【AWS】CloudTrail LakeとCloudWatch Logs Insightsの使い分け方針

2025/7/30に行われた「AWSなんでもLT会 LT初心者歓迎！#7」での登壇資料です。
CloudTrail LakeとCloudWatch Logs Insightsの使い分け方針をまとめています。

■リンク
・AWSなんでもLT会 LT初心者歓迎！#7
https://ncdc-dev.connpass.com/event/360707/

Transcript

1. AWSなんでもLT会 #7 CloudTrail Lakeと CloudWatch Logs Insightsの 使い分け方針 鶴ヶ崎 裕真(つるがさき ゆうま)
2. 自己紹介:鶴ヶ崎 裕真（つるがさき ゆうま） 社会人歴 4年目(2022年入社) 2 AWS歴 4年目(入社以来、AWSシステム設計/構築に従事してます) そのほか 2025 Japan AWS Jr. Championsに選出 初AWS SUMMIT JAPANに行った時の写真
3. CloudTrail Lakeとは CloudWatch Logs Insightsとは 両者の比較 両者の使い分け方針 3 Agenda
4.  監査/セキュリティ調査/運用上のトラブルシュー ティングのために、CloudTrailで記録されたイベ ントの集約/不変の保存/クエリに使用できるマ ネージド型データレイク  イベントに対してSQLベースでクエリを実行可能 4 CloudTrail Lakeとは （参照）https://aws.amazon.com/jp/blogs/news/introducing-new-capabilities- to-aws-cloudtrail-lake-to-enhance-your-cloud-visibility-and-investigations/
5.  Amazon CloudWatch Logsのログデータをク エリ実行により分析可能  問題発生した場合は、本機能により潜在的な原 因を特定し、デプロイされた修正を検証すること が可能 5 CloudWatch Logs Insightsとは （参照） https://docs.aws.amazon.com/ja_jp/AmazonCloudWatch/latest/logs/Analyzin gLogData.html
6. 6 CloudTrail LakeとCloudWatch Logs Insightsの違い CloudTrail Lake/CloudWatch Logs Insightsともにクエリ実行可能なことが分かったと思います。 両者にどのような違いがあるのかを示します。 CloudWatch Logs Insights CloudTrail Lake 比較項目 以下3つ - Logs Insights クエリ言語 (Logs Insights QL)) - OpenSearch Service Piped Processing Language (PPL) - OpenSearch Service 構造化クエリ言語 (SQL) SQL クエリ言語 CloudWatch Logsに連携された CloudTrailログ CloudTrail Lake内のCloudTrailログ 分析対象 json形式（行指向） Apache ORC 形式 (列指向) データ保存形式 1クエリでスキャンされたデータ 0.0076 USD/GB ※アジアパシフィック(東京)の場合 1クエリでスキャンされたデータ 0.005 USD/GB ※新規の場合30日間無料 使用料金 ※使用料金は2025年7月15日時点の情報です。最新の情報はリンクよりご確認ください。
7. 7 CloudTrail LakeとCloudWatch Logs Insightsの違い CloudTrail Lake/CloudWatch Logs Insightsのクエリの違いを示します CloudTrail Lakeの場合 CloudWatch Logs Insightsの場合 ※CloudTrail Lakeでは対象期間をクエリ内で指定しましたが、CloudWatch Logs InsightsではGUI上で指定
8. 8 CloudTrail LakeとCloudWatch Logs Insightsの使い分け方針  クエリ言語視点  OpenSearch Serviceのクエリ言語に慣れている場合  CloudWatch Logs Insightsを選択  SQLに慣れている場合  どちらも選択可能  分析データ量視点  膨大なデータを分析する場合  列指向で効率的に分析可能なCloudTrail Lakeを選択  膨大でないデータを分析する場合  どちらも選択可能 CloudTrail Lakeは取り込みタイミングを設定してイベントデータストアに蓄積する仕組みであるため、リアル タイム性という観点ではCloudWatch Logs Insightsの方が優れています。そのため実運用では以下のよ うな役割分担が分かりやすいです。 障害解析 → CloudWatch Logs Insights 監査 → CloudTrail Lake 詳細な使い分けを以下に示します。  リアルタイム性 / 用途視点  リアルタイムのログ分析・障害調査  CloudWatch Logs Insightsを選択 （ログ取り込み後すぐに分析可能）  ⾧期保存・監査・アカウント横断検索  CloudTrail Lakeを選択 （最大7年間保持、マルチアカウント横断検索が可能）  分析対象データ視点  CloudTrailログ + 外部イベントなどを統合的に分析したい場合  CloudTrail Lakeを選択  CloudWatch Logsに集約されたログを柔軟に分析したい場合  CloudWatch Logs Insightsを選択
9. ご清聴ありがとうございました!! 9 X（@aws_tsuru_） Qiita（@tsurunoqiita)