先生と生徒の会話形式で理解しよう

生徒

「AWSのCloudWatch Logsを設定したのに、ログがまったく出力されません。どこを確認すればいいのでしょうか？」

先生

「CloudWatch Logsが出力されない場合は、いくつかのよくある原因があります。IAMロールの権限、ロググループ設定、CloudWatchエージェント、サービスの設定などを順番に確認すると原因が見つかることが多いです。」

生徒

「CloudWatch Logsって、EC2やLambdaのログを確認するためのサービスですよね？」

先生

「その通りです。AWSではCloudWatch Logsを使うことで、アプリケーションログやサーバーログをまとめて管理できます。ですが設定ミスがあるとログが出力されないことがあります。」

生徒

「初心者でも確認できるポイントを知りたいです。」

先生

「それでは、AWS CloudWatch Logsが出力されないときの確認ポイントを順番に解説していきます。」

1. AWS CloudWatch Logsとは

AWS CloudWatch Logsとは、Amazon Web Servicesが提供しているログ管理サービスです。EC2やLambda、ECSなどのAWSサービスから出力されるログを一元管理できるため、システムの監視やトラブルシューティングに非常に役立ちます。

例えば次のような用途で利用されます。

EC2のアプリケーションログを確認する
Lambdaの実行ログを確認する
システムエラーの原因を調査する
アクセスログを分析する

しかしAWS初心者の場合、CloudWatch Logsを設定したのにログが出力されないというトラブルによく遭遇します。この問題は設定ミスや権限不足などが原因であることが多いため、いくつかのポイントを順番に確認することが重要です。

2. CloudWatch Logsの基本構造を理解する

CloudWatch Logsのトラブルを解決するためには、まず基本構造を理解しておく必要があります。CloudWatch Logsには主に次の3つの概念があります。

ロググループ
ログストリーム
ログイベント

ロググループはログをまとめる単位です。例えばアプリケーションやサービスごとにロググループを作成します。

ログストリームはロググループの中に作られるログの流れを表します。EC2インスタンスやLambdaの実行ごとに作成されることが多いです。

ログイベントは実際のログメッセージです。エラーメッセージやアクセスログなどがここに保存されます。

CloudWatch Logsが出力されない場合、この構造のどこかで設定が正しく行われていない可能性があります。

3. ロググループが作成されているか確認する

CloudWatch Logsが出力されないときにまず確認するべきポイントは、ロググループが存在しているかどうかです。

AWSマネジメントコンソールからCloudWatchを開き、ロググループ一覧を確認します。ロググループが存在しない場合、サービス側の設定が正しく行われていない可能性があります。

例えばAWS Lambdaの場合は、関数を初めて実行したときに自動的にロググループが作成されます。もしロググループが作成されていない場合は、Lambda関数が一度も実行されていない可能性があります。

またEC2の場合は、CloudWatchエージェントをインストールしてログ転送の設定をしないとログは送信されません。ロググループが存在するかどうかは最初に確認する重要なポイントです。

AWSの基本用語や仕組みを、図解でサクッと理解したい人には、入門の定番書がこちらです。

AWSの基本が全部わかる教科書をAmazonで見る

※ Amazon広告リンク

4. IAMロールの権限を確認する

CloudWatch Logsが出力されない原因として非常に多いのがIAMロールの権限不足です。

AWSではサービスがCloudWatch Logsにログを書き込むためには、適切なIAMポリシーが設定されたロールが必要です。例えばEC2の場合はインスタンスにIAMロールをアタッチする必要があります。

よく使用されるポリシーは次のものです。

CloudWatchAgentServerPolicy
AWSLambdaBasicExecutionRole

これらのポリシーが設定されていない場合、CloudWatch Logsへログを書き込む権限が不足してしまいます。

特に初心者の方はIAMロールの設定を忘れているケースが多いため、ログが出ない場合は必ずIAMポリシーを確認するようにしましょう。

5. CloudWatchエージェントが起動しているか確認する

EC2からCloudWatch Logsへログを送信する場合は、CloudWatchエージェントをインストールして設定する必要があります。エージェントが起動していないとログは送信されません。

Linux環境では次のコマンドでエージェントの状態を確認できます。


sudo systemctl status amazon-cloudwatch-agent
amazon-cloudwatch-agent.service - Amazon CloudWatch Agent
Active: active (running)

もしサービスが停止している場合は、次のコマンドで起動できます。


sudo systemctl start amazon-cloudwatch-agent

また設定ファイルが正しく作成されているかも重要です。設定ファイルの内容が間違っている場合、ログはCloudWatchに送信されません。

6. CloudWatchエージェント設定ファイルを確認する

CloudWatchエージェントを使用している場合、設定ファイルにログの送信設定を記述する必要があります。設定ファイルが正しく書かれていないとログは出力されません。

例えば次のような設定があります。


{
 "logs": {
   "logs_collected": {
     "files": {
       "collect_list": [
         {
           "file_path": "/var/log/messages",
           "log_group_name": "ec2-system-log",
           "log_stream_name": "{instance_id}"
         }
       ]
     }
   }
 }
}

この設定ではLinuxのシステムログであるvar log messagesをCloudWatch Logsに送信しています。

file_pathが間違っている場合やロググループ名が存在しない場合は、ログが出力されません。設定ファイルは特に注意して確認する必要があります。

7. サービス側のログ出力設定を確認する

CloudWatch Logsにログを送信するには、AWSサービス側でログ出力を有効にしておく必要があります。

例えばAWS Lambdaではログ出力が自動で有効になりますが、ECSやAPI Gatewayなどではログ設定を手動で有効にする必要があります。

またアプリケーション自体がログを出力していない場合もあります。例えばWebアプリケーションの場合、ログ設定が無効になっているとCloudWatchには何も送信されません。

つまりCloudWatch Logsに問題があるのではなく、アプリケーションのログ設定が原因になっているケースもあるため注意が必要です。

8. CloudWatch Logsの遅延を確認する

CloudWatch Logsはリアルタイムに近い形でログを確認できますが、完全なリアルタイムではありません。ログが表示されるまで数秒から数十秒ほど時間がかかることがあります。

特に大量のログを送信している場合や、CloudWatchエージェントがバッチ処理でログを送信している場合は表示が遅れることがあります。

そのためログが出ないと思った場合でも、少し時間をおいてから再度ログを確認することも重要です。

AWS CloudWatch Logsが出力されない場合は、ロググループ、IAMロール、CloudWatchエージェント、設定ファイル、サービス設定などを順番に確認することで原因を特定できることが多いです。初心者の方は一つずつチェックしていくことでトラブルシューティングの力も身につきます。

まとめ

AWSのシステム運用やクラウドアプリケーションの開発において、ログの確認は非常に重要な作業です。特にAWS環境では、CloudWatch Logsを利用することでEC2やLambdaなどのサービスから出力されるログをまとめて管理することができます。しかし実際の運用ではCloudWatch Logsが出力されないという問題に多くの初心者が直面します。

CloudWatch Logsが出力されない場合、原因は一つとは限りません。AWS CloudWatch Logsの仕組みを理解していないと、どこに問題があるのか分からなくなってしまいます。そのためまずはCloudWatch Logsの基本構造を理解することが重要になります。CloudWatch Logsではロググループ、ログストリーム、ログイベントという三つの概念があり、このどこかで設定が正しく行われていないとログは出力されません。

最初に確認するべきポイントはロググループが存在しているかどうかです。CloudWatch Logsではロググループがログの保存場所になります。もしロググループが作成されていない場合は、サービス側の設定が正しく行われていない可能性があります。例えばAWS Lambdaの場合は関数が一度実行されると自動的にロググループが作成されますが、まだ一度も実行されていない場合はロググループが存在しません。このような基本的なポイントを確認することでトラブルの原因を見つけることができます。

次に確認するべき重要なポイントはIAMロールの設定です。AWSではサービスがCloudWatch Logsへログを書き込むためには、適切な権限を持つIAMロールが必要になります。例えばEC2からCloudWatch Logsへログを送信する場合、インスタンスにIAMロールを設定し、そのロールにCloudWatchAgentServerPolicyなどのポリシーを付与する必要があります。Lambdaの場合はAWSLambdaBasicExecutionRoleが設定されていないとログを書き込むことができません。IAMロールの権限不足はCloudWatch Logsが出力されない原因として非常に多いため、必ず確認する必要があります。

EC2サーバーからログを送信する場合はCloudWatchエージェントの設定も重要です。CloudWatchエージェントがインストールされていない場合や、サービスが停止している場合はログは送信されません。また設定ファイルの内容が正しくない場合もログがCloudWatch Logsに送信されないことがあります。特にfile_pathやlog_group_nameの設定ミスは初心者に多いトラブルです。ログファイルのパスが間違っていると、エージェントはログを収集することができません。

さらにAWSサービス側のログ出力設定も確認する必要があります。CloudWatch Logsに問題があるのではなく、アプリケーションやサービスがログを出力していない場合もあります。例えばWebアプリケーションでログ出力が無効になっている場合や、API GatewayやECSでログ設定を有効にしていない場合はCloudWatch Logsには何も表示されません。このようなケースではアプリケーションやサービスのログ設定を確認することが重要になります。

またCloudWatch Logsはリアルタイムに近いログ管理サービスですが、完全なリアルタイムではありません。ログが表示されるまで数秒から数十秒程度の遅延が発生することがあります。大量のログを送信している環境ではさらに遅れることもあります。そのためログが出力されないと思っても、少し時間をおいてから確認することでログが表示されることがあります。

AWS CloudWatch Logsが出力されない場合のトラブルシューティングでは、ロググループの存在確認、IAMロールの権限確認、CloudWatchエージェントの状態確認、設定ファイルの内容確認、サービス側のログ出力設定確認という順番で調査していくことが重要です。このように順番に確認することで問題の原因を効率的に特定することができます。

クラウド環境ではログの監視やログ分析がシステム運用の基礎になります。CloudWatch Logsの仕組みを理解しておくことで、アプリケーションのトラブルシューティングやシステム監視をスムーズに行えるようになります。AWSを使ったシステム開発やインフラ運用を行う場合は、CloudWatch Logsの基本構造とログが出力されないときの確認ポイントをしっかり理解しておくことが大切です。

CloudWatchエージェント状態確認のサンプル


systemctl status amazon-cloudwatch-agent
amazon-cloudwatch-agent.service - Amazon CloudWatch Agent
Active: active (running)

ロググループ送信設定の例


{
 "logs": {
   "logs_collected": {
     "files": {
       "collect_list": [
         {
           "file_path": "/var/log/messages",
           "log_group_name": "ec2-system-log",
           "log_stream_name": "{instance_id}"
         }
       ]
     }
   }
 }
}

先生と生徒の振り返り会話

生徒

今日の記事でCloudWatch Logsが出力されない原因がよく分かりました。ロググループやIAMロールなど、確認するポイントがいくつもあるんですね。

先生

その通りです。AWSのトラブルシューティングでは、どこで問題が発生しているかを順番に確認することが大切です。特にCloudWatch Logsの場合はロググループ、IAMロール、CloudWatchエージェント、ログ設定などを順番に確認していくと原因を特定しやすくなります。

生徒

IAMロールの権限不足が原因になることが多いという話が印象に残りました。権限設定はAWSではとても重要なんですね。

先生

はい。AWSではサービス同士が連携するためにIAMロールを利用します。CloudWatch Logsへログを書き込むためにも適切なポリシーが必要になります。権限が不足しているとログは送信されません。

生徒

EC2の場合はCloudWatchエージェントが必要で、Lambdaは自動でログが出るという違いも理解できました。

先生

いい理解ですね。AWSのサービスごとにログの仕組みは少し違いますが、CloudWatch Logsに集約されるという点は共通しています。ログ管理の仕組みを理解すると運用がとても楽になります。

生徒

これからAWSのトラブルシューティングをするときは、まずCloudWatch Logsを確認して原因を探すようにします。

先生

それがとても大切です。ログにはシステムの状態やエラーの原因が必ず記録されています。CloudWatch Logsを正しく設定し、ログを確認する習慣をつけることでAWSの運用スキルは大きく向上します。

【AWS】CloudWatch Logsが出力されないときの確認ポイントを初心者向けに解説！ログが出ない原因と対処方法