CloudWatch Syntax der Logs Insights-Sprachabfrage

addtotals

Berechnet Zeilen- und Spaltensummen für numerische Felder.

anomaly

Identifiziert mithilfe von maschinellem Lernen ungewöhnliche Muster in Ihren Protokolldaten.

display

Zeigt ein bestimmtes Feld oder bestimmte Felder in den Abfrageergebnissen an.

fields

Zeigt bestimmte Felder in Abfrageergebnissen an und unterstützt Funktionen und Vorgänge mit denen Sie Feldwerte ändern und neue Felder zur Verwendung in Ihrer Abfrage erstellen können.

filter

Filtert die Abfrage so, dass nur die Protokollereignisse zurückgegeben werden, die mindestens einer Bedingung entsprechen.

filterIndex

Zwingt eine Abfrage dazu, nur die Protokollgruppen zu scannen, die beide für das in einem Feldindex erwähnte Feld indexiert sind und auch einen Wert für diesen Feldindex enthalten. Dadurch wird das gescannte Volumen reduziert, indem versucht wird, nur Protokollereignisse aus diesen Protokollgruppen zu scannen, die den in der Abfrage für diesen Feldindex angegebenen Wert enthalten.

Dieser Befehl wird für Protokollgruppen in der Protokollklasse Infrequent Access nicht unterstützt.

pattern

Gruppiert Ihre Protokolldaten automatisch in Muster. Ein Muster ist eine gemeinsame Textstruktur, die sich in Ihren Protokollfeldern wiederholt. CloudWatch Logs Insights bietet Ihnen Möglichkeiten, die in Ihren Protokollereignissen gefundenen Muster zu analysieren. Weitere Informationen finden Sie unter Musteranalyse.

diff

Vergleicht die in Ihrem angeforderten Zeitraum gefundenen Protokollereignisse mit den Protokollereignissen aus einem früheren Zeitraum gleicher Länge, sodass Sie nach Trends suchen und herausfinden können, ob bestimmte Protokollereignisse neu sind.

parse

Extrahiert Daten aus einem Protokollfeld, um ein extrahiertes Feld zu erstellen, das Sie in Ihrer Abfrage verarbeiten können. parse unterstützt sowohl den globalen Modus mit Platzhaltern als auch reguläre Ausdrücke.

sort

Zeigt die zurückgegebenen Protokollereignisse in aufsteigender (asc) oder absteigender (desc) Reihenfolge an.

SOURCE

Das Einbeziehen SOURCE in eine Abfrage ist eine nützliche Methode, um eine große Anzahl von Protokollgruppen anzugeben, die in eine Abfrage aufgenommen werden sollen, basierend auf dem Präfix des Protokollgruppennamens, den Kontokennungen, der Klasse der Protokollgruppen, Datenquellen oder Protokollgruppen-Tags. Dieser Befehl wird nur unterstützt, wenn Sie eine Abfrage in der AWS CLI oder programmgesteuert erstellen, nicht in der Konsole. CloudWatch

stats

Berechnet aggregierte Statistiken anhand der Werte in den Protokollfeldern.

limit

Gibt die maximale Anzahl der Protokollereignisse an, die Ihre Abfrage zurückgeben soll. Nützlich in Verbindung mit sort, um „Top 20“ oder „letzte 20 Ergebnisse“ zu erhalten. Wird verwendetlimit any, um den Scanvorgang frühzeitig zu beenden, sobald genügend Ergebnisse gefunden wurden.

dedup

Entfernt doppelte Ergebnisse auf der Grundlage bestimmter Werte in von Ihnen angegebenen Feldern.

unmask

Zeigt den gesamten Inhalt eines Protokollereignisses an, bei dem einige Inhalte aufgrund einer Datenschutzrichtlinie maskiert wurden. Weitere Informationen zum Datenschutz in Protokollgruppen finden Sie unter Den Schutz vertraulicher Protokolldaten mit Maskierung unterstützen.

unnest

Reduziert eine als Eingabe verwendete Liste, sodass mehrere Datensätze mit einem einzigen Datensatz für jedes Element in der Liste erstellt werden.

lookup

Bereichert Protokollereignisse mit Daten aus einer Nachschlagetabelle, indem Feldwerte abgeglichen werden. Verwenden Sie Nachschlagetabellen, um Referenzdaten wie Benutzerdetails, Anwendungsnamen oder Produktinformationen zu Ihren Abfrageergebnissen hinzuzufügen.

join

Kombiniert Protokollereignisse aus einer Quellprotokollgruppe mit Ereignissen aus einer anderen Protokollgruppe oder einem Abfrageergebnis auf der Grundlage eines passenden Felds. Verwenden Sie den Befehl join, um verwandte Protokollereignisse aus verschiedenen Quellen zu korrelieren, indem Sie ihnen gemeinsame Schlüssel wie übereinstimmende Anforderungskennungen oder Transaktions-IDs verwenden.

subqueries

Eine Unterabfrage ist eine verschachtelte Logs Insights-Abfrage, die als Eingabe für eine andere Abfrage verwendet werden kann. Unterabfragen können verwendet werden, um Zwischenergebnismengen abzuleiten, die dann von nachfolgenden Befehlen verarbeitet werden.

autoregress

Erstellt verzögerte (vorherige Zeile) Kopien der Werte eines Feldes.

logcompare

Vergleicht das aktuelle Zeitfenster mit einem Basisfenster, das um eine Dauer nach hinten verschoben wurde.

filldown

Überträgt den letzten Wert, der nicht Null ist, vorwärts, um Lücken zu füllen.

fillmissing

Fügt Zeilen für leere Zeitabschnitte nach stats by bin () ein und füllt Felder optional mit einer Konstante.

cidrlookup

Bereichert Ereignisse, indem ein IP-Feld mit CIDR-Bereichen in einer Nachschlagetabelle abgeglichen wird.

outlier

Erkennt statistische Ausreißer auf der Grundlage des Interquartilbereichs (IQR) und kann Ausreißerzeilen entfernen oder transformieren.

accum

Berechnet eine laufende kumulative Summe eines numerischen Felds.

appendcols

Hängt Spalten aus einer Unterabfrage an die aktuellen Ergebnisse an, indem die Zeilen nach Position abgeglichen werden.

sessionize

Gruppiert Ereignisse nach Identitätsfeldern und Inaktivitätslücken in Sitzungen.

countFrequent

Gibt eine ungefähre Anzahl jeder eindeutigen Kombination aus Feld und Wert zurück, sortiert in absteigender Reihenfolge.

where

Dient als Grammatik-Alias für den filter Befehl und akzeptiert eine identische Syntax.

Weitere Vorgänge und Funktionen

CloudWatch Logs Insights unterstützt auch viele Vergleichs-, Arithmetik-, Datetime-, numerische, Zeichenketten-, IP-Adressen- und allgemeine Funktionen und Operationen.