AWS 環境の最適化診断 - Trusted Advisor によるベストプラクティスチェック

Trusted Advisor の概要と 5 つの診断カテゴリ

AWS Trusted Advisor は、AWS 環境をベストプラクティスに照らして自動診断するサービスです。推奨事項は、コスト削減 / セキュリティ強化 / 可用性向上の機会を見つける手がかりになります。診断は 6 つのカテゴリに分かれ、ここでは運用上の優秀性 (Operational Excellence) を除く 5 つを紹介します。コスト最適化では、未使用 / 低使用率のリソース (EC2、RDS、EBS、Elastic IP、Redshift) を検出し、具体的な削減額を提示します。セキュリティでは、S3 バケットの公開設定、セキュリティグループの過度に開放されたポート、ルートアカウントの MFA 未設定、IAM アクセスキーのローテーションなどをチェックします。耐障害性では、EBS スナップショットの未取得、RDS のマルチ AZ 未設定、Auto Scaling グループの AZ 分散などを確認します。パフォーマンスでは、EC2 インスタンスの高使用率、CloudFront の最適化余地などを検出します。サービス制限では、各サービスのクォータ使用率を監視し、制限の 80% に達した項目を警告します。

サポートプランによるチェック範囲の違い

Trusted Advisor のチェック範囲はサポートプランによって異なります。Basic/Developer プランでは、6 つのコアセキュリティチェックとサービス制限チェックのみが利用可能です。コアセキュリティチェックは、S3 バケットのアクセス許可、セキュリティグループの無制限アクセス (0.0.0.0/0)、IAM の使用状況、ルートアカウントの MFA、EBS パブリックスナップショット、RDS パブリックスナップショットの 6 項目です。Business 以上のサポートプランでは、すべてのチェック項目を使え、AWS Support API 経由でプログラムからも利用できます。コスト最適化チェックは削減の見込み額を示すため、サポートプランの費用と比べてアップグレードの費用対効果を試算する材料になります。

コスト最適化チェックの実践

Trusted Advisor のコスト最適化チェックは、具体的な削減額とともに推奨事項を提示します。主なチェック項目と典型的な検出例を紹介します。 EC2 の低使用率インスタンスでは、過去 14 日間の CPU 使用率が 10% 以下のインスタンスを検出し、ダウンサイジングまたは停止を推奨します。アイドル状態の RDS インスタンスでは、過去 7 日間に接続がないインスタンスを検出します。未関連付けの Elastic IP アドレスは、 EC2 に関連付けられていない EIP を検出します (未使用の EIP は 1 個あたり約 3.6 USD/月の課金)。未使用の EBS ボリュームは、どのインスタンスにもアタッチされていないボリュームを検出します。 Savings Plans と Reserved Instance の推奨では、過去の使用パターンに基づいて購入プランを提案します。これらのチェック結果は .xls のファイルとしてダウンロードでき、定期的なコストレビューの入力データとして活用できます。

自動化と Organizations 統合

Trusted Advisor は EventBridge との統合により、チェック結果の変化をイベントとして検知できます。たとえば、新たにセキュリティ警告が検出された場合に SNS で通知を送信したり、Lambda で自動修復アクションを実行したりできます。

# Trusted Advisor チェック結果の取得 (Business/Enterprise プラン)
aws support describe-trusted-advisor-checks \
  --language ja \
  --region us-east-1 \
  --query 'checks[?category==`cost_optimizing`].{id:id,name:name}'

# 特定チェックの結果を取得
aws support describe-trusted-advisor-check-result \
  --check-id Qch7DwouX1 \
  --language ja \
  --region us-east-1

AWS Organizations との統合により、組織ビューで全アカウントの Trusted Advisor 結果を一元的に集約できます。管理アカウントのダッシュボードから、どのアカウントにどのような推奨事項があるかを横断的に確認でき、組織全体のコスト最適化やセキュリティ改善を効率的に推進できます。Trusted Advisor の API は us-east-1 リージョンでのみ利用可能な点に注意してください。

Trusted Advisor Priority と TAM 連携

Trusted Advisor Priority は Enterprise Support プランで利用できる機能で、AWS のテクニカルアカウントマネージャー (TAM) がキュレーションした優先度付きの推奨を提供します。組織全体のリスクを優先度順に表示し、影響の大きい改善項目から順に対応できます。通常の Trusted Advisor チェックが全項目をフラットに一覧するのに対し、Priority では TAM が顧客環境の特性を踏まえて重要度を判断し、対応の順序を考える手がかりになります。未使用 EIP の解放やパブリックアクセス可能な S3 バケットのブロックなど、検出された問題に対して Lambda を使った自動修復ワークフローを EventBridge 経由で構築すると、こうした問題の一部を人手を介さずに直す仕組みになります。

まとめ - Trusted Advisor の活用指針

AWS Trusted Advisor は、AWS 環境のコスト / セキュリティ / 耐障害性 / パフォーマンス / サービス制限を自動診断するサービスです。Basic プランでも 6 つのコアセキュリティチェックが無料で利用でき、Business 以上のプランですべてのチェック項目と API アクセスが使えるようになります。コスト最適化チェックによる具体的な削減額の提示、サービス制限の事前警告、EventBridge 連携による自動化が主な活用ポイントです。月次のコストレビューや四半期のセキュリティ監査の入力データとして、Trusted Advisor の結果を定期的に確認することを推奨します。