Analysieren von Logdaten mit CloudWatch Logs Insights

Eine speziell entwickelte Logs Insights-Abfragesprache (Logs Insights QL) mit einigen einfachen, aber leistungsstarken Befehlen.

OpenSearch Service Piped Processing Language (PPL). OpenSearch PPL ermöglicht es Ihnen, Ihre Protokolle mithilfe einer Reihe von Befehlen zu analysieren, die durch Pipes (|) getrennt sind.

Mit OpenSearch PPL können Sie Daten abrufen, abfragen und analysieren, indem Sie Befehle verwenden, die über eine Pipeline miteinander verbunden sind. Dies erleichtert das Verständnis und die Erstellung komplexer Abfragen. Die Syntax ermöglicht die Verkettung von Befehlen zur Transformation und Verarbeitung von Daten. Mit PPL können Sie Daten filtern und aggregieren und eine Vielzahl von mathematischen, Zeichenketten-, Datums-, Bedingungs- und anderen Funktionen für Analysen verwenden.

OpenSearch Service Structured Query Language (SQL). Mit OpenSearch SQL-Abfragen können Sie Ihre Protokolle deklarativ analysieren. Sie können Befehle wie SELECT, FROM, WHERE, GROUP BY, HAVING und verschiedene andere in SQL verfügbare Befehle und Funktionen verwenden. Sie können JOINs über Protokollgruppen hinweg ausführen, Daten mithilfe von Unterabfragen zwischen Protokollen korrelieren und das umfangreiche Set an JSON-, Mathematical-, String-, Conditional- und anderen SQL-Funktionen verwenden, um leistungsstarke Analysen von Protokollen durchzuführen.

Wenn Sie entweder SQL- oder PPL-Befehle verwenden, achten Sie darauf, Felder mit Sonderzeichen (nicht alphabetisch und nicht numerisch) in Backticks einzuschließen, um sie erfolgreich abzufragen. Schließen Sie beispielsweise, und in Backticks ein. @message Operation.Export Test::Field Sie müssen Felder mit rein alphabetischen Namen nicht in Backticks einschließen.

Automatische Erkennung von Protokollfeldern in Protokollen von AWS Diensten wie Amazon Route 53, AWS Lambda AWS CloudTrail, und Amazon VPC sowie in allen Anwendungen oder benutzerdefinierten Protokollen, die Protokollereignisse als JSON ausgeben.

Erstellung von Feldindizes zur Kostenreduzierung und schnelleren Ergebnissen, insbesondere bei Abfragen einer großen Anzahl von Protokollgruppen oder Protokollereignissen. Nachdem Sie Feldindizes für Felder erstellt haben, die in Ihren Protokollereignissen häufig vorkommen, können Sie sie in einer Abfrage verwenden. Die Abfrage überspringt die Verarbeitung von Protokollereignissen, von denen bekannt ist, dass sie das indizierte Feld nicht enthalten, und verarbeitet weniger Daten.

Erkennung und Analyse von Mustern in Ihren Protokollereignissen. Ein Muster ist eine gemeinsame Textstruktur, die sich in Ihren Protokollfeldern wiederholt. Wenn Sie sich die Ergebnisse einer Abfrage ansehen, können Sie die Registerkarte Muster wählen, um die Muster anzuzeigen, die CloudWatch Logs anhand einer Stichprobe Ihrer Ergebnisse gefunden hat.

Speichern von Abfragen , Anzeigen Ihres Abfrageverlaufs, erneutes Ausführen gespeicherter Abfragen und Verwenden von gespeicherten Abfragen mit Parametern.

Hinzufügen von Abfragen zu Dashboards .

Verschlüsseln von Abfrageergebnissen mit. AWS Key Management Service

Durch die Generierung von Abfragen in natürlicher Sprache können Sie CloudWatch Logs Insights-Abfragen in natürlicher Sprache erstellen. Sie können Fragen zu den Daten, nach denen Sie suchen, stellen oder diese beschreiben. Anschließend generiert die KI auf der Grundlage Ihrer Eingabeaufforderung eine Abfrage und erklärt Zeile für Zeile, wie die Abfrage funktioniert.

Verwenden Sie Facetten, um Ihre Logs zu gruppieren, zu filtern und interaktiv zu untersuchen.

Mithilfe von Umgebungsprotokollen können Sie die Protokollzeilen vor und nach einem bestimmten Protokolldatensatz in Ihren Abfrageergebnissen anzeigen, um sich sofort einen Überblick über wichtige Protokollereignisse zu verschaffen. Sie können den Bereich so konfigurieren, dass 5, 10, 20, 50 oder 100 Protokollzeilen vor und nach einem ausgewählten Datensatz angezeigt werden und in den umliegenden Protokollen nach bestimmten Schlüsselwörtern gesucht wird.

Vergleichsabfragen, die Protokollereignisse in einer Protokollgruppe mit Protokollereignissen aus einem früheren Zeitraum vergleichen.