Organization 管理下メンバーアカウントの SSM セッションログをセキュリティアカウントの CloudWatchLogs に直接送信することはできますか

困っていること

Organizations 管理下のメンバーアカウントの SSM セッションログをセキュリティアカウント（管理アカウントなど）の CloudWatchLogs で中央管理したいと考えています。方法があれば教えてください。

どう対応すればいいの?

現時点、Organization 管理下のアカウントの SSM セッションログをセキュリティアカウントの CloudWatchLogs に直接送信することは叶いません。CloudWatch Logs へのログ出力については他アカウントで保有するロググループを指定することができないためです。

代替案

CloudWatchLogs ではなく、S3 ログ記録であれば事前の設定により他アカウントのバケットにログを記録することが可能です。また、送信先セキュリティアカウント側 S3バケットで KMS による暗号化も可能なので、こちらの方法をご検討ください。

https://repost.aws/ja/knowledge-center/ssm-s3-bucket-logging-multiple-accounts

参考資料

• とは AWS Organizations - AWS Organizations
• Session Manager のログ記録用に中央 S3 バケットを設定する | AWS re:Post