AWS Transfer Family のマネージドワークフローでカスタム CloudWatch ロググループの指定が可能に

AWS Transfer Family のマネージドワークフローにおいて、実行ログの出力先として個別の Amazon CloudWatch ロググループを指定できる機能が追加されました。従来はサーバーレベルのロググループにすべてのワークフローのログが集約されていましたが、新機能により、ワークフローごとにログを分離して管理、または関連するワークフロー間でログを集約して共通のダッシュボードを作成することが可能になります。既存のワークフローや、ログ出力先を指定しない設定では、引き続きサーバーレベルのロギング設定が適用されます。

🛠️ 運用管理の柔軟性が大幅に向上

🔍 課題と解決策

これまでは、Transfer Family サーバーに紐づくすべてのワークフローのログが単一のロググループに混在していたため、特定のワークフローの実行状況を監視したり、トラブルシューティングを行ったりする際に、膨大なログストリームから目的のログを抽出する手間がありました。今回のアップデートにより、ワークフロー単位でのログ分離が可能になり、ログの粒度が細分化されたことで、監視の効率が管理コストの低下に抑えられます。

🇯🇵 日本リージョンでの利用状況

リサーチの結果、東京リージョン (ap-northeast-1) および大阪リージョン (ap-northeast-3) の両方で利用可能であることが確認されています。マネージドワークフローを利用している環境であれば、すぐに導入検討が可能です。

💡 実務上のアドバイス

• 監視の高度化: 複数のワークフローを一つのロググループに集約して、CloudWatch Logs Insights を活用することで、ワークフロー全体の実行成功率やエラー率をメトリクス化し、CloudWatch ダッシュボードで可視化するのがおすすめです。
• セキュリティと権限: カスタムロググループを指定した場合、Transfer Family はそのグループにのみログを配信するため、サーバーレベルのロギング用 IAM ロールは不要になります。権限管理を最小限に抑える（最小権限の原則） ことが可能です。
• 既存環境への影響: 既存のワークフローは現在の設定を維持するため、破壊的な変更はありません。段階的に移行を進めることができます。

🚀 次のアクション

まずは、新規に作成するワークフローでカスタムロググループを指定し、CloudWatch Logs Insights でのクエリが正しく動作するか、ログの構造化 JSON 形式が動作しているかを確認することをお勧めします。

参照元: AWS Transfer Family マネージドワークフロー ユーザーガイド https://docs.aws.amazon.com/transfer/latest/userguide/transfer-workflows.html