ECS Exec のセッションログを専用 S3 バケットへ分離する - MNTSQ Techブログ

はじめに 既存構成 課題感 設計 CloudWatch Logs ではなく S3 に倒す クラスタ単位で S3 prefix を切る 実装 ECS タスクロールに付与する IAM ポリシー ECS クラスタの executeCommandConfiguration おわりに はじめに Amazon Linux 2 (以下 AL2) の EOL (2026 年 6 月 30 日) が近付いてくる昨今、皆様いかがお過ごしでしょうか。 弊社では SSH 踏み台として使う EC2 インスタンスを AL2 ベースで用意し、運用作業の起点として長年取り扱ってきました。運用者はここを経由して ECS タスクや各種マネージドサービスへアクセスしてきた経緯があり、単純な SSH 踏み台ではなく、運用機能を集約した実行基盤として機能してきた格好です。 前述の通り ECS 最適化 AL2 AMI の EOL が

[simplememofast]

権限境界の分離と監査経路の固定化を同時に達成する構成。開発者の操作ログをアプリ用バケットと混ぜない設計は監査側の追跡コストを大幅に下げる

[mkusaka]

ECS ExecのセッションログをS3単独へ分離し、OVERRIDEでクラスタprefix${env}-${service}-${cluster_id}に集約する手順を解説。