユーザーを制限できます。

次の条件キーを使用して、iam:CreateServiceSpecificCredential アクションのアクセス許可に条件を課すことができます。

CloudWatch Logs API キーの使用の制御

logs:CallWithBearerToken アクションは、CloudWatch Logs API キーの使用を制御します。ID が CloudWatch Logs API キーを使用しないようにするには、キーに関連付けられた IAM ユーザーにlogs:CallWithBearerTokenアクションを拒否するポリシーをアタッチします。

ポリシーの例

ID が CloudWatch Logs API キーを生成して使用しないようにする

{
    "Version": "2012-10-17",		 	 	 
    "Statement": [
        {
            "Sid": "DenyCWLAPIKeys",
            "Effect": "Deny",
            "Action": [
                "iam:CreateServiceSpecificCredential",
                "logs:CallWithBearerToken"
            ],
            "Resource": "*"
        }
    ]
}

ID が CloudWatch Logs API キーを使用しないようにする

{
    "Version": "2012-10-17",		 	 	 
    "Statement": [
        {
            "Effect": "Deny",
            "Action": "logs:CallWithBearerToken",
            "Resource": "*"
        }
    ]
}

CloudWatch Logs キーが 90 日以内に期限切れになる場合にのみ作成を許可する

{
    "Version": "2012-10-17",		 	 	 
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "iam:CreateServiceSpecificCredential",
            "Resource": "arn:aws:iam::123456789012:user/username",
            "Condition": {
                "StringEquals": {
                    "iam:ServiceSpecificCredentialServiceName": "logs.amazonaws.com"
                },
                "NumericLessThanEquals": {
                    "iam:ServiceSpecificCredentialAgeDays": "90"
                }
            }
        }
    ]
}

侵害された CloudWatch Logs API キーの処理

API キーが侵害された場合は、そのキーを使用するためのアクセス許可を取り消す必要があります。次の IAM API オペレーションを使用して、侵害されたキーを管理できます。

CloudWatch Logs API キーのステータスを変更する

キーを非アクティブ化するには、update-service-specific-credential コマンドを使用します。

aws iam update-service-specific-credential \
    --user-name cloudwatch-logs-hlc-user \
    --service-specific-credential-id ACCA1234EXAMPLE1234 \
    --status Inactive

キーを再アクティブ化するには、ステータスを に変更しますActive。

CloudWatch Logs API キーのリセット

キーの値が侵害された場合、またはキーがない場合、reset-service-specific-credential コマンドを使用してキーをリセットします。キーの有効期限がまだ残っている必要があります。既に有効期限が切れている場合は、キーを削除して新しいキーを作成します。

aws iam reset-service-specific-credential \
    --service-specific-credential-id ACCA1234EXAMPLE1234

CloudWatch Logs API キーを削除する

キーが不要になった場合、またはキーの有効期限が切れた場合は、delete-service-specific-credential コマンドを使用してキーを削除します。

aws iam delete-service-specific-credential \
    --service-specific-credential-id ACCA1234EXAMPLE1234

CloudWatch Logs API キーを使用するためのアクセス許可を削除する IAM ポリシーをアタッチする

ID が CloudWatch Logs API キーを使用して呼び出しを実行できないようにするには、キーに関連付けられた IAM ユーザーに次のポリシーをアタッチします。

{
    "Version": "2012-10-17",		 	 	 
    "Statement": {
        "Effect": "Deny",
        "Action": "logs:CallWithBearerToken",
        "Resource": "*"
    }
}

CloudTrail を使用した API キーの使用状況のログ記録

を使用して AWS CloudTrail 、CloudWatch Logs API キーの使用に関するデータイベントを記録できます。CloudWatch Logs はCallWithBearerToken呼び出しAWS::Logs::LogGroupAuthorizationのデータイベントを出力するため、API キーを使用してログを送信するタイミングと方法を監査できます。

CloudWatch Logs API キーの使用に対して CloudTrail CloudTrail ログ記録を有効にするには:

ベストプラクティス

イベントのバッチ処理

パフォーマンスと効率を向上させるには:

エラー処理

アプリケーションに適切なエラー処理を実装します。一般的な HTTP ステータスコード:

制限事項