本記事は、AZ-104の勉強中につまずいたポイントを整理するシリーズの第3回です。
- 第1回：Azureネットワーク接続の違いを整理する
- 第2回：Recovery Services コンテナーとBackup vaultの違いを整理する
- 第3回：Log Analytics workspaceとストレージアカウントの違いを整理する（本記事）
- 第4回：Entra joined、registered、hybrid joinedの違いを整理する
- 第5回：ARMテンプレートの基本構造と読み方を整理する
今回は、Azure Monitorや診断設定で出てくる次の2つを整理します。
- Log Analytics workspace
- ストレージアカウント
どちらもログの送信先として使えますが、目的が違います。
この記事では、AZ-104対策として「ログを分析したいのか、長期保管したいのか」に絞って整理します。
結論
最初にざっくりまとめると、次のようになります。
| やりたいこと | 使うもの |
|---|---|
| ログを検索・分析したい | Log Analytics workspace |
| KQLでログを調べたい | Log Analytics workspace |
| ログを使ってアラートを作成したい | Log Analytics workspace |
| ログを長期保管したい | ストレージアカウント |
| 監査や証跡としてログを残したい | ストレージアカウント |
| 外部SIEMや別システムにログを連携したい | Event Hubs |
AZ-104対策としては、まず分析するログはLog Analytics workspace、保管するログはストレージアカウントと整理すると分かりやすいです。
また、Event Hubsはログを外部システムへ連携したい場合に使う、と押さえておくとよいです。
前提：診断設定とは
Azureのログ送信先を考えるときに、まず押さえておきたいのが診断設定です。
診断設定とは、Azureリソースのログやメトリックを指定した送信先に転送するための設定です。
Microsoft Learnでは、Azure Monitorの診断設定を使用して、リソースログを収集したり、プラットフォームメトリックやアクティビティログをさまざまな送信先へ送信したりできると説明されています。(Microsoft Learn)
診断設定の主な送信先には、次のようなものがあります。
- Log Analytics workspace
- ストレージアカウント
- Event Hubs
この中でAZ-104の学習中に混乱しやすいのが、Log Analytics workspaceに送る場合 と ストレージアカウントに送る場合の違いです。
なお、Event Hubsは外部SIEMや別の監視基盤にログを連携したい場合に使います。
この記事では、Log Analytics workspaceとストレージアカウントの違いに絞って整理します。
補足：Activity LogとResource Log
Azure Monitorのログまわりでは、Activity LogとResource Logも混乱しやすいです。
Activity Logとは、Azure上で発生したサブスクリプションレベルのイベントを記録するログです。
たとえば、リソースの作成、更新、削除など、Azure上で「誰が何をしたか」を確認するために使います。
一方で、Resource Logとは、各Azureリソース自体から出力されるログです。
たとえば、Storage Account、Key Vault、Network Security Groupなど、リソースごとの動作やアクセスに関するログが該当します。
診断設定では、これらのログをLog Analytics workspace、ストレージアカウント、Event Hubsなどへ送信できます。
Log Analytics workspaceとは
Log Analytics workspaceとは、Azure Monitor Logsで収集したログデータを格納するための場所です。
Microsoft Learnでは、Log Analytics workspaceは、AzureおよびAzure以外のリソースやアプリケーションから任意の種類のログデータを収集できるデータストアと説明されています。(Microsoft Learn)
Log Analytics workspaceにログを送るとKQLを使ってログを検索・分析できます。
Log Analytics workspaceを使う場面
Log Analytics workspaceは、主にログを見る・調べる・分析するために使います。
たとえば、次のような場面です。
- 障害調査でログを検索したい
- KQLでログを分析したい
- 特定のエラーが発生していないか確認したい
- ログをもとにアラートを作成したい
- Workbooksやダッシュボードで可視化したい
つまり、Log Analytics workspaceは使うためのログの置き場所と言えます。
Log Analytics workspaceで押さえること
AZ-104対策としては、次のポイントを押さえておくとよいです。
- ログを検索・分析するために使う
- KQLでクエリを実行できる
- Azure Monitor Logsのデータを格納する
- アラートや可視化と組み合わせやすい
- 取り込み量や保持期間によってコストがかかる
特に、KQLでログを調べたい場合はLog Analytics workspaceを使う、と覚えると分かりやすいです。
ストレージアカウントに送るとは
診断設定では、ログの送信先としてストレージアカウントを選ぶこともできます。
ストレージアカウントにログを送る目的は、主に長期保管や監査用の証跡保管です。
Microsoft Learnでも、リソースログをAzure Storageへ送信する目的は、アーカイブのために保持することだと説明されています。(Microsoft Learn)
ストレージアカウントを使う場面
ストレージアカウントは、主にログを残す・保管する・監査に備えるために使います。
たとえば、次のような場面です。
- ログを長期間保存したい
- 監査証跡としてログを残したい
- すぐには分析しないが、後から確認できるようにしたい
- コストを抑えてログを保管したい
- ライフサイクル管理でクール層やアーカイブ層へ移したい
つまり、ストレージアカウントは残すためのログの置き場所です。
ストレージアカウントで押さえること
AZ-104対策としては、次のポイントを押さえておくとよいです。
- ログの長期保管に使う
- 監査や証跡保管に向いている
- Blobとして保存される
- ライフサイクル管理と組み合わせてコストを抑えられる
ストレージアカウントに送ったログは、Blobとして保存されます。
そのため、Log Analytics workspaceに送ったログのように、Azure Portal上でKQLを使ってすぐに検索・分析する用途には向いていません。
「後から必要になったときに参照できるように残しておく」用途として考えると分かりやすいです。
Log Analytics workspaceとストレージアカウントの違い
Log Analytics workspaceとストレージアカウントの違いは、ログを使うために置くのか、残すために置くのかです。
| 比較項目 | Log Analytics workspace | ストレージアカウント |
|---|---|---|
| 主な目的 | ログの検索・分析 | ログの長期保管・アーカイブ |
| 使い方 | KQLでクエリする | Blobとして保存する |
| 向いている用途 | 障害調査、監視、アラート、可視化 | 監査、証跡保管、長期保存 |
| 検索性 | 高い | Log Analyticsほど高くない |
| アラート連携 | しやすい | 直接の分析・アラート用途には向きにくい |
| コストの考え方 | 取り込み量や保持期間を意識する | ストレージ容量やアクセス頻度を意識する |
| AZ-104での覚え方 | 分析するために送る | 保管するために送る |
ざっくり言うと、
- Log Analytics workspace：ログを検索・分析するために送る
- ストレージアカウント：ログを長期保管するために送る
という違いです。
実運用では両方に送ることもある
ここまで、Log Analytics workspaceとストレージアカウントの違いを整理しました。
ただし、実運用ではどちらか一方だけを選ぶのではなく、Log Analytics workspaceとストレージアカウントの両方にログを送る構成にすることもあります。
ポイントは、診断設定は複数作成できるということです。
同じリソースのログをLog Analytics workspaceに送信しつつ、別の診断設定でストレージアカウントにもアーカイブ用として保存する、といった設計ができます。
これによって、日々の監視、障害調査、アラートにはLog Analytics workspace、監査や証跡、長期保管にはストレージアカウント、というように役割を分けられます。
AZ-104対策では両者の違いを押さえつつ、実運用では目的に応じて組み合わせて使うこともある、と理解しておくとよいです。
まとめ
Log Analytics workspaceとストレージアカウントは、どちらも診断設定の送信先として使えます。
ただし、使う目的が違います。
| やりたいこと | 選ぶもの |
|---|---|
| ログを検索・分析したい | Log Analytics workspace |
| KQLでログを調べたい | Log Analytics workspace |
| ログを使ってアラートを作成したい | Log Analytics workspace |
| ログを長期保管したい | ストレージアカウント |
| 監査や証跡としてログを残したい | ストレージアカウント |
| 外部SIEMや別システムにログを連携したい | Event Hubs |
AZ-104の学習では、まず分析するログはLog Analytics workspace、保管するログはストレージアカウントと整理すると理解しやすいです。
また、Event Hubsは外部システムへログを連携したい場合に使う、と整理するとよいです。
診断設定でログの送信先を選ぶときは、そのログを分析したいのか、長期保管したいのか、外部に連携したいのかを確認することが重要です。
この記事がAZ-104を勉強している方の整理に役立てば嬉しいです。