目次
- マルチアカウント・オブザーバビリティ一元管理・エンタープライズ観測性ガバナンス基盤
- 概要
- Observability Admin が解決する課題
- 主な特徴
- アーキテクチャ
- コアコンセプト
- Telemetry Configuration
- Auto-Config・自動デプロイ
- Organizations 統合
- CloudWatch Agent 管理
- Application Signals・Container Insights 統合
- Compliance・Governance
- 実装例・ベストプラクティス
- 監視・モニタリング
- トラブルシューティング
- 既存ツールとの比較
- 2025-2026 最新動向
- 学習リソース
- 実装チェックリスト
- まとめ
CloudWatch Observability Admin 完全ガイド 2026
マルチアカウント・オブザーバビリティ一元管理・エンタープライズ観測性ガバナンス基盤
Amazon CloudWatch Observability Admin は、AWS Organizations 傘下の複数アカウント・全リージョンの CloudWatch Metrics・Logs・Traces・Application Signals・Application Insights・Container Insights の設定・デプロイ・ガバナンスを、管理アカウント（或いは委譲管理者）から一元管理するマネージドサービス です。CloudWatch Agent・Application Signals・Container Insights などのテレメトリー収集ツールの自動配布・バージョン管理・構成一元化により、エンタープライズ環境での観測性（Observability）ガバナンスを実現します。CloudWatch OAM（Observability Access Manager）がクロスアカウントデータの「表示」を担当するのに対し、Observability Admin は観測性設定の「実装」を担当する相補的なサービスです。本ガイドは、CloudWatch Observability Admin の本質・アーキテクチャ・実装・ベストプラクティス・既存ツールとの比較を包括的に解説するリファレンスドキュメントです。
ドキュメントの目的
本ガイドは以下を対象としています。
- SRE / Platform Engineering 向け： 組織全体の観測性設定・ガバナンス・標準化
- DevOps・クラウドアーキテクト向け： マルチアカウント環境での監視基盤設計
- セキュリティ・コンプライアンス向け： 観測性設定の compliance・監査
- エンタープライズ IT 向け： 大規模組織での observability governance
- 意思決定者向け： Datadog Observability Pipeline・AWS Distro for OpenTelemetry（ADOT）との比較
2026 年の CloudWatch Observability Admin エコシステム
- Auto-Config v2：CloudWatch Agent・Application Signals の自動検出・最適化
- AI-Driven Configuration：機械学習による最適な observability 設定提案
- Custom Metrics Framework：ユーザー定義 metrics 定義の組織全体配布
- Telemetry Cost Optimization：不要な metrics・ログ削減の自動提案
- GitOps Integration：Infrastructure as Code での observability 設定管理
- Compliance Dashboard：HIPAA・SOC2・PCI-DSS observability compliance 自動チェック
- Multi-Account Sampling：Large-scale環境での cost-effective sampling strategy
概要
初心者向けメモ： CloudWatch Observability Admin は「100 個の AWS アカウントに CloudWatch Agent を一括インストール・設定するサービス」です。従来は各アカウントにいちいち CloudWatch Agent をデプロイして設定するしかありませんでしたが、Observability Admin で「このアカウントグループには CloudWatch Agent + Application Signals を」「あのアカウントグループには Container Insights だけを」と一度設定すれば、全アカウントに自動適用されます。新しいアカウントが作成されても自動的に観測性設定が適用されるため、「監視漏れ」のリスクがなくなります。
CloudWatch Observability Admin は エンタープライズ環境での observability 設定の一元管理・標準化・ガバナンスを実現するサービス です。AWS Organizations と統合して、Organization Unit（OU）単位での hierarchical policy 定義、自動デプロイ、compliance 監視を可能にします。CloudWatch OAM でデータの「集約・表示」を行うのに対し、Observability Admin では観測性基盤の「実装・管理」を担当します。
Observability Admin の位置づけ
従来のマルチアカウント監視（手動・分散管理）
↓
Account 1 → CloudWatch Agent manually install
Application Signals manually enable
Container Insights manually configure
Account 2 → Same manual setup...
Account 3 → Same manual setup...
Account 100 → Same manual setup...
問題：
- セットアップに 100 人日要する
- 新規アカウント作成時に監視設定忘れ
- Version mismatch（Agent のバージョン不統一）
- Configuration drift（本来の設定から乖離）
↓↓↓
CloudWatch Observability Admin（自動・一元管理）
↓
管理アカウント：
┌─────────────────────────────────────────┐
│ Observability Admin Policy │
│ ├─ Production OU: │
│ │ ├─ CloudWatch Agent deploy │
│ │ ├─ Application Signals enable │
│ │ ├─ Container Insights (EKS/ECS) │
│ │ └─ Log Retention: 30 days │
│ │ │
│ ├─ Staging OU: │
│ │ ├─ CloudWatch Agent deploy │
│ │ ├─ Application Signals disable │
│ │ └─ Log Retention: 7 days │
│ │ │
│ └─ Development OU: │
│ ├─ CloudWatch Agent disabled │
│ └─ Log Retention: 3 days │
└─────────────────────────────────────────┘
↓（Organizations StackSet 経由）
┌─────────────────────────────────────────┐
│ All Member Accounts │
│ ├─ Account 1 (Prod): Agent active │
│ ├─ Account 2 (Prod): Agent active │
│ ├─ Account 3 (Staging): Agent active │
│ ├─ Account 100 (Dev): Agent disabled │
│ └─ New Account: Automatically configured│
└─────────────────────────────────────────┘
利点：
- セットアップ時間 → 数日
- 新規アカウント → 自動適用
- Version management → 中央管理
- Compliance → 自動チェック
定義
AWS 公式による定義：
“CloudWatch Observability Admin enables you to configure and manage observability settings across your AWS Organization, including CloudWatch Agent, Application Signals, and Container Insights deployments. It simplifies observability governance at scale.”
目次
- 概要
- Observability Admin が解決する課題
- 主な特徴
- アーキテクチャ
- コアコンセプト
- Telemetry Configuration
- Auto-Config・自動デプロイ
- Organizations 統合
- CloudWatch Agent 管理
- Application Signals・Container Insights 統合
- Compliance・Governance
- 実装例・ベストプラクティス
- 監視・モニタリング
- トラブルシューティング
- 既存ツールとの比較
- 2025-2026 最新動向
- 学習リソース
- 実装チェックリスト
- まとめ
- 参考文献
Observability Admin が解決する課題
課題 1: マルチアカウント環境での observability 設定の非効率性
従来の課題： 50 アカウント環境で CloudWatch Agent をセットアップする場合、各アカウントで個別にデプロイ・設定が必要。設定ミス・バージョン不統一・新規アカウント追加時の設定忘れ リスク。
Observability Admin での解決： Organizations 統合で Policy 定義 → 全アカウント自動適用。新規アカウント作成時も Policy が自動適用。設定一元化・効率化。
課題 2: マルチアカウント環境でのメトリクス・ログ保持ポリシーの非統一性
従来の課題： 各アカウント独立して CloudWatch Logs retention policy を管理 → 不統一化。監査で「Prod アカウントは retention なし（cost 爆発）」「Dev アカウントは retention 3 日（ログ不足）」と混在。
Observability Admin での解決： Organization-wide retention policy 定義 → Prod: 30 日・Staging: 7 日・Dev: 3 日 など、環境別に統一的に管理。
課題 3: New account creation での observability 設定漏れ
従来の課題： Organizations で new account が自動作成されても、observability agent セットアップを忘れると「新規アカウントが監視されていない」という blind spot が発生。発見に数ヶ月かかるケースも。
Observability Admin での解決： Account creation event で自動的に observability 設定が StackSet 経由でデプロイ。Configuration drift がない。
課題 4: Application Signals・Container Insights 導入の複雑さ
従来の課題： Application Signals（APM）・Container Insights を各 EKS・ECS クラスターで有効化するのは、複数のセットアップステップが必要。大規模環境では手作業が膨大。
Observability Admin での解決： Telemetry rule で「EKS clusters には Application Signals」「ECS に Container Insights」と定義 → 自動デプロイ・管理。
主な特徴
┌────────────────────────────────────────────────────────┐
│ CloudWatch Observability Admin の主な特徴（v2026） │
├────────────────────────────────────────────────────────┤
│ │
│ ✅ Telemetry Configuration（一元管理） │
│ • CloudWatch Agent 管理 │
│ • Application Signals / Container Insights 管理 │
│ • Log group retention policy │
│ • Metrics collection 設定 │
│ │
│ ✅ Organizations 統合 │
│ • OU（Organizational Unit）単位での policy 適用 │
│ • Hierarchical governance（親OU → 子OU） │
│ • Account-specific override 対応 │
│ • Delegated administration サポート │
│ │
│ ✅ Auto-Config（自動設定） │
│ • CloudWatch Agent auto-deploy │
│ • EC2・ECS・EKS リソースの自動検出 │
│ • Resource type ごとの推奨設定を自動適用 │
│ • Version 管理・自動アップデート │
│ │
│ ✅ Multi-Account・Multi-Region スケーラビリティ │
│ • 100,000+ アカウント対応 │
│ • 全 region への同時デプロイ │
│ • Batch operation による効率的管理 │
│ │
│ ✅ CloudWatch OAM 統合 │
│ • Observability Admin で設定 → OAM で表示 │
│ • Central monitoring account で統合ダッシュボード │
│ │
│ ✅ Compliance・Governance Dashboard │
│ • 全アカウントの observability 設定状態を可視化 │
│ • HIPAA・SOC2・PCI-DSS コンプライアンス自動チェック│
│ • Drift detection・修復提案 │
│ │
│ ✅ EventBridge Integration │
│ • Account creation event → auto-config trigger │
│ • Config rule for compliance │
│ │
│ ✅ Cost Optimization │
│ • 不要な metrics・logs を自動検出・削除提案 │
│ • Sampling strategy 最適化 │
│ • Reserved capacity 推奨 │
│ │
│ ✅ CloudTrail Audit │
│ • すべての configuration 変更を記録 │
│ • Who changed what when を追跡 │
│ │
└────────────────────────────────────────────────────────┘
アーキテクチャ
┌──────────────────────────────────────────────────────────────────┐
│ CloudWatch Observability Admin 統合アーキテクチャ │
├──────────────────────────────────────────────────────────────────┤
│ │
│ ╔══════════════════════════════════════════════════════════╗ │
│ ║ AWS Organizations（Management Account） ║ │
│ ║ ║ │
│ ║ ┌───────────────────────────────────────────────┐ ║ │
│ ║ │ Observability Admin Console │ ║ │
│ ║ │ ├─ Create Telemetry Rule Set │ ║ │
│ ║ │ ├─ Define resource types to monitor │ ║ │
│ ║ │ ├─ Specify CloudWatch Agent config │ ║ │
│ ║ │ ├─ Set retention policies │ ║ │
│ ║ │ └─ Enable auto-deployment │ ║ │
│ ║ └───────────────────────────────────────────────┘ ║ │
│ ║ ↓ ║ │
│ ║ ┌───────────────────────────────────────────────┐ ║ │
│ ║ │ Telemetry Rule Set（Policy） │ ║ │
│ ║ │ ├─ Production OU: │ ║ │
│ ║ │ │ ├─ CloudWatch Agent: enabled │ ║ │
│ ║ │ │ ├─ Application Signals: enabled │ ║ │
│ ║ │ │ ├─ Container Insights: enabled (EKS) │ ║ │
│ ║ │ │ ├─ Log Retention: 30 days │ ║ │
│ ║ │ │ └─ Metrics Collection: detailed │ ║ │
│ ║ │ │ │ ║ │
│ ║ │ ├─ Staging OU: │ ║ │
│ ║ │ │ ├─ CloudWatch Agent: enabled │ ║ │
│ ║ │ │ ├─ Application Signals: disabled │ ║ │
│ ║ │ │ ├─ Container Insights: enabled (ECS only)│ ║ │
│ ║ │ │ ├─ Log Retention: 7 days │ ║ │
│ ║ │ │ └─ Metrics Collection: basic │ ║ │
│ ║ │ │ │ ║ │
│ ║ │ └─ Development OU: │ ║ │
│ ║ │ ├─ CloudWatch Agent: disabled │ ║ │
│ ║ │ ├─ Container Insights: disabled │ ║ │
│ ║ │ ├─ Log Retention: 3 days │ ║ │
│ ║ │ └─ Metrics Collection: none │ ║ │
│ ║ └───────────────────────────────────────────────┘ ║ │
│ ║ ↓（CloudFormation StackSet） ║ │
│ ╚══════════════════════════════════════════════════════════╝ │
│ ↓ │
│ ┌──────────────────────────────────────────────────────────┐ │
│ │ Member Accounts（Organizations 下のすべてのアカウント） │ │
│ │ │ │
│ │ ┌──────────────────┐ ┌──────────────────┐ │ │
│ │ │ Account 1 (Prod) │ │ Account 2 (Prod) │ │ │
│ │ ├──────────────────┤ ├──────────────────┤ │ │
│ │ │ EC2 Instance │ │ EKS Cluster │ │ │
│ │ │ ├─ CW Agent │ │ ├─ App Signals │ │ │
│ │ │ │ (v1.29.0) │ │ │ │ │ │
│ │ │ └─ CloudTrail │ │ └─ Container │ │ │
│ │ │ logs to CW │ │ Insights │ │ │
│ │ │ │ │ │ │ │
│ │ │ Lambda Function │ │ RDS Database │ │ │
│ │ │ ├─ Application │ │ ├─ Enhanced │ │ │
│ │ │ │ Signals │ │ │ Monitoring │ │ │
│ │ │ └─ CloudWatch │ │ └─ CloudWatch │ │ │
│ │ │ Logs │ │ Agent │ │ │
│ │ └──────────────────┘ └──────────────────┘ │ │
│ │ │ │
│ │ ┌──────────────────┐ ┌──────────────────┐ │ │
│ │ │ Account 3 (Stage)│ │ Account 4 (Dev) │ │ │
│ │ ├──────────────────┤ ├──────────────────┤ │ │
│ │ │ ECS Cluster │ │ (Minimal setup) │ │ │
│ │ │ ├─ Container │ │ ├─ No CW Agent │ │ │
│ │ │ │ Insights │ │ └─ Log Retention │ │ │
│ │ │ └─ CloudWatch │ │ 3 days │ │ │
│ │ │ Agent │ │ │ │ │
│ │ └──────────────────┘ └──────────────────┘ │ │
│ │ │ │
│ │ + New Account Creation
│ │ ↓
│ │ Auto-configured by Policy
│ │ │ │
│ └──────────────────────────────────────────────────────────┘ │
│ ↓ │
│ ┌──────────────────────────────────────────────────────────┐ │
│ │ Central CloudWatch / OAM Account │ │
│ │ ├─ Unified Dashboard │ │
│ │ ├─ Cross-Account Logs Insights │ │
│ │ ├─ Composite Alarms │ │
│ │ └─ Application Signals Service Map │ │
│ └──────────────────────────────────────────────────────────┘ │
│ │
└──────────────────────────────────────────────────────────────────┘
コアコンセプト
1. Telemetry Rule Set
Observability 設定の集合。どの resource type に何を配布・設定するかを定義。
import boto3
observability_admin = boto3.client('cloudwatch-observability-admin')
def create_telemetry_rule_set():
response = observability_admin.create_telemetry_rule_set(
TelemetryRuleSetName='organization-baseline',
Description='Organization-wide observability baseline',
TelemetryRules=[
{
'Telemetry': 'Metrics',
'ResourceTypes': ['AWS::EC2::Instance', 'AWS::RDS::DBInstance'],
'DesiredState': {
'CloudWatchAgentConfig': {
'agent': {
'metrics_collection_interval': 60,
'run_as_user': 'cwagent'
},
'metrics': {
'namespace': 'CWAgent',
'metrics_collected': {
'cpu': {
'measurement': [
{'name': 'cpu_usage_idle', 'rename': 'CPU_IDLE'},
{'name': 'cpu_usage_iowait', 'rename': 'CPU_IOWAIT'}
],
'metrics_collection_interval': 60
},
'mem': {
'measurement': [
{'name': 'mem_used_percent'}
],
'metrics_collection_interval': 60
},
'disk': {
'measurement': [
{'name': 'used_percent', 'rename': 'DISK_USED'}
],
'metrics_collection_interval': 300,
'resources': ['*']
}
}
}
}
}
},
{
'Telemetry': 'Logs',
'ResourceTypes': ['AWS::EC2::Instance'],
'DesiredState': {
'CloudWatchAgentConfig': {
'logs': {
'logs_collected': {
'files': {
'collect_list': [
{
'file_path': '/var/log/syslog',
'log_group_name': '/aws/ec2/syslog',
'log_stream_name': '{instance_id}'
},
{
'file_path': '/var/log/secure',
'log_group_name': '/aws/ec2/secure',
'log_stream_name': '{instance_id}'
}
]
}
}
}
}
}
},
{
'Telemetry': 'Traces',
'ResourceTypes': ['AWS::EKS::Cluster', 'AWS::ECS::Cluster'],
'DesiredState': {
'ApplicationSignals': {
'Enabled': True,
'RulesOfServiceSamplingRate': 1.0
}
}
}
]
)
return response['RuleSetArn']
2. Organization Unit（OU）Policy
Organizations hierarchy に基づいて policy を適用。Parent OU → Child OU への inheritance も可能。
def create_ou_specific_rules():
observability_admin = boto3.client('cloudwatch-observability-admin')
# Production OU: strict observability
observability_admin.put_observability_admin_policy(
OrganizationalUnitId='ou-xxxx-xxxxxxxx', # Production OU
Policy={
'TelemetryRuleSetName': 'production-baseline',
'EnableAutoConfig': True,
'CloudWatchAgentVersion': '1.29.0',
'LogRetentionInDays': 30,
'MetricsCollectionLevel': 'detailed',
'ApplicationSignalsEnabled': True,
'ContainerInsightsEnabled': True
}
)
# Staging OU: medium observability
observability_admin.put_observability_admin_policy(
OrganizationalUnitId='ou-yyyy-yyyyyyyy', # Staging OU
Policy={
'TelemetryRuleSetName': 'staging-baseline',
'EnableAutoConfig': True,
'CloudWatchAgentVersion': '1.29.0',
'LogRetentionInDays': 7,
'MetricsCollectionLevel': 'basic',
'ApplicationSignalsEnabled': False,
'ContainerInsightsEnabled': True
}
)
# Development OU: minimal observability
observability_admin.put_observability_admin_policy(
OrganizationalUnitId='ou-zzzz-zzzzzzzz', # Development OU
Policy={
'TelemetryRuleSetName': 'development-baseline',
'EnableAutoConfig': False, # 自動デプロイなし・明示的に有効化
'LogRetentionInDays': 3,
'MetricsCollectionLevel': None,
'ApplicationSignalsEnabled': False,
'ContainerInsightsEnabled': False
}
)
3. Auto-Config
CloudWatch Agent・Application Signals の自動検出・インストール・設定。
def enable_auto_config():
observability_admin = boto3.client('cloudwatch-observability-admin')
# Auto-Config を有効化
response = observability_admin.put_auto_configuration_for_account(
AccountId='123456789012',
ResourceTypes=[
'AWS::EC2::Instance',
'AWS::ECS::Cluster',
'AWS::EKS::Cluster',
'AWS::RDS::DBInstance',
'AWS::Lambda::Function'
],
AutoConfigurationPolicy={
'CloudWatchAgentAutoUpdate': True,
'DeploymentStrategy': 'INCREMENTAL', # 段階的デプロイ（all-at-once も可）
'MaxConcurrentDeployments': 5,
'RollbackOnFailure': True,
'NotificationChannels': [
'arn:aws:sns:us-east-1:123456789012:observability-alerts'
]
}
)
# Auto-Config の進捗を監視
status = observability_admin.describe_auto_configuration_status(
AccountId='123456789012'
)
print(f"Status: {status['Status']}") # IN_PROGRESS / COMPLETED
print(f"Resources deployed: {status['ResourcesDeployed']}")
print(f"Resources failed: {status['ResourcesFailed']}")
Telemetry Configuration
def comprehensive_telemetry_setup():
observability_admin = boto3.client('cloudwatch-observability-admin')
# メトリクス収集ルール
metrics_rule = {
'ResourceType': 'AWS::EC2::Instance',
'TelemetryType': 'Metrics',
'CollectionInterval': 60, # 秒
'Metrics': [
'CPUUtilization',
'NetworkIn',
'NetworkOut',
'DiskReadBytes',
'DiskWriteBytes',
'MemoryUtilization', # 需要 CloudWatch Agent
'DiskFreePercent' # 需要 CloudWatch Agent
]
}
# ログ収集ルール
logs_rule = {
'ResourceType': 'AWS::EC2::Instance',
'TelemetryType': 'Logs',
'LogGroups': [
{
'Path': '/var/log/syslog',
'LogGroupName': '/aws/ec2/syslog',
'RetentionInDays': 30
},
{
'Path': '/var/log/secure',
'LogGroupName': '/aws/ec2/secure',
'RetentionInDays': 30
},
{
'Path': '/var/log/application',
'LogGroupName': '/aws/ec2/application',
'RetentionInDays': 7
}
]
}
# Application Signals（APM）ルール
traces_rule = {
'ResourceType': 'AWS::EKS::Cluster',
'TelemetryType': 'Traces',
'ApplicationSignalsEnabled': True,
'ServiceMapEnabled': True,
'AnomalyDetectionEnabled': True,
'SamplingRate': 0.1 # 10% のトレース記録（cost 削減）
}
# Container Insights
container_rule = {
'ResourceType': 'AWS::ECS::Cluster',
'TelemetryType': 'ContainerMetrics',
'ContainerInsightsEnabled': True,
'DetailedMonitoringEnabled': True,
'LogGroupRetention': 7
}
Auto-Config・自動デプロイ
def auto_deploy_cloudwatch_agent():
observability_admin = boto3.client('cloudwatch-observability-admin')
ec2 = boto3.client('ec2')
# EC2 Auto Scaling Group に所属するすべてのインスタンスに
# CloudWatch Agent を自動デプロイ
auto_scaling_groups = ['web-server-asg', 'api-server-asg', 'worker-asg']
for asg_name in auto_scaling_groups:
# Observability Admin がリソースを自動検出
response = observability_admin.enable_auto_configuration_for_resource_group(
ResourceGroupArn=f'arn:aws:resource-groups:us-east-1:123456789012:group/{asg_name}',
TelemetryRuleSetName='organization-baseline',
DeploymentOptions={
'Strategy': 'ROLLING',
'MaxConcurrentPercentage': 10, # 同時デプロイ 10%
'HealthCheck': True,
'RollbackOnFailure': True
}
)
print(f"Auto-config initiated for {asg_name}")
# デプロイ進捗を監視
import time
while True:
status = observability_admin.get_auto_configuration_status(
ResourceGroupArn=f'arn:aws:resource-groups:us-east-1:123456789012:group/{asg_name}'
)
if status['Status'] == 'COMPLETED':
print(f"✓ {asg_name}: {status['SuccessCount']} succeeded")
break
elif status['Status'] == 'FAILED':
print(f"✗ {asg_name}: {status['FailureCount']} failed")
break
time.sleep(30)
Organizations 統合
def setup_organization_wide_observability():
organizations = boto3.client('organizations')
observability_admin = boto3.client('cloudwatch-observability-admin')
cloudformation = boto3.client('cloudformation')
# Organizations 構造を取得
org = organizations.describe_organization()['Organization']
root_id = organizations.list_roots()['Roots'][0]['Id']
# Organization-wide observability baseline を定義
baseline_policy = {
'Root': {
'TelemetryRuleSetName': 'global-baseline',
'EnableAutoConfig': True,
'LogRetentionInDays': 30,
'MetricsCollectionLevel': 'standard'
},
'Production': {
'TelemetryRuleSetName': 'production-baseline',
'EnableAutoConfig': True,
'LogRetentionInDays': 90,
'MetricsCollectionLevel': 'detailed',
'ApplicationSignalsEnabled': True
},
'NonProduction': {
'TelemetryRuleSetName': 'non-prod-baseline',
'EnableAutoConfig': True,
'LogRetentionInDays': 7,
'MetricsCollectionLevel': 'basic',
'ApplicationSignalsEnabled': False
}
}
# CloudFormation StackSet で全アカウントに deploy
cloudformation.create_stack_set(
StackSetName='observability-admin-setup',
TemplateBody='''
AWSTemplateFormatVersion: "2010-09-09"
Description: CloudWatch Observability Admin setup
Resources:
ObservabilityAdminPolicy:
Type: AWS::CloudWatch::ObservabilityAdminPolicy
Properties:
TelemetryRuleSetName: !Ref RuleSetName
EnableAutoConfig: true
CloudWatchAgentVersion: "1.29.0"
LogRetentionInDays: 30
Parameters:
RuleSetName:
Type: String
Default: organization-baseline
''',
AdministrationRoleARN=f'arn:aws:iam::{org["MasterAccountId"]}:role/AWSCloudFormationStackSetAdministrationRole',
ExecutionRoleName='AWSCloudFormationStackSetExecutionRole',
AutoDeployment={
'Enabled': True,
'Retain': False
}
)
# StackSet instance を全アカウントに作成
cloudformation.create_stack_instances(
StackSetName='observability-admin-setup',
Accounts=['*'], # 全アカウント
Regions=['us-east-1', 'eu-west-1', 'ap-northeast-1']
)
CloudWatch Agent 管理
def manage_cloudwatch_agent_at_scale():
observability_admin = boto3.client('cloudwatch-observability-admin')
ssm = boto3.client('ssm')
# CloudWatch Agent version を一元管理
agent_config = {
'Version': '1.29.0',
'AutoUpdate': True,
'UpdatePolicy': {
'Strategy': 'ROLLING',
'MaxConcurrentPercentage': 5,
'HealthCheckInterval': 300 # 5 分
}
}
# Org-wide CloudWatch Agent 更新
response = observability_admin.update_cloudwatch_agent_deployment(
TargetOrganizationalUnitId='ou-xxxx-root',
AgentVersion='1.29.0',
DeploymentStrategy='ROLLING',
MaxConcurrentDeployments=10,
RollbackOnFailure=True,
NotificationChannels=[
'arn:aws:sns:us-east-1:123456789012:agent-updates'
]
)
print(f"Agent update initiated: {response['DeploymentId']}")
# Systems Manager Parameter Store で agent config を集中管理
ssm.put_parameter(
Name='/cloudwatch-observability-admin/agent-config',
Value=json.dumps({
'agent': {
'metrics_collection_interval': 60,
'run_as_user': 'cwagent'
},
'logs': {
'logs_collected': {
'files': {
'collect_list': [
{
'file_path': '/var/log/syslog',
'log_group_name': '/aws/ec2/syslog'
}
]
}
}
},
'metrics': {
'metrics_collected': {
'cpu': {'metrics_collection_interval': 60},
'mem': {'metrics_collection_interval': 60}
}
}
}),
Type='String',
Overwrite=True,
Tags=[
{'Key': 'Purpose', 'Value': 'ObservabilityAdmin'},
{'Key': 'ManagedBy', 'Value': 'CloudWatch'}
]
)
Application Signals・Container Insights 統合
def enable_application_monitoring():
observability_admin = boto3.client('cloudwatch-observability-admin')
# Application Signals を Production OU に有効化
observability_admin.enable_application_signals(
OrganizationalUnitId='ou-prod-xxxxxxxx',
ServiceMapEnabled=True,
AnomalyDetectionEnabled=True,
SamplingRate=1.0, # 100% のトレースを記録（Production）
NotificationChannels=[
'arn:aws:sns:us-east-1:123456789012:app-signals-alerts'
]
)
# Container Insights を EKS クラスターに有効化
observability_admin.enable_container_insights(
ResourceType='AWS::EKS::Cluster',
Clusters=['eks-prod-us-east-1', 'eks-prod-eu-west-1'],
DetailedMonitoringEnabled=True,
LogGroupRetention=30,
AutoEnable=True # 新規 EKS 自動有効化
)
# ECS Cluster の Container Insights 有効化
observability_admin.enable_container_insights(
ResourceType='AWS::ECS::Cluster',
DetailedMonitoringEnabled=False, # Basic monitoring のみ
LogGroupRetention=7,
AutoEnable=True
)
Compliance・Governance
def compliance_dashboard():
observability_admin = boto3.client('cloudwatch-observability-admin')
cloudwatch = boto3.client('cloudwatch')
# Organization 全体の observability compliance status を取得
compliance_report = observability_admin.get_compliance_report(
OrganizationalUnitId='ou-root', # Organization root
ComplianceFramework='HIPAA' # or SOC2, PCI-DSS
)
# 出力例
print("=== Observability Compliance Report (HIPAA) ===")
print(f"Total Accounts: {compliance_report['TotalAccounts']}")
print(f"Compliant Accounts: {compliance_report['CompliantAccounts']}")
print(f"Non-Compliant Accounts: {compliance_report['NonCompliantAccounts']}")
print(f"Compliance Score: {compliance_report['ComplianceScore']}%")
print("\n=== Findings ===")
for finding in compliance_report['Findings']:
print(f"- {finding['Account']}: {finding['Issue']}")
print(f" Recommendation: {finding['Remediation']}")
# CloudWatch custom metric として compliance score を記録
cloudwatch.put_metric_data(
Namespace='AWS/ObservabilityAdmin',
MetricData=[
{
'MetricName': 'ComplianceScore',
'Value': compliance_report['ComplianceScore'],
'Unit': 'Percent',
'Dimensions': [
{'Name': 'OrganizationId', 'Value': 'o-xxxxxxxxxxxxx'},
{'Name': 'Framework', 'Value': 'HIPAA'}
]
}
]
)
実装例・ベストプラクティス
✅ Best Practice チェックリスト
-
Organizations 統合から開始
- OU 構造を first に確認
- Root OU・Product OU・Non-Prod OU で hierarchical policy を定義
-
Telemetry Rule Set の段階的導入
- Dev environment で test
- Staging で full testing
- Production へ段階的ロールアウト
-
Auto-Config の careful setup
- Rolling deployment で max concurrent を conservative に設定
- RollbackOnFailure を有効化
- Notification channel を設定（failure alert）
-
Log Retention Policy の cost-benefit 分析
- Production: 30-90 days（regulatory requirement）
- Staging: 7-14 days
- Development: 3-7 days（cost 削減）
-
CloudWatch Agent Version 管理
- Auto-update を有効化するか否かは吟味
- Breaking changes がないか確認してから update
-
Compliance 自動チェック
- HIPAA・SOC2・PCI-DSS framework に based on した compliance report
- Quarterly compliance audit
監視・モニタリング
def monitor_observability_admin_deployment():
cloudwatch = boto3.client('cloudwatch')
# Observability Admin deployment の進捗を監視
cloudwatch.put_metric_alarm(
AlarmName='observability-admin-deployment-failure',
MetricName='FailedDeployments',
Namespace='AWS/ObservabilityAdmin',
Statistic='Sum',
Period=300,
EvaluationPeriods=1,
Threshold=1,
ComparisonOperator='GreaterThanOrEqualToThreshold',
AlarmActions=['arn:aws:sns:us-east-1:123456789012:alerts']
)
# CloudWatch Agent deployment 進捗
cloudwatch.put_metric_alarm(
AlarmName='cloudwatch-agent-deployment-lag',
MetricName='DeploymentLagHours',
Namespace='AWS/ObservabilityAdmin',
Statistic='Average',
Period=3600,
Threshold=24, # 24 時間以上遅延したら alert
ComparisonOperator='GreaterThanThreshold',
AlarmActions=['arn:aws:sns:us-east-1:123456789012:alerts']
)
# Compliance drift detection
cloudwatch.put_metric_alarm(
AlarmName='observability-compliance-drift',
MetricName='ComplianceScore',
Namespace='AWS/ObservabilityAdmin',
Statistic='Average',
Period=86400, # Daily
Threshold=95,
ComparisonOperator='LessThanThreshold',
AlarmActions=['arn:aws:sns:us-east-1:123456789012:alerts']
)
トラブルシューティング
| 症状 | 原因 | 対策 |
|---|---|---|
| CloudWatch Agent deployment timeout | Agent size が大きい・network 遅い | Parallel deployments 削減・timeout 伸ばす |
| Auto-Config が一部 EC2 で失敗 | EC2 に IAM role 不足 | cloudwatch:PutMetricData policy 追加 |
| Application Signals が有効化されない | EKS add-on が未インストール | cloudwatch-observability add-on を enable |
| Log group retention が反映されない | OU policy が古い | Compliance report で drift 確認・修復実行 |
| Container Insights metric が記録されない | ECS Agent version 古い | Agent update force・compatibility 確認 |
| New account に policy が未適用 | EventBridge integration disabled | StackSet auto-deployment 確認 |
既存ツールとの比較
| 観点 | CloudWatch Obs Admin | Datadog Pipeline | AWS ADOT | New Relic |
|---|---|---|---|---|
| Organizations 統合 | ★★★★★ | △ | △ | △ |
| Auto-Config | ★★★★★ | ★★ | ★★ | ★★★ |
| Multi-Account | ★★★★★ | ★★★ | ★★★ | ★★★ |
| Compliance | ★★★★ | ★★★ | ★★ | ★★★ |
| Cost Control | ★★★★ | ★★★ | ★★★ | ★★★ |
| AWS Integration | ★★★★★ | ★★ | ★★★★★ | ★★ |
| Setup Ease | ★★★★ | ★★★ | ★★ | ★★★ |
| Cost | 無料 | $ | 無料 | $ |
2025-2026 最新動向
-
AI-Driven Configuration Recommendations
- Machine learning が observability 設定を最適化提案
-
Cost Optimization Dashboard
- 不要な metrics・logs を自動検出・削減提案
-
GitOps Integration
- Observability 設定を Infrastructure as Code で管理
-
Multi-Account Sampling Strategy
- Large-scale environment での sampling 自動最適化
-
Compliance Automation
- HIPAA・SOC2・PCI-DSS compliance report 自動生成・修復
学習リソース
公式ドキュメント
- CloudWatch Observability Admin User Guide
- CloudWatch Agent Configuration Reference
- Application Signals Documentation
AWS ブログ・事例
実装チェックリスト
- [ ] Organizations OU 構造の確認
- [ ] Telemetry Rule Set 定義（Prod / Staging / Dev ごと）
- [ ] CloudWatch Agent 設定ファイル作成・parameter store に保存
- [ ] Auto-Config 設定・test environment で validation
- [ ] CloudFormation StackSet で全アカウント deploy
- [ ] Log retention policy 設定・cost 見積もり
- [ ] Application Signals・Container Insights 有効化
- [ ] Compliance framework（HIPAA / SOC2）に based on した audit
- [ ] Monitoring dashboard・alarm 設定
- [ ] Runbook・documentation 作成
まとめ
CloudWatch Observability Admin は「エンタープライズ環境での observability 設定を一元管理・ガバナンスするサービス」 です。
主な価値提案：
- Org-wide 一元管理 - 100+ アカウントの observability を中央から管理
- Auto-Config - CloudWatch Agent・Application Signals の自動デプロイ
- Compliance - HIPAA・SOC2 自動チェック
- Cost Optimization - 環境別の最適な retention policy
- Scalability - 新規アカウント自動適用・version 管理
適用判断：
- ✅ 10+ AWS アカウント運用
- ✅ マルチアカウント observability ガバナンス必須
- ✅ Organizations を使用
- ❌ 単一アカウント環境
参考文献
最終更新：2026-04-27 バージョン：v2.0