🔍事前に知っておくこと
EC2のログをCloudWatchで管理するとはつまり、EC2のログをCloudWatchに送るということです。
その観点から必要なものが3つあり、それぞれざっくりと解説します。
-
CloudWatchエージェント
EC2のログを収集しCloudWatchに送信するためのソフトウェア -
CloudWatchエージェント設定ファイル
インストールしたCloudWatchエージェントのどのファイルを監視しどのログストリームに管理するか、等の設定が書かれたファイル -
IAMロール
EC2に権限を与え他のリソースを利用できるようにする。
今回は[CloudWatchにデータを送る][SSM読み取り]の2つの権限が必要になる。
🔍やりたいたこと
-
- CloudWatchエージェントをインストールする
-
- CloudWatchエージェントのJSONはSSMパラメータストアで管理しロードしたい
-
- JSONの読み込みは初回のみ手動で今後はEC2再起動のみでSSMパラメータストアを読み込むようにしたい
-
- ログ追加時に通知メールが欲しい
全てをまとめて書くとすごい量になってしまうので２回に分けて解説していきます。
今回は2番目まで解説します。
1~2の手順まででCloudWatchへログの送信自体はできます。
🔍実行手順
前提としてVPC、サブネット、EC2、SGなどの構築は終わっているものとします。
CloudWatchエージェントをインストールする
-
IAMロール作成
以下のポリシーを持つIAMロールを作成する。- [CloudWatchAgentServerPolicy] ：CloudWatchにデータを送る
- [AmazonSSMReadOnlyAccess]：SSM読み取り
※EC2内で設定ファイルを作成する場合、[AmazonSSMReadOnlyAccess]は不要。
-
監視したいEC2にCloudWatchエージェントをインストールする
① インストールコマンドを打つ
※これでうまくいくなら2は終わりです。インストールされたことを確認してください。sudo yum install amazon-cloudwatch-agent② ①が失敗した場合、エージェントインストール予定のEC2のプラットフォームとアーキテクチャを確認
sudo -i uname -m cat /etc/os-release③ プラットフォームとアーキテクチャごとにCloudWatchエージェントのインストールコマンドは変わるので②で確認した情報と照らし合わせながら、公式サイトを確認し利用可能なダウンロードリンクを探しエージェントをインストールする。
※リンク先に下記のようなリストがあるのでそこを参照する。
※インストールや解凍に必要なものが足りない場合は別途インストールしてください。
sudo -i wget https://amazoncloudwatch-agent-[利用リージョン].s3.[利用リージョン].amazonaws.com/*** rpm -U ./amazon-cloudwatch-agent.rpmインストールされたことを確認
yum list installed | grep amazon-cloudwatch-agent補足(今回は実行不要):
下記コマンドでウィザードを呼び出し、CloudWatchエージェント設定ファイルを生成することもできます。
パラメータストアからのロードを行わない場合はこちらを実行してください。sudo /opt/aws/amazon-cloudwatch-agent/bin/amazon-cloudwatch-agent-config-wizard
CloudWatchエージェントのJSONはSSMパラメータストアで管理しロードしたい
-
AWSSSMにCloudWatchエージェント設定ファイルを作成し保存する
① SSMパラメータストアに任意の名称のString型で下記の内容を変更し保存する。
{ "agent": { "run_as_user": "root" }, "logs": { "logs_collected": { "files": { "collect_list": [ { "file_path": "[監視したいファイルのパス]", "log_group_class": "STANDARD", "log_group_name": "[CloudWatch内のロググループ名]", "log_stream_name": "[CloudWatch内のログストリーム名]", "retention_in_days": [保存日数] }, { "file_path": "[監視したいファイルのパス]", "log_group_class": "STANDARD", "log_group_name": "[CloudWatch内のロググループ名]", "log_stream_name": "[CloudWatch内のログストリーム名]", "retention_in_days": [保存日数] } ] } } } }② EC2から①で保存した設定を読み込む
sudo /opt/aws/amazon-cloudwatch-agent/bin/amazon-cloudwatch-agent-ctl -a fetch-config -m ec2 -c ssm:[SSM名] -s sudo systemctl enable fetch-cloudwatch-config.serviceロードした設定ファイルを確認
sudo cat /opt/aws/amazon-cloudwatch-agent/etc/amazon-cloudwatch-agent.toml
最終確認
- テストログを作成
sudo echo "test log entry at $(date)" >> [監視するファイルのパス]
- AWSコンソール上のCloudWatchから先ほど追加したログが設定ファイルで指定したログストリーム内から確認できることを確認する。
※AWSコンソール上のCloudWatch内でロググループやログストリームは作成しなくても自動で作成される。
下図のようにコンソール上からログが確認できる。
🔍まとめ
EC2のログをCloudWatchに送る必要があったのでまとめてみました。
次回の投稿は4週間後の予定なので、残りを解説していこうと思います。