【アップデート】Route 53 Profiles がリゾルバーのクエリログ記録設定をサポートしました
以下アップデートを紹介します。
Route 53 Profiles は、複数のVPCおよび異なるAWSアカウント全体にわたって、 DNS関連のRoute 53設定を適用・管理するためのサービスです。 今まで、ProfileにはプライベートホストゾーンやResolverルール、 DNSファイアウォールルールグループなどを関連付けることができていました。
今回のアップデートにて Route 53 Profiles が リゾルバーのクエリログ記録 をサポートしました。
これにより、複数VPC・複数アカウントへのDNSクエリログ設定が容易になります。
本ブログでその内容を紹介します。
何が嬉しい？
今までクエリログの記録は、個別にVPCへ紐づける必要がありました。
クエリログ設定 → [VPCのクエリをログ記録する]
VPCを選択
対象のVPCが増えるたびに、 クエリログ記録の設定単体で対応する必要がありました [辛みポイント] 。
今回の更新で Route 53 Profiles にクエリログ記録が仲間入りしました。 これにより (クエリログの記録を含む) DNS周りの設定をひっくるめて1プロファイルで管理できるようになりました [嬉しいポイント！] 。 新しいVPCを追加する際には、プロファイル を関連付けするだけでOKです。
改めて、Route53 Profiles で管理できる項目は以下になります。
- プライベートホストゾーン
- リゾルバールール
- DNSファイアウォールルールグループ
- インターフェースVPCエンドポイント
- New!! リゾルバーのクエリログ記録
試してみる
さっそくRoute53 Profile経由で リゾルバーのクエリログ記録を有効化してみます。
プロファイルの作成
今回は新規プロファイル作成から進めます。 既存プロファイルがある場合は読み飛ばしてください。
プロファイルを作成
適当なプロファイル名を記入して [作成]
プロファイルを作成
クエリログ記録の設定
新規クエリログ記録を作成します。 これについても、既存設定がある場合は読み飛ばしてOKです。
[クエリのログ記録] → [クエリログ記録の設定]
名前と送信先を記入。今回はS3バケットに送信する
(続き)VPCは空でOK。Profile経由で設定するため
クエリログ記録設定を作成
プロファイルにクエリログ記録の設定を関連付ける
さきほど作成したプロファイルに、 クエリログ記録の設定を関連付けます。
[クエリログ記録] → [関連付ける]
設定を選択して [関連付ける]
ステータスが [関連付け済み] となればOK
プロファイルにVPCを関連付ける
最後に、プロファイルをVPCに関連付けます。 この関連付けにより、さきほど設定したクエリログ記録が 自動的にVPCに適用されます。
VPCを選択して [関連付ける]
ステータスが [関連付け済み] となればOK
確認
CloudShell in VPC にて適当なDNSクエリを発行してみます。 しばらくして、ターゲットのS3バケットにオブジェクトが格納されていることを確認できました。
s3://{s3-bucket}/AWSLogs/{account-id}/dnsquerylogs/rp-xxxx/{yyyy}/{mm}/{dd}/rp-xxxx_dnsquerylogs_{account-id}_{yyyy-mm-dd}_xxxx.log.gz
ログの中身はこんな感じ。
head -n1 rp-example_dnsquerylogs_example_2025-11-24-04_example
# {"version":"1.100000","account_id":"111111111111","region":"ap-northeast-1", ...略
head -n1 rp-example_dnsquerylogs_example_2025-11-24-04_example | jq | head
# {
# "version": "1.100000",
# "account_id": "111111111111",
# "region": "ap-northeast-1",
# "resource_id": "rp-2463example",
# "query_timestamp": "2025-11-24T04:27:58Z",
# "query_name": "al2023-repos-ap-northeast-1-de612dc2.s3.dualstack.ap-northeast-1.amazonaws.com.",
# "query_type": "AAAA",
# "query_class": "IN",
# "rcode": "NOERROR",
おわりに
Route 53 Profiles のアップデートを紹介しました。
プロファイルを関連付けるだけで、クエリログ記録を含むDNS設定がまとめて適用されます。 運用負荷の軽減に繋がる、良いアップデートだと思います。
また、クエリログの分析については 過去にこんなブログも書いているので、 もしよければ参考ください。
以上、参考になれば幸いです。
参考
- Amazon Route 53 Profiles now supports Resolver query logging configurations - AWS
- What are Amazon Route 53 Profiles? - Amazon Route 53
- Managing Resolver query logging configurations - Amazon Route 53
- Associate Resolver query logging configurations to a Route 53 Profile - Amazon Route 53
- 料金 - Amazon Route 53 | AWS
- ［アップデート］Amazon Route 53 Profilesが使えるようになりました！ | DevelopersIO
