CloudWatch Logsのロググループは、デフォルトでは「失効しない（無期限保持）」であり、明示的に保持期間（PutRetentionPolicy）を 設定しない限りコストが積み上がり続ける。既存分の是正だけでなく今後の新規作成分にも継続的に規約を適用するには、単発のスクリプト実行では不十分である。

• AWS Configのカスタムルール（Guardで書くカスタムポリシールール、またはLambdaのカスタムルール）で 「保持期間が90日でないロググループ」＝「失効しない（Never Expire）」のものも含めて非準拠と判定させると、 今後作成される分も含めて継続的に検出できる。
• さらに自動修復（remediation）としてSSM Automationランブック（logs:PutRetentionPolicyを呼び出す）を紐づければ、 非準拠を検知するたびに自動で保持期間90日へ是正され、新規作成分にも継続的に効く運用が実現する。
• ⚠️ここでAWS Configの管理ルール cw-loggroup-retention-period-check は使えない。 このルールは「保持期間が MinRetentionTime（既定365日）未満なら非準拠」という 最低保持期間を保証する向きの判定であり、公式ドキュメントに 「保持設定が『失効しない（Never expire）』のロググループはCOMPLIANTと判定される」と明記されている。 つまり本問の非準拠（Never Expire群）を1件も検出できない。
• 単発のCLIスクリプトによる一括設定は既存分の是正にはなるが、継続的なガバナンス（今後作られるロググループへの適用）を担保できない。