Amazon OpenSearch Service で構築するログ分析基盤 - インデックス設計とダッシュボード構築
ログ分析基盤を構築し、インデックスライフサイクル管理でコストを最適化する。OpenSearch Dashboards と Serverless モードの活用を紹介します。
OpenSearch Service の概要と Serverless
OpenSearch Service は Elasticsearch 互換の検索・分析エンジンのマネージドサービスで、ペタバイト規模のデータに対してミリ秒単位の検索レスポンスを提供します。ログ分析、全文検索、アプリケーションモニタリング、セキュリティ分析に広く使用されています。プロビジョンドドメインではインスタンスタイプとノード数を指定してクラスタを構成しますが、OpenSearch Serverless ではクラスタ管理が完全に不要です。Serverless はコレクション (インデックスのグループ) を作成するだけで、キャパシティが自動スケールします。ログ分析のように取り込み量が変動するワークロードに特に適しています。
ログ収集とインデックス設計
ログの収集は Kinesis Data Firehose 経由が標準的なパターンで、1 秒あたり最大 1,000 レコードのバッチ書き込みに対応します。CloudWatch Logs のサブスクリプションフィルターで Firehose にログを送信し、Firehose が OpenSearch にバッチで書き込みます。インデックスは日次 (logs-2026-04-03) で作成し、検索範囲を日付で限定することでクエリ性能を維持します。マッピング (スキーマ) はインデックステンプレートで事前定義し、フィールドの型 (keyword、text、date、ip) を明示的に指定します。text 型は全文検索に、keyword 型は完全一致とアグリゲーションに使用します。ログの構造が不定の場合は dynamic mapping を活用しますが、フィールド数の爆発 (mapping explosion) に注意が必要です。
ライフサイクル管理とコスト最適化
ISM ポリシーでインデックスのライフサイクルを自動管理します。典型的な設計として、作成後 7 日間はホットノード (高速 SSD) で保持し、 7-30 日は UltraWarm (S3 ベースの低コストストレージ) に移行し、 30-90 日は Cold Storage に移行し、 90 日後に削除するポリシーが挙げられます。 UltraWarm は Hot と比較して最大 90% のコスト削減が可能で、検索性能は若干低下しますが、過去ログの調査には十分です。 OpenSearch Dashboards で Discover (ログの検索)、 Visualize (グラフの作成)、 Dashboard (複数グラフの統合) を使用し、リアルタイムのログ監視ダッシュボードを構築します。 OpenSearch の設計パターンを網羅的に学ぶなら、技術書 (Amazon)を参照してください。
まとめ
OpenSearch Service はログ分析基盤の標準的な選択肢です。Serverless でクラスタ管理を排除し、ISM ポリシーでストレージコストを最適化し、Dashboards でリアルタイム監視を実現します。Kinesis Data Firehose との統合で、AWS サービスのログを自動的に収集・分析する基盤を構築できます。