新しいログ監査サービスは、Alibaba Cloud サービスとランタイム環境全体のログ収集を一元化し、コンプライアンスとデータガバナンスの要件を満たすのに役立ちます。
ログ監査サービスを利用する理由
企業がクラウドへ移行するにつれて、大規模なログの管理と監査が極めて重要になります。
ログ監査は法的要件です。サイバーセキュリティ法やデータセキュリティ法などの規制では、ネットワークの状態を監視し、セキュリティイベントを記録し、ログを少なくとも 6 か月間保持することが義務付けられています。
データコンプライアンスでは、地域の規制に従ってリージョンをまたいでデータを管理しつつ、秩序あるクロスリージョンでのデータフローを可能にする必要があります。
新しいログ監査サービスは、クラウドサービスとランタイムの両方のデータインジェストをサポートすることでこれらの課題に対処します。プロジェクトをまたいでログを一元化、照会、分析し、各地域のコンプライアンス要件を満たすことができます。
基本機能
Simple Log Service (SLS) をベースに構築されたログ監査サービスは、以下の機能を追加します：
クラウドサービスのログのインジェスト
クラウドサービスのカバレッジ：ストレージ (SLS、OSS)、ネットワーキング (CLB、ALB、VPC、DNS)、データベース (RDS、PolarDB)、セキュリティ (Security Center、Cloud Firewall、WAF、Anti-DDoS)、監査 (ActionTrail、CloudConfig) をサポートします。Elastic Compute Service (ECS) インスタンスの操作ログは、ログ監査サービスの直接のサポート範囲外です。ECS の操作ログを SLS にインジェストするには、LoongCollector (Logtail) を使用してホストのテキストログを収集します。詳細については、「ホストからリアルタイムでテキストログを収集」をご参照ください。
ログの自動収集：クラウドサービスを接続すると、ログは自動的に宛先の Logstore に書き込まれます。新しいインスタンスやプロパティの変更は、ルールに基づいて検出、収集されます。
オーケストレーションされた収集ルール：リソース選択モードとして、すべてのリソース、インスタンスによるフィルタリング、プロパティによるフィルタリングの 3 つが利用可能です。
データのクロスリージョン集約：データ変換を使用して、リージョンをまたいでログを集約します。SLS は、デフォルト Logstore と集中 Logstore 間の配信関係に基づいて、変換タスクを自動的に作成します。
複数のログセンター：ログを一度インジェストし、データ変換を通じて異なるプロジェクトや Logstore に集約します。たとえば、中国 (北京) と中国 (杭州) のログを上海に集約したり、マレーシアとインドネシアのログをシンガポールに集約したりできます。
Resource Directory 経由のマルチアカウントサポート：管理者または委任された管理者アカウントは、すべてのメンバーアカウントからログを集約できます。
ランタイムログのインジェスト
ランタイムのログ収集：Logtail を使用して、Tetragon や Falco などのオープンソースエージェントからランタイムログを Logstore に収集します。
Systemd ジャーナルログ：Logtail を使用して、Docker や Kubernetes 環境のコンテナホストを含む Systemd ジャーナルログを収集します。
仕組み
クラウドサービスのログのインジェスト
クラウドサービスのログは、まずそれぞれのデフォルト Logstore に保存されます。
クラウドサービスのログとその Logstore 名は、「クラウドサービスからのログ収集に関する注意事項」に記載されています。
クラウドサービスのインスタンスが複数の収集ルールに一致する場合、少なくとも 1 つのルールが一致すれば、そのログはデフォルト Logstore に収集されます。
ログ監査サービスは、デフォルト Logstore から関連プロジェクトにログを集約するためのデータ変換タスクを自動的に作成します。
ログタイプは、設定した収集ルールによって決定されます。
このサービスは、各リージョンで新規または変更されたインスタンスを自動的に検出し、それに応じて収集ルールを更新します。
Resource Directory の管理者アカウントまたは委任された管理者アカウントがマルチアカウント収集ルールを設定した場合、ログはまず各メンバーアカウントのデフォルト Logstore に収集され、その後、自動データ変換ジョブを通じて管理者または委任された管理者アカウントの集中 Logstore に集約されます。
収集ルール 1：リージョンプロパティに基づいてログを収集します。中国 (杭州) および中国 (深圳) リージョンからのクラウドサービスログを、
xxx_log_centerという名前の集中 Logstore に配信します。この Logstore は、集中プロジェクトcenter-A-cn-shanghaiに属します。収集ルール 2：リージョンプロパティに基づいてログを収集します。シンガポールリージョンからのクラウドサービスログを、
xxx_log_centerという名前の集中 Logstore に配信します。この Logstore は、集中プロジェクトcenter-A-ap-southeast-1に属します。
収集ルールを保存した後、データが集中 Logstore に流れるまで約 10〜15 分かかります。この間、繰り返し操作する必要はありません。集中 Logstore にデータが表示されない場合は、以下をお試しください：
収集ルールを再保存して、再収集をトリガーします。
それでもデータが表示されない場合、資産同期の問題が原因である可能性があります。テクニカルサポートに連絡して、手動で資産同期をトリガーしてください。同期が完了してから約 10 分後にデータが表示されます。
RDS 監査ログが表示されるまでには約 5 分かかります。
ランタイムログのインジェスト
Docker および Kubernetes 環境では、Tetragon と Falco を使用してコンテナのランタイムログをディレクトリファイルまたは標準出力に収集し、Logtail を通じて SLS Logstore に配信します。
適用シナリオの比較
新しいログ監査サービス vs. 旧ログ監査サービス
バージョン比較 をご参照ください。
新しいログ監査サービス vs. CloudLens for PolarDB
ログ監査サービスと CloudLens for PolarDB はどちらも PolarDB 監査ログを有効にできます。次の表は、シナリオごとにこれらのソリューションを比較したものです。
シナリオ | 推奨ソリューション | 利点 |
ログ収集の手動制御 | CloudLens for PolarDB を使用します。 | シンプルな操作と柔軟な設定。 |
クラウドサービスログの自動収集 | Simple Log Service (SLS) の API を使用して、クラウドサービスログの収集を自動化します。 | 一括設定。 |
クロスリージョンでの集中ダンプ | 新しいログ監査サービスのコンソールで関連ルールを有効にします。 | リアルタイムのクロスリージョンログ同期により、データコンプライアンス要件を満たすことができます。 |
マルチアカウントでの集中ログ配信 (Resource Directory ベース) | 新しいログ監査サービスのコンソールで関連ルールを有効にします。 | 複数アカウントのログを統合管理することで、エンタープライズレベルのデータガバナンスニーズを満たすことができます。 |
新しいログ監査サービス vs. クラウドサービスコンソール
次の表は、Security Center と WAF のログ収集方法を比較したものです。
クラウドサービス | クラウドサービスコンソール | 新しいログ監査サービス |
[Security Center] | Security Center コンソールで Simple Log Service (SLS) を有効にしてログインログを収集します。 | ログ監査サービスは集中配信にのみ使用されます。以下のシナリオでログ監査サービスコンソールを使用します：
|
[WAF] |
制限
現在、ログ監査サービスはパブリッククラウドでのみ利用可能です。
新しいログ監査サービスはパブリックプレビュー段階です。問題が発生した場合は、チケットを送信 してください。
課金
ログ監査サービス自体は無料です。有効にすると、ログのストレージとトラフィックに対して課金されます。料金には以下が含まれます：
料金タイプ | 説明 |
クラウドサービスログのデフォルト Logstore の料金 |
|
データ変換料金 |
|
ログ監査サービスに関連する Logstore の料金 |
|
クラウドサービスの機能料金 | 一部のログでは、まずクラウドサービスの機能を有効にする必要があり (例：VPC フローログのフローログ機能、RDS 監査ログの SQL Explorer 機能)、そのサービスから追加料金が発生します。「クラウドサービスからのログ収集に関する注意事項」。 |
ランタイムログ料金 | 標準の Logstore と同じで、追加料金はありません。課金項目：「機能別課金方式の課金項目」、「取り込みデータ量課金方式の課金項目」。コストを削減するには：「ログストレージのコストを削減するにはどうすればよいですか？」。 |
クラウドサービスのインジェストタイプ
ログ監査サービスは、クラウドサービスのインジェストを以下のタイプに分類します。特定の制限については、「クラウドサービスからのログ収集に関する注意事項」に記載されています。
クラウドサービスのインジェストタイプ | 分類基準 | 制限と説明 | 対象となるクラウドサービスとログタイプ |
インスタンスクラス | インスタンス ID、リージョン、またはタグによってインスタンスレベルで設定されたルール。 | ログは、インスタンスが所在するリージョンの Logstore に配信されます。 クラウドサービス収集ルールの配信ルールによって作成されたログストアは、デフォルトのインデックス設定を使用します。インデックス設定をカスタマイズする場合は、インデックス設定ページで [自動更新] スイッチをオフにしてください。そうしない場合、サービスが更新されるとインデックス設定はデフォルトにリセットされます。詳細については、「インデックスを作成する」をご参照ください。 |
|
グローバルログ | グローバルレベルでのみ設定されたルール。 | ログは固定リージョンの Logstore に配信されます。 |
|
セキュリティ | ルールはリソースプロパティモードを使用して、デフォルトの配信リージョンを取得します。 | ログ収集は、まずクラウドサービスコンソールで有効にする必要があります。ログ監査サービスは、これらのログの集中管理と処理のみを行います。 |
|
ActionTrail と CloudConfig | 収集ルールは不要です。Logstore 名によって関連付けが行われます。 | クラウドサービスコンソールで追跡または配信ルールを設定し、現在のプロジェクトに関連付けます。 |
|