Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Unterstützte Protokolle und erkannte Felder

CloudWatch Logs Insights unterstützt verschiedene Protokolltypen. Für jedes Protokoll, das an eine Protokollgruppe der Standardklasse Amazon CloudWatch Logs gesendet wird, generiert CloudWatch Logs Insights automatisch fünf Systemfelder:

CloudWatch Logs Insights fügt das @-Symbol am Anfang der generierten Felder ein.

Bei vielen Protokolltypen erkennt CloudWatch Logs auch automatisch die in den Protokollen enthaltenen Protokollfelder. Diese automatischen Suchfelder sind in der folgenden Tabelle dargestellt.

Bei anderen Protokolltypen mit Feldern, die CloudWatch Logs Insights nicht automatisch erkennt, können Sie den parse Befehl verwenden, um extrahierte Felder für die Verwendung in dieser Abfrage zu extrahieren und zu erstellen. Weitere Informationen finden Sie unter CloudWatch Syntax der Logs Insights-Abfrage.

Wenn der Name eines erkannten Protokollfeldes mit dem @ Zeichen beginnt, zeigt CloudWatch Logs Insights es mit einem zusätzlichen Zeichen an, das am Anfang @ angehängt wird. Wenn z. B. ein Protokollfeldname @example.comlautet, wird dieser Feldname als @@example.com angezeigt.

Felder in JSON Protokollen

Bei CloudWatch Logs Insights verwenden Sie die Punktnotation zur Darstellung von JSON Feldern. Dieser Abschnitt enthält ein JSON Beispielereignis und einen Codeausschnitt, die zeigen, wie Sie mithilfe der Punktnotation auf JSON Felder zugreifen können.

Beispiel: Ereignis JSON

{
    "eventVersion": "1.0",
    "userIdentity": {
        "type": "IAMUser",
        "principalId": "EX_PRINCIPAL_ID",
        "arn": "arn: aws: iam: : 123456789012: user/Alice",
        "accessKeyId": "EXAMPLE_KEY_ID",
        "accountId": "123456789012",
        "userName": "Alice"
    },
    "eventTime": "2014-03-06T21: 22: 54Z",
    "eventSource": "ec2.amazonaws.com",
    "eventName": "StartInstances",
    "awsRegion": "us-east-2",
    "sourceIPAddress": "192.0.2.255",
    "userAgent": "ec2-api-tools1.6.12.2",
    "requestParameters": {
        "instancesSet": {
            "items": [
                {
                    "instanceId": "i-abcde123"
                }
            ]
        }
    },
    "responseElements": {
        "instancesSet": {
            "items": [
                {
                    "instanceId": "i-abcde123",
                    "currentState": {
                        "code": 0,
                        "name": "pending"
                    },
                    "previousState": {
                        "code": 80,
                        "name": "stopped"
                    }
                }
            ]
        }
    }
}

Das JSON Beispielereignis enthält ein Objekt, das benannt istuserIdentity. userIdentityenthält ein benanntes Feldtype. Um den Wert von type mit Punktnotation darzustellen, verwenden Sie userIdentity.type.

Das JSON Beispielereignis enthält Arrays, die sich zu Listen verschachtelter Feldnamen und Werte zusammenfassen lassen. Verwenden Sie requestParameters.instancesSet.items.0.instanceId, um den Wert von instanceId für das erste Element in requestParameters.instancesSet darzustellen. Die Zahl 0, die vor dem Feld instanceID platziert ist, bezieht sich auf die Position von Werten für das Feld items. Das folgende Beispiel enthält einen Codeausschnitt, der zeigt, wie Sie auf verschachtelte JSON Felder in einem Protokollereignis zugreifen können. JSON

Beispiel: Abfrage

fields @timestamp, @message
| filter requestParameters.instancesSet.items.0.instanceId="i-abcde123"
| sort @timestamp desc

Der Codeausschnitt zeigt eine Abfrage, bei der die Punktnotation mit dem filter Befehl verwendet wird, um auf den Wert des verschachtelten Felds zuzugreifen. JSON instanceId Die Abfrage filtert nach Nachrichten, bei denen der Wert von instanceId "i-abcde123" entspricht, und gibt alle Protokollereignisse zurück, die den angegebenen Wert enthalten.