Amazon RDS for SQL Server が SQL Server Audit ログの CloudWatch Logs 出力をサポート

Amazon RDS for SQL Server において、SQL Server Audit ログを Amazon CloudWatch Logs へ直接パブリッシュする機能が追加されました。これにより、従来の S3 エクスポートに加え、CloudWatch Logs または S3 と CloudWatch Logs の両方への出力先を選択できるようになります。S3 と CloudWatch Logs の両方を有効にした場合、両方のサービスへのアップロードが完了した時点でパブリッシュ処理が「完了」とマークされます。本機能は Amazon RDS for SQL Server が提供されているすべての AWS Commercial および AWS GovCloud (US) リージョンで利用可能です。

運用上のメリット

これまで RDS for SQL Server の監査ログは S3 へのエクスポートが主であり、リアルタイムな監視やアラート通知への活用が困難でした。今回のアップデートで CloudWatch Logs に直接出力されるため、CloudWatch Logs Insights による高速な分析や、メトリクスフィルターを用いた特定イベントへの即時アラート通知が可能になります。

日本国内リージョンでの利用

リサーチの結果、東京リージョン (ap-northeast-1) および大阪リージョン (ap-northeast-3) で本機能が利用可能です。国内のコンプライアンス要件が厳しい環境で SQL Server を運用している方は、すぐに導入を検討してください。

実務上の注意点

• コスト管理: CloudWatch Logs への大量のログ出力は、データ取り込み料金と保存料金に影響します。監査対象のイベントを絞り込み、必要なログのみを出力するように監査仕様（Audit Specification）を適切に設定してください。
• 整合性の保証: S3 と CloudWatch の両方に出力する場合、どちらか一方が完了するまで「完了」扱いにならないため、ログの転送遅延が発生した際の挙動を監視しておくことを推奨します。

次のアクション

まずは、開発環境で監査仕様を作成し、CloudWatch Logs のロググループ /aws/rds/instance/<db_instance_name>/sqlaudit が自動的に作成されるかを確認してください。その後、CloudWatch Logs Insights でのクエリ例を作成し、運用監視フローに組み込むことをお勧めします。

参考ドキュメント

• Amazon RDS for SQL Server User Guide: https://docs.aws.amazon.com/AmazonRDS/latest/UserGuide/Appendix.SQLServer.Options.Audit.html