Log groups do CloudWatch que nunca expiram
Sem política de retenção, o padrão do CloudWatch Logs é guardar para sempre — e cobrar armazenamento para sempre.
O que é esse problema
Todo log group do CloudWatch tem uma configuração de retenção, e o valor padrão é "nunca expirar". Quem cria um log group sem definir isso — o que inclui praticamente todo log group criado automaticamente por Lambda, ECS, API Gateway ou VPC Flow Logs — está pedindo armazenamento perpétuo sem perceber.
O custo tem duas partes: ingestão, cobrada uma vez por gigabyte que entra, e armazenamento, cobrado todo mês por tudo que já entrou. A ingestão você paga de qualquer forma; o armazenamento é o que se acumula. Um serviço que gera um gigabyte de log por dia acumula trezentos e sessenta e cinco gigabytes ao ano, e no segundo ano continua pagando pelos do primeiro.
A pergunta que resolve é por quanto tempo aquele log é realmente consultado. Log de aplicação costuma ser útil por semanas — depois disso, se alguém precisar, vai procurar em outro lugar. Log que precisa ser guardado por anos por exigência regulatória tem destino melhor: exportado para S3 com classe de armazenamento fria, custa uma fração do preço.
Como detectamos
Listamos os log groups de todas as regiões habilitadas com DescribeLogGroups, que informa, para cada um, a política de retenção configurada e o volume de dados armazenado. Os que aparecem sem retenção definida são os que nunca expiram.
- Log groups que nunca expiram
Quanto custa
Armazenamento no CloudWatch Logs custa cerca de US$0,03 por GB-mês e a ingestão cerca de US$0,50 por GB (us-east-1). Quinhentos gigabytes acumulados custam perto de US$15 por mês, indefinidamente.
Preços de tabela pública da AWS, região us-east-1, sujeitos a alteração. O valor que o relatório mostra é calculado sobre os seus recursos e a sua região.
Como aparece no relatório
Exemplo ilustrativo, com recursos e valores fictícios. No relatório, cada achado vem com o recurso real, a região e o comando de correção quando existe um seguro.
Sua conta tem isso?
O scan é somente leitura e mostra o que encontrou antes de você pagar por qualquer coisa.
Rodar scan grátis