[JAWS-UG 横浜支部 #91]DevOps Agent vs CloudWatch Investigations -比較と実践-

Transcript

1. 2025年12月8日 JAWS-UG横浜 #91 AWS re:Invent 2025 宇宙一早い re:Cap DevOps Agent vs CloudWatch Investigations -比較と実践- #jawsugyokohama
2. 自己紹介 >深津 新太郎 PM ＠ 事業会社の情報システム子会社 オンプレ/ハイブリッドシステムの運用・開発・リプレイス担当 >re:Invent 2022､2023､2024、2025参戦 >Community Builder(Cloud Operations)2025 >好きなAWSサービス S3、CloudWatch、FIS
3. 予想は…
4. DevOps Agent
5. DevOps Agent 運用現場での課題 膨大なテレメトリ、切り分け時間、複数ツールの切替 AIエージェントが原因の調査・仮説生成で時間短縮 CloudWatch Investigationsと同じでは？
6. CloudWatch Investigations （re:Invent 2024 & 2025/6GA） - アラーム発生時の自動調査機能、根本原因・仮説の自動提示
7. DevOps Agent & CloudWatch Investigations 生成AIが解析、根本原因の候補を示す メトリクス・ログ、デプロイイベント等を参照して関連性を示す ユーザーがAIの提案をレビューして確定させる Runbooks / SSM Automation 等と連携した復旧案を提案する データへのアクセス権限設定を付与する
8. DevOps Agent vs CloudWatch Investigations 自律性 / 行動の範囲 DevOps Agent CloudWatch Investigations 分析・仮説提示を都度実行（単発で調査） 復旧は人が実行 より自律的に調査・改善案提示できるよう学習 将来的には自動復旧や継続的改善を行うことが目標
9. DevOps Agent vs CloudWatch Investigations 統合範囲 DevOps Agent CloudWatch Investigations CloudWatch＋AWS内の情報を横断して分析する 主に「調査補助」用途 リポジトリ/CI･CD/Runbook/SaaSを横断して学習する Agent Space概念
10. DevOps Agent vs CloudWatch Investigations 導入 DevOps Agent CloudWatch Investigations CloudWatchコンソール中心で即利用可 「Agent Space」の作成 アクセス定義・権限付与等の初期設定がより重要 (Aegnt Space/web app)
11. DevOps Agent vs CloudWatch Investigations Cfnで誤って更新 Chatで依頼 DevOps Agent
12. CloudWatch Investigations 根本原因は、incident-test- consumer Lambda関数における IAM権限の拒否です。コンシュー マーには、対象のDynamoDBテー ブルに対するdynamodb:PutItem 権限がないため、体系的なメッ セージ処理エラーが発生し、デッ ドレターキューに蓄積され、イン シデントアラームがトリガーされ ます。影響: incident-test- consumer Lambda関数が DynamoDBへの書き込み権限不足 によりSQSメッセージを正常に処 理できなかったため、インシデン ト発生期間中にincident-test-dlq 関数に失敗したメッセージが蓄積 されました。 原因の特定が行えているが、変更の契機までは踏み込んでいない
13. CloudWatch Investigations Incident Reports ポストモーテムが自動で作成される、アップデートも可能
14. IAMロール（investigationTest- ConsumerLambdaRole- fwdK9dpeGhse）から、 CloudFormationスタック更新により dynamodb:PutItem権限が削除された ためです。この権限は、08:27:44Z （最初のエラースパイクの発生時刻 08:28:00Z 以前）および 08:53:43Z （2 回目のエラースパイクの発生時刻 08:54:00Z 以前）に削除され、 DynamoDB の読み取り専用権限に置 き換えられました。PutItem権限がな いため、Lambda関数はincident-test- messages DynamoDBテーブルへの書 き込みができず、すべての処理試行で AccessDeniedExceptionエラーが発生 しました。 DevOps Agent 原因の特定に加えて、Cfnによるアップデートまでしっかり把握している
15. DevOps Agent vs CloudWatch Investigations 導入の流れ（案） CloudWatch Investigationsで、本番環境の調査 → 仮説生成 の自動化 （GA済、低リスク・即効性） 復旧コマンドをエンジニアがレビュー DevOps Agentをステージング環境で構築。読み取り専用で導入 （GA待ち） 最小権限の確認や監査対応面の課題を確認 データアクセスのスコープ管理なども検証 DevOps Agentを本番で運用 自律的な復旧範囲を順次拡大 （GAしたら） それに伴い、必要な権限を付与 1 2 3
16. まとめ 両サービスの目的は似つつも、自立性に違い AI任せではなく、エンジニアがオーナーシップを持つ そのためにも、段階導入が鍵 DevOps Agent vs CloudWatch Investigations
17. ※本資料に記載されている会社名、製品名、サービス名、写真は各社の商標または登録商標です Share your lessons