概要
Amazon CloudWatch Logsにアカウントレベルの保持ポリシー機能が追加され、1つのポリシーでAWSアカウント内の全ロググループまたは特定のサブセットに対してログの保持期間を一括設定できるようになりました。追加料金なしで利用できます。
変更内容
- アカウント内の全ロググループ、またはプレフィックスで絞り込んだロググループに対して保持ポリシーを一括適用できるようになった
- 既存のロググループのみ、新規のロググループのみ、または両方に適用するかを選択できるようになった
- 複数のポリシーが同一ロググループに一致する場合、最も長い保持期間が適用されるルールが導入された
- アカウントおよびリージョンごとに最大20件のポリシーを作成・管理できる
- AWS Management Console、AWS CLI、AWS SDKsからポリシーの作成・管理が可能になった
- 追加料金なしで利用できる
公式発表で確認できる事実
- Amazon CloudWatch Logsにアカウントレベルの保持ポリシー機能が追加された
- 1つのポリシーでアカウント内の全ロググループ、または
/aws/lambdaのようなプレフィックスで始まる特定のロググループに保持期間を適用できる - 既存のロググループに適用するか、新規のロググループのみに適用するかを選択できる
- 複数のポリシーが同一ロググループに一致する場合、最も長い保持期間が適用される
- アカウントおよびリージョンごとに最大20件のポリシーを作成・管理できる
- AWS Management Console、AWS CLI、AWS SDKsで作成・管理が可能
- 追加料金なしで利用できる
- Middle East (Bahrain) および Middle East (UAE) を除く全商用AWSリージョンで利用可能
当サイトの考察
これまでCloudWatch Logsの保持期間はロググループごとに個別設定が必要であり、新規ロググループが作成されるたびに設定漏れが発生するリスクがありました。アカウントレベルポリシーの導入により、特にLambdaやその他のAWSサービスが自動生成するロググループに対しても、確実に保持ポリシーを適用できるようになります。
また、複数ポリシーが競合した場合に「最長期間が優先」されるルールは、セキュリティ・監査要件を満たすための長期保持ポリシーが誤って短い期間で上書きされないことを保証するものであり、コンプライアンス管理の観点から有用な設計です。
確認できていない事項
- 東京リージョン（ap-northeast-1）および大阪リージョン（ap-northeast-3）での提供有無は資料に明記されていない（「全商用リージョン（一部除く）」とのみ記載）
- アカウントレベルポリシーと既存のロググループ個別設定が競合した場合の優先順位の詳細（資料では複数のアカウントレベルポリシー間の競合ルールのみ言及）
- 東京（ap-northeast-1）と大阪（ap-northeast-3）での提供は、公式記事からは確認できていません。
この記事は、AWS 公式の発表をもとに AI が作成し、自動で公開しています。
既存環境への影響
プラットフォームチームやセキュリティチームは、個々のロググループを追跡することなく、アカウント全体の保持基準を一元管理できます。例えば、アカウント全体に90日のベースラインを設定しつつ、/securityで始まるロググループには1年のポリシーを適用するといった運用が可能です。既存のロググループへの適用有無を選択できるため、段階的な移行も行えます。
対応の必要性
既存環境でロググループごとに個別に保持期間を管理している場合、アカウントレベルポリシーへ移行することで管理コストを削減できます。ただし、既存の個別設定との競合ルール（最長期間が優先）を確認した上で設定することを推奨します。
利用可能リージョン
- 東京（ap-northeast-1）
- 未確認
- 大阪（ap-northeast-3）
- 未確認
公式記事に東京（ap-northeast-1）と大阪（ap-northeast-3）の記載がないため、未確認としています。
AWS 公式情報
- Amazon CloudWatch Logs announces account-level retention policies（Amazon Web Services・新しいタブで開く）
公式発表：2026/11/10 07:15 取得：2026/11/11 06:01
当サイトの記事は公式情報をもとに編集したものです。正確な内容は必ず AWS 公式情報をご確認ください。
