Amazon CloudWatch Logs にアカウントレベルのログ保持ポリシーが導入

Amazon CloudWatch Logs において、AWS アカウント内の全ロググループ、または特定のプレフィックスを持つロググループに対して一括で保持期間を設定できる「アカウントレベルの保持ポリシー」が発表されました。この機能により、プラットフォームチームやセキュリティチームは、個別のロググループを管理することなく、組織のコンプライアンス基準に合わせた一元的なデータ保持管理が可能になります。追加料金なしで利用でき、1つのアカウント・リージョンにつき最大20個のポリシーを設定可能です。

ログ管理の運用負荷が劇的に改善されます

💡 解決される課題

これまで、大量のロググループに対して個別に保持期間（Retention）を設定するのは、運用上の大きな負担でした。「設定漏れによるコスト増」や「コンプライアンス違反によるログ消失」といったヒューマンエラーのリスクが常に付きまとっていたはずです。

今回のアップデートにより、以下のような柔軟な運用が可能になります：

• ベースラインの設定: アカウント全体のログをデフォルトで90日間保持する。
• 特定ログの保護: /security で始まるロググループには、監査要件に合わせて自動的に1年間保持するポリシーを適用する。
• プレフィックス指定: /aws/lambda など、特定のサービス系ログにのみ適用する。

🇯🇵 日本国内での利用状況

最新のリージョン状況を確認したところ、東京リージョン (ap-northeast-1) および 大阪リージョン (ap-northeast-3) を含め、中東（バーレーンおよびUAE）を除くすべての商用リージョンで利用可能です。国内のプロジェクトでも即座に導入検討が可能です。

🛠️ 実務上の注意点とアドバイス

• 重複時の挙動に注意: 複数のポリシーが一致する場合、**「最も長い保持期間」**が優先されます。意図せず長い保持期間が適用されないよう、ポリシーの設計には注意してください。
• 既存 vs 新規: ポリシー適用時に「既存のロググループ」に適用するか「新規作成分のみ」に適用するかを選択できます。既存のログを整理したい場合は、既存分への適用を忘れずに行ってください。
• コスト面: 本機能自体の利用に追加料金はかかりません。むしろ、不要なログの保持期間を短縮することで、ストレージコストの最適化に直結します。

✅ Next Action

まずは、現在のアカウントで「保持期間が『失効しない (Never expire)』設定になっているロググループ」を特定し、アカウントレベルのポリシーで適切なデフォルト値を設定するテストから始めるのがおすすめです。

Reference: CloudWatch Logs documentation