メインコンテンツまでスキップ

Lambdaのログをいい感じにS3に保存し続ける方法

· 約8分
moritalous
お知らせ

過去にQiitaに投稿した内容のアーカイブです。

CloudWatch Logsに出力されたLambdaのログをS3に保管する方法です。

CloudWatch Logsのサブスクリプションという機能でログをKinesis Data Firehoseに送信します。 そのままS3に出力すると複数のログが1行に並ぶ形になってしまいますが、Kinesis Data Firehoseのデータ変換機能で改行を加えることで解決します。

こんな感じです。

名称未設定ファイル.png

S3バケットの作成​

ログを出力するバケットを作成します。今回はlog-backup-xxxxxとします。

データ変換用Lambdaの作成​

データ変換用LambdaはAWSが設計図を用意してくれているので簡単に作成できます。 マネジメントコンソールでLambda関数を作成します。

項目選択説明
作成方法設計図の使用
設計図kinesis-firehose-cloudwatch-logs-processorNode.js版。Python2.7版のkinesis-firehose-cloudwatch-logs-processor-pythonもあります
関数名kinesis-firehose-cloudwatch-logs-processor任意
実行ロール基本的なLambdaアクセス権限で新しいロールを作成する

ソース中にコメントに以下の記載があり、どのような形式のログが渡ってくるかがわかります。

/*
For processing data sent to Firehose by Cloudwatch Logs subscription filters.

Cloudwatch Logs sends to Firehose records that look like this:

{
  "messageType": "DATA_MESSAGE",
  "owner": "123456789012",
  "logGroup": "log_group_name",
  "logStream": "log_stream_name",
  "subscriptionFilters": [
    "subscription_filter_name"
  ],
  "logEvents": [
    {
      "id": "01234567890123456789012345678901234567890123456789012345",
      "timestamp": 1510109208016,
      "message": "log message 1"
    },
    {
      "id": "01234567890123456789012345678901234567890123456789012345",
      "timestamp": 1510109208017,
      "message": "log message 2"
    }
    ...
  ]
}

The data is additionally compressed with GZIP.

The code below will:

1) Gunzip the data
2) Parse the json
3) Set the result to ProcessingFailed for any record whose messageType is not DATA_MESSAGE, thus redirecting them to the
   processing error output. Such records do not contain any log events. You can modify the code to set the result to
   Dropped instead to get rid of these records completely.
4) For records whose messageType is DATA_MESSAGE, extract the individual log events from the logEvents field, and pass
   each one to the transformLogEvent method. You can modify the transformLogEvent method to perform custom
   transformations on the log events.
5) Concatenate the result from (4) together and set the result as the data of the record returned to Firehose. Note that
   this step will not add any delimiters. Delimiters should be appended by the logic within the transformLogEvent
   method.
6) Any additional records which exceed 6MB will be re-ingested back into Firehose.
*/

処理手順も色々ありそうですが、そのあたりはすでに実装済みなので、変換する形式を変更したい場合はtransformLogEvent関数を修正するだけです。 設計図での実装は、付加情報は全部除外して、ログのメッセージに改行を付与して出力しています。

/**
 * logEvent has this format:
 *
 * {
 *   "id": "01234567890123456789012345678901234567890123456789012345",
 *   "timestamp": 1510109208016,
 *   "message": "log message 1"
 * }
 *
 * The default implementation below just extracts the message and appends a newline to it.
 *
 * The result must be returned in a Promise.
 */
function transformLogEvent(logEvent) {
    return Promise.resolve(`${logEvent.message}\n`);
}

例えば、logEventの内容をすべて出力し改行を付与する場合は、以下の様になると思います。

function transformLogEvent(logEvent) {
    return Promise.resolve(`${JSON.stringify(logEvent)}\n`);
}

また、Amazon Kinesis Data Firehose CloudWatch Logs Processorというテストイベントも用意されているので、マネジメントコンソールで簡単にテストができます。

最後に、Lambdaのタイムアウトを1分以上にしておきましょう。

Kinesis Data Firehoseのストリームを作成​

マネジメントコンソールで作成します。

項目選択説明
Delivery stream nameCloudWatchLogs-to-S3任意
Choose a source
sourceDirect PUT or other sources
---次のページ---
Transform source records with AWS Lambda
Record transformationEnabled
Lambda functionkinesis-firehose-cloudwatch-logs-processor作成したLambda
Lambda function version$LATEST
Convert record format
Record format conversionDisabled
---次のページ---
Select a destination
DestinationAmazon S3
S3 destination
S3 destinationlog-backup-xxxxx作成したバケット
S3 prefixlogs/
S3 error prefixerror/
S3 backup
Source record S3 backupDisabled
S3 buffer conditions
Buffer size5MBデフォルト値
Buffer interval300secondsデフォルト値
S3 compression and encryption
S3 compressionDisabled
S3 encryptionDisabled
Error logging
Error loggingEnabled
Permissions
IAM roleCreate new or choose新しくIAMロールを作成するといい感じにアクセス権限を付与してくれます

CloudWatch Logsに付与するIAMロールを作成​

このあとの手順で作成するCloudWatch Logsのサブスクリプションフィルターに、Firehoseにアクセスする権限が必要なので、IAMロールを作成します。 ただ、マネジメントコンソール上からは、CloudWatch Logsに付与するIAMロールはそのままでは作れないので、以下の手順で作成します。

まずはマネジメントコンソールでIAMロールを作成します。

項目選択説明
信頼されたエンティティの種類を選択AWSサービス
このロールを使用するサービスを選択EC2
Attach アクセス権限ポリシーなし次の手順で付与します
ロール名CWLtoKinesisFirehoseRole
ロールの説明削除説明がEC2になってるので削除しておく

次にIAMポリシーを作成します。

項目選択説明
サービス1
サービスFirehose
アクションすべてのFirehoseアクション
リソースarn:aws:firehose:ap-northeast-1:[アカウントID]:deliverystream/CloudWatchLogs-to-S3作成したFirehoseの配信ストリームのARN
サービス2
サービスIAM
アクションPassRole
リソースarn:aws:iam::[アカウントID]:role/CWLtoKinesisFirehoseRole作成したIAMロールのARN
---次のページ---

| ポリシーの確認 | 名前 | Permissions-Policy-For-CWL |

再度IAMロールの編集画面に戻り、CWLtoKinesisFirehoseRoleロールにPermissions-Policy-For-CWLポリシーをアタッチします。

最後にCWLtoKinesisFirehoseRoleロールの信頼関係タブの信頼関係の編集をクリック。"Service": "ec2.amazonaws.com"の部分を"Service": "logs.ap-northeast-1.amazonaws.com"に変更し、保存します。

CloudWatch Logsサブスクリプションフィルターの作成​

マネジメントコンソールからは作成できないようですので、CLIで作成します。

パラメータ(キー)パラメータ(値)説明
--log-group-name/aws/lambda/xxxxxxサブスクリプションフィルターを追加したいロググループ名
--filter-nameLogs-to-Firehose任意
--filter-pattern""フィルターせず、全ての場合
--destination-arnarn:aws:firehose:ap-northeast-1:[アカウントID]:deliverystream/CloudWatchLogs-to-S3作成したFirehoseの配信ストリームのARN
--role-arnarn:aws:iam::[アカウントID]:role/CWLtoKinesisFirehoseRole作成したIAMロールのARN
aws logs put-subscription-filter --log-group-name [ロググループ名] --filter-name Logs-to-Firehose --filter-pattern "" --destination-arn arn:aws:firehose:ap-northeast-1:[アカウントID]:deliverystream/CloudWatchLogs-to-S3 --role-arn arn:aws:iam::[アカウントID]:role/CWLtoKinesisFirehoseRole

完成​

これで無事にS3にCloudWatchLogsがS3に保存されます。 GlueやAthenaでもクエリーがかけられそうです。

参考​

https://docs.aws.amazon.com/ja_jp/AmazonCloudWatch/latest/logs/SubscriptionFilters.html#FirehoseExample https://docs.aws.amazon.com/ja_jp/firehose/latest/dev/data-transformation.html https://docs.aws.amazon.com/cli/latest/reference/logs/put-subscription-filter.html