ログ管理

収集経路の全体像

Datadog のログ管理は、ホスト・コンテナ・クラウド事業者などのソースからログを取り込むところから始まります (2026 年 8 月時点・出典: Datadog Log Management ドキュメント)。サーバーやコンテナ上のログファイルを集める役割はDatadog Agent が担い、クラウドサービス側が出すログはインテグレーション経由で取り込みます。届いたログは Live Tail で流れたそばから確認できるため、収集設定が正しく効いているかの確認もここで完結します。まず「どこで生まれるログを、どの経路で入れるか」の一覧表を作ることが、後述する課金設計の土台になります。

パイプラインで形を揃える

取り込んだログはパイプラインとプロセッサーで処理し、内容を補強できます (出典: 同ドキュメント)。生のテキストのままでは「エラーだけ絞る」「ユーザー単位で数える」といった操作ができないため、早い段階で属性として取り出して形を揃えるほど、後段の検索・除外フィルタ・メトリクス生成のすべてが効くようになります。ここで手を抜くと、あとから「絞りたいのに絞る軸がない」という状態になり、インデックスに入れる量を減らす判断もできなくなります。パイプラインはログ設計の中心と考えてください。

取り込みとインデックスの 2 段課金 - Ingest と Index は別物

Datadog のログ課金の最大の特徴は、取り込み (Ingest) とインデックス (Index) が分離されていることです。公式はこれを Logging without Limits と呼び、すべてのログを取り込みつつ、検索用に残す分だけを選べる構造だと説明しています (2026 年 8 月時点)。単価は次のとおり桁が違います。

取り込みは GB 単位、インデックスはイベント件数単位という異なる物差しで数えられる点にも注意してください。公式 FAQ にも GB からイベント数への換算式は用意されておらず、「直近 24 時間のログ件数を数えて 30 日分に伸ばして見積もる」やり方が案内されています。検索できるのはインデックスに入れた分だけなので、「全部取り込む・インデックスは選ぶ」が設計の出発点になります。

保持期間とアーカイブ

インデックスはアカウントに複数作成でき (既定 1 個・上限は既定 100 個)、それぞれに保持期間と 1 日あたりの上限を別々に設定できます。ログは定義したフィルタに最初にマッチしたインデックスへ入るため、「エラーは 30 日・アクセスログは 3 日」のような使い分けが 1 つの流れの中で実現します (出典: Indexes ドキュメント)。インデックスの保持期間を超えて残したいログはアーカイブへ回します。アーカイブは長期保管に最適化された置き場で、後から検索したくなったときはアーカイブ検索 (リハイドレート) で掘り起こせますが、スキャンした圧縮データ量あたりの料金 (2026 年 8 月時点で年契約 0.05 ドル/GB) に加え、再インデックスされた分には契約中のインデックス単価が別途かかります。「アーカイブは安いが、掘り起こしはただではない」と覚えておくと、保持期間の設計判断がしやすくなります。

検索の道具立て

検索の入口は Log Explorer で、インデックスに入れたログを横断的に検索できます。流れているログを見る Live Tail、似たログを束ねて全体像をつかむ Patterns、集計して眺める Analytics、検索条件を保存して共有する Saved Views が用意されています (2026 年 8 月時点・出典: Log Management ドキュメント)。障害対応での実際の動きとしては、まず Patterns で「どの種類のログが急増したか」を群れとして見つけ、該当パターンに絞って個別のログを読む順番が効率的です。よく使う絞り込みは Saved Views にしてチームで共有しておくと、深夜の対応でも同じ視点から調査を始められます。

ログ爆発の典型パターンと予防

ログ課金の事故は、量が静かに増えるのではなく、ある日突然噴き出す形で起きがちです。典型は 2 つで、1 つはデバッグレベルのログを本番に出したまま高トラフィックを受けるパターン、もう 1 つはプロセスやコンテナが再起動を繰り返して起動時ログを延々と吐き続けるパターンです。Datadog 側の防波堤としては、まずインデックスごとの 1 日あたり上限 (daily quota) をハードリミットとして設定できます。上限は 100 万件単位で指定し、警告しきい値 (50% 以上) に達するとイベントが発生するため、これをモニターにつなげば「上限に近づいた」を通知として受け取れます。さらに除外フィルタを使うと、クエリとサンプリング率 (0〜100%) の組み合わせでインデックスへ入れる量を削れます。除外されたログもインデックスから外れるだけで、Live Tail・メトリクス生成・アーカイブには引き続き使えるため、「検索はできないが痕跡は残る」という段階的な縮退が組めます (出典: Indexes ドキュメント)。

CloudWatch Logs との住み分け

AWS 中心の構成では、多くのサービスのログがまず CloudWatch Logs に出ます (VPC フローログや Lambda のログなど)。CloudWatch Logs はロググループ単位で保持期間を 1 日から 10 年まで、または無期限に設定でき、Logs Insights という専用クエリ言語での検索も備えています (2026 年 8 月時点・出典: AWS CloudWatch Logs ドキュメント)。一方 Datadog のログ管理の持ち味は、AWS の外も含めた全ソースを 1 つの検索面に集め、メトリクスやトレースと同じ画面で突き合わせられることです。現実的な住み分けは、AWS 内で完結する長期保全 (監査ログの無期限保持など) は CloudWatch Logs 側に置き、日常の調査・横断検索・アラートに使う分を Datadog へ転送してインデックスする形です。全ログを二重に長期保持すると両方で保管費用を払うことになるため、「どちらを一次保管庫にするか」を決めてから転送設定を組むのが損得の分かれ目です。