変更要約: 軸B網羅: 開発者ツール/運用管理(CI-CD・Grafana/Prometheus・Proton・Amplify/Device Farm)のカタログ節(s4)を追加
3.1運用の可観測性と自動化
既存環境を改善する観測と運用——CloudWatch（メトリック/ログ/アラーム）、X-Ray（分散トレース）、CloudTrail（API 監査）、Systems Manager、自動化——を理解します。問題を早く見つけ、運用を自動化します。
改善はまず計測から。メトリック・ログ・トレース・監査を集め、アラームと自動化で運用を回します。
3.1.1可観測性のスタック
- CloudWatch：メトリック/ログ/アラーム。閾値超過で通知や自動アクション（スケール等）を起動。
- X-Ray：マイクロサービス間の分散トレースで遅延やボトルネックを特定。
- CloudTrail：API 呼び出しの監査ログ（誰が・いつ・何を）。セキュリティ/コンプライアンスに必須。
- Systems Manager：パッチ適用・構成変更・自動化（Automation/Run Command）を集中管理。
「メトリック/ログ/アラーム＝CloudWatch」「分散トレースで遅延特定＝X-Ray」「誰が何をしたかの API 監査＝CloudTrail」「パッチ/構成自動化＝Systems Manager」 は SAP-C02 で頻出です。CloudTrail は監査、CloudWatch は監視と覚え分けましょう。
CloudWatch アラーム→SNS→Lambda/Auto Scaling という連携で、検知から修復までを自動化できます。組織全体の監査には CloudTrail を組織証跡（organization trail）で一元集約します。
SAP-C02 では「どのテレメトリをどのサービスで集めるか」を正確に切り分ける力が問われます。CloudWatch は数値メトリックとログ、しきい値ベースのアラームを担い、複数アカウントの観測値はクロスアカウント可観測性（observability access manager）で監視アカウントに集約できます。X-Ray はリクエスト ID を伝播させてサービスマップを描き、どのセグメントで遅延やエラーが発生したかを示します。CloudTrail は API レベルの「誰が・いつ・どの操作を」を不変ログとして残し、管理イベント（リソース操作）とデータイベント（S3 オブジェクト/Lambda 呼び出しなど高頻度操作）を分けて記録できます。Systems Manager は SSH/RDP を開けずに Session Manager で接続し、Patch Manager で OS パッチを波状適用、Automation ランブックで複数ステップの運用を冪等に自動化します。これらを EventBridge と組み合わせれば、検知から是正までを人手を介さず回せます。
| 観測の目的 | 使うサービス | 何を見るか |
|---|---|---|
| 数値の傾向・閾値超過 | CloudWatch メトリック/アラーム | CPU・遅延・エラー率など |
| リクエストの経路と遅延 | X-Ray | サービスマップ・セグメント別の所要時間 |
| 誰が何の操作をしたか | CloudTrail | API 呼び出しの監査ログ（管理/データイベント） |
| 構成変更・パッチの自動化 | Systems Manager | Run Command/Patch/Automation の実行履歴 |
シナリオ：本番 API のレイテンシが断続的に悪化するが、CloudWatch の平均値では原因が分からない。→ X-Ray でトレースを有効化し、サービスマップで特定の下流（例: 外部 DB 呼び出し）のセグメントが p99 を押し上げていると判明。同時に CloudWatch アラームを p99 レイテンシに設定して再発を即検知し、Systems Manager Automation でキャッシュ再起動ランブックを自動実行する構成にします。
FAQ：CloudTrail と CloudWatch Logs の違いは？ CloudTrail は「API 操作の監査記録」（誰が・いつ・何を呼んだか）に特化し、CloudWatch Logs は「アプリ/OS が出力する任意のログ」を集約・検索する基盤です。CloudTrail のログを CloudWatch Logs に送って、特定 API 呼び出しでメトリックフィルタ→アラームを発火させる、という併用がよく問われます。
ひっかけ：「リソース構成の変更履歴と準拠評価」を問われて CloudTrail を選ぶのは誤り。それは AWS Config の役割です。CloudTrail は「API コールの監査」、Config は「構成の状態とコンプライアンス」と切り分けます。
3.1.2この節のまとめ
- 監視＝CloudWatch／トレース＝X-Ray／監査＝CloudTrail
- 自動化＝Systems Manager（パッチ/構成/Automation）
進捗の記録にはログインが必要です。
理解度チェック
（軽い確認用）Q1. マイクロサービス間でリクエストがどこで遅延しているかを、エンドツーエンドのトレースで特定したい。何を使いますか？
Q2. セキュリティ調査のため「誰が・いつ・どの API を呼んだか」を記録した監査ログが必要です。何を使いますか？
Q3. 数百台の EC2 へのパッチ適用と構成変更を、SSH せずに集中管理・自動化したい。何を使いますか？