WorkSpacesにCloudWatchAgentを導入してWindowsイベントログを出力してみた
どうもコンサルティング部の後藤です。
今回はWindowsのWorkSpacesで、WindowsイベントログをCloudWatchLogsに出力する事をやってみたので、その作業内容をまとめた記事になります。
CloudWatchAgent導入
WorkSpacesにCloudWatchAgentを導入する方法は2通りあるかと存じます。
- SSMでWorkSpacesを管理してRunCommandを実行する
- AWSのドキュメントよりmsiをダウンロードして手動インストールする
今回はWorkSpacesがインターネットに接続できる環境だったため、後者のやり方を取りました。
まず、AWSドキュメントからamazon-cloudwatch-agent.msiをダウンロードして、そのままインストールします。
インストールが完了すると、以下PATHにCloudWatchAgentのフォルダが作成されているかと思います。
C:\Program Files\Amazon\AmazonCloudWatchAgent
環境変数の設定
WindowsイベントログをCloudWatchAgentからCloudWathcLogsに送信するための権限を設定します。WorkSpacesにはIAMロールを付与することが出来ないため、CloudWatchLogsに送信するための権限のみを持たせたIAMユーザを作成して、そのクレデンシャル情報を使用します。
今回使用するIAMユーザには、AWS管理ポリシーの「CloudWatchAgentAdminPolicy」を付与して作成しています。
IAMユーザのクレデンシャル情報が判明したら、その情報をWorkSpacesに保持させます。今回はWorkSpacesにクレデンシャル情報を保持させるため「システム環境変数」に設定していきます。
システム環境変数は以下から新規に設定可能です。
・「システム」->「システムの詳細設定」->「環境変数」-> システム環境変数の「新規」
環境変数として、以下の3つの変数を設定します。
- AWS_REGION : リージョン名を記入（例 : ap-northeast-1
- AWS_SECRET_ACCESS_KEY : シークレットアクセスキー
- AWS_ACCESS_KEY_ID : アクセスキー
Powershellの実行権限
WorkSpacesのPowershell実行権限は以下の通りになっています。
> Get-ExecutionPolicy -List
Scope ExecutionPolicy
----- ---------------
MachinePolicy Undefined
UserPolicy Undefined
Process Undefined
CurrentUser Undefined
LocalMachine Restricted
このままではCloudWatchAgentのスクリプトを実行できないので、以下のコマンドを実行して権限を与えます。。
> Set-ExecutionPolicy RemoteSigned -Scope Process
実行ポリシー変更しますか？の問いに対して、y で回答。
> Get-ExecutionPolicy -List
Scope ExecutionPolicy
----- ---------------
MachinePolicy Undefined
UserPolicy Undefined
Process RemoteSigned
CurrentUser Undefined
LocalMachine Restricted
Process部分がRemote Signedに変更されていれば実行権限変更完了です。
CloudWatchAgentのConfig設定
Powershellを管理者権限で実行して、以下を実行します。
> cd "C:\Program Files\Amazon\AmazonCloudWatchAgent\" > .\amazon-cloudwatch-agent-config-wizard.exe
configウィザードで必要な部分を選択していきます。今回は最低限Windowsイベントログを出力するconfig.jsonを作成しました。
{
"logs": {
"logs_collected": {
"windows_events": {
"collect_list": [
{
"event_format": "xml",
"event_levels": [
"VERBOSE",
"INFORMATION",
"WARNING",
"ERROR",
"CRITICAL"
],
"event_name": "System",
"log_group_name": "System",
"log_stream_name": "{hostname}"
}
]
}
}
}
}
config.json作成後、以下コマンドを実行します。
> .\amazon-cloudwatch-agent-ctl.ps1 -a fetch-config -c file:config.json Successfully fetched the config and saved in C:\ProgramData\Amazon\AmazonCloudWatchAgent\Configs\file_config.json.tmp Start configuration validation... 2020/11/09 14:02:19 Reading json config file path: C:\ProgramData\Amazon\AmazonCloudWatchAgent\Configs\file_config.json.tmp ... Valid Json input schema. No csm configuration found. Configuration validation first phase succeeded Configuration validation second phase succeeded Configuration validation succeeded
Succeededと表示されれば完了です。
CloudWatchAgent実行とログ確認
CloudWatchAgentを実行するため、以下を実行します。
> .\amazon-cloudwatch-agent-ctl.ps1 -a status
{
"status": "stopped",
"starttime": "",
"version": "1.247346.0b249609"
}
> .\amazon-cloudwatch-agent-ctl.ps1 -a start
> .\amazon-cloudwatch-agent-ctl.ps1 -a status
{
"status": "running",
"starttime": "2020-11-09T14:06:28",
"version": "1.247346.0b249609"
}
CloudWatchAgentが実行出来たら、CloudWatchLogsを確認しにいきます。
CloudWatchLogsに指定したロググループが出来ていると思うので、そちらを確認すると以下画像のようにWindowsイベントログが出力されていることが確認出来ました。
最後に
如何だったでしょうか。WindowsのWorkSpacesからCloudWatchAgent経由でWindowsイベントログから出力することが出来ました。が、しかし見難いですね。。出力するWindowsイベントのレベルは設定出来るため、全てのイベントを出力するのではなく重要なイベントのみ通知して検知する仕組みとして使用出来るかなといった所感です。
この記事が何方かのお役になれば幸いです。
