S3 アクセスログは CloudWatch Logs にも出せる、バケット配信との違いと料金

S3 のサーバーアクセスログを CloudWatch Logs に直接配信する経路が、2026年10月21日の AWS の発表で全 AWS リージョンに揃った。今回加わったのは AWS GovCloud (US) リージョン、AWS European Sovereign Cloud、AWS China リージョンで、発表の見出しでは「5つの追加リージョン」と数えている。

バケットに出すか CloudWatch Logs に出すかで変わるのは、ログが届いた後に何ができるかと、何に課金されるかだ。CloudWatch Logs に入れると、届いた時点でクエリでき、アラームを設定でき、AWS KMS キーで暗号化できる。その分、CloudWatch Logs の vended logs 料金がかかる。既存の S3 汎用バケットへの配信はなくならず、発表は CloudWatch Logs への経路をその補完策と位置づけている。

2つの配信先を発表の記述で並べる

配信先	発表での位置づけ	発表が挙げる用途	料金についての記述
S3 汎用バケット	既存の配信経路	記載なし	記載なし
CloudWatch Logs	今回全リージョンに揃った経路	到着時点でのクエリ、アラーム、KMS キーでの暗号化	CloudWatch Logs の vended logs 料金がかかる

出典：AWS What’s New「Amazon S3 server access log delivery to Amazon CloudWatch Logs now available in five additional AWS Regions」（2026年10月21日）

表のバケット側が「記載なし」ばかりなのは、発表が CloudWatch Logs 側の説明に絞っているからだ。バケット配信でクエリや暗号化ができないと書かれているわけではない。この表から読み取れるのは、CloudWatch Logs 側の利点として AWS が何を挙げたかという点に限られる。

CloudWatch Logs に入れると何が楽になるか

発表は、CloudWatch Logs への配信で次のことができるとしている。

• エラー率に対するアラームの設定
• トラフィックパターンの監視
• アクセスに関するインシデントの調査
• S3 へのアクセスを他の運用データと突き合わせる

共通するのは「ログが届いたらすぐ使う」用途だ。アプリケーションログやメトリクスをすでに CloudWatch に集めているチームなら、S3 のアクセスもそこに並ぶ。エラー率の上昇を監視の仕組みに乗せたい場合、配信先を変えるだけで選択肢に入る。

暗号化の要件がある環境では、AWS KMS キーで暗号化できることが判断材料になる。どのキーを使うか、キーポリシーに何が必要かは発表に書かれていないので、設定する前に S3 と CloudWatch Logs の利用ガイドで確認しておきたい。

料金は CloudWatch 側に発生する

発表が料金について言っているのは、CloudWatch Logs の vended logs 料金がかかるという一点だけだ。単価や、ログ量に応じた段階があるかどうかは発表に載っていない。アクセスログの配信量が多い環境では料金への影響が大きくなる可能性があり、金額は CloudWatch の料金表で vended logs の項目を見て見積もる必要がある。

どちらを選ぶか

判断の軸は、ログをすぐ見る必要があるかどうかだ。アラームや即時のクエリでアクセスを監視したいなら CloudWatch Logs が向いている。保管や後からの分析が目的で、今のバケット配信で困っていないなら、vended logs 料金を新たに負ってまで切り替える理由は発表からは見えない。

日本の商用リージョンで使っている読者にとって、今回の追加地域に東京・大阪は含まれない。発表が「全 AWS リージョンで利用可能」と書いている以上、東京・大阪ではこの日より前から使えていたと推測できるが、開始時期は発表に書かれていない。GovCloud (US)、European Sovereign Cloud、中国リージョンでワークロードを動かしているチームにとっては、この発表で初めて選べるようになった経路になる。

ログ配信先を用途で選び分ける話は、API Gateway の実行ログの配信先でも出てきた。S3 でも同じように、監視に使うログと保管しておくログを分けて考えると選びやすい。