Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

Registros y campos detectados compatibles

CloudWatch Logs Insights admite diferentes tipos de registros. Por cada registro que se envía a un grupo de registros de clase estándar en Amazon CloudWatch Logs, CloudWatch Logs Insights genera automáticamente cinco campos de sistema:

CloudWatch Logs Insights inserta el símbolo @ al principio de los campos que genera.

Para muchos tipos de registro, CloudWatch Logs también descubre automáticamente los campos de registro contenidos en los registros. Estos campos de detección automática se muestran en la siguiente tabla.

En el caso de otros tipos de CloudWatch registros con campos que Logs Insights no detecta automáticamente, puedes usar el parse comando para extraer y crear campos extraídos para usarlos en esa consulta. Para obtener más información, consulte CloudWatch Sintaxis de consultas del lenguaje Logs Insights.

Si el nombre de un campo de registro descubierto comienza por ese @ carácter, CloudWatch Logs Insights lo muestra con un @ añadido adicional al principio. Por ejemplo, si un nombre de campo de registro es @example.com, este nombre de campo se muestra como @@example.com.

Campos de registros JSON

Con CloudWatch Logs Insights, se utiliza la notación de puntos para representar los campos JSON. Esta sección contiene un ejemplo de evento JSON y fragmento de código que muestra cómo acceder a los campos JSON mediante la notación de puntos.

Ejemplo de evento JSON

{
    "eventVersion": "1.0",
    "userIdentity": {
        "type": "IAMUser",
        "principalId": "EX_PRINCIPAL_ID",
        "arn": "arn: aws: iam: : 123456789012: user/Alice",
        "accessKeyId": "EXAMPLE_KEY_ID",
        "accountId": "123456789012",
        "userName": "Alice"
    },
    "eventTime": "2014-03-06T21: 22: 54Z",
    "eventSource": "ec2.amazonaws.com",
    "eventName": "StartInstances",
    "awsRegion": "us-east-2",
    "sourceIPAddress": "192.0.2.255",
    "userAgent": "ec2-api-tools1.6.12.2",
    "requestParameters": {
        "instancesSet": {
            "items": [
                {
                    "instanceId": "i-abcde123"
                }
            ]
        }
    },
    "responseElements": {
        "instancesSet": {
            "items": [
                {
                    "instanceId": "i-abcde123",
                    "currentState": {
                        "code": 0,
                        "name": "pending"
                    },
                    "previousState": {
                        "code": 80,
                        "name": "stopped"
                    }
                }
            ]
        }
    }
}

El evento JSON de ejemplo contiene un objeto denominado userIdentity. userIdentitycontiene un campo que se llama type. Para representar el valor de type usando una notación de puntos, use userIdentity.type.

El evento JSON de ejemplo contiene matrices que se aplanan en listas de nombres y valores de campo anidados. Para representar el valor de instanceId para el primer elemento de requestParameters.instancesSet, utilice requestParameters.instancesSet.items.0.instanceId. El número 0 que se coloca antes del campo instanceID hace referencia a la posición de los valores para el campo items. El siguiente ejemplo contiene un fragmento de código que muestra cómo puede acceder a los campos JSON anidados en un evento de registro JSON.

Ejemplo: consulta

fields @timestamp, @message
| filter requestParameters.instancesSet.items.0.instanceId="i-abcde123"
| sort @timestamp desc

El fragmento de código muestra una consulta que utiliza la notación de puntos con el comando filter para acceder al valor del campo JSON anidado instanceId. La consulta se filtra en los mensajes donde el valor de instanceId es igual a "i-abcde123" y devuelve todos los eventos de registro que contienen el valor especificado.

Notación de puntos y campos JSON-encoded de cadenas

La notación de puntos solo recorre los campos que se almacenan como objetos JSON anidados estructuralmente en el momento de la ingesta. Si el valor de un campo es una JSON-encoded cadena (una cadena cuyo contenido resulta ser un JSON válido), la notación de puntos lo trata como un valor de hoja opaco y no accede a los subcampos que contiene.

Esto suele ocurrir con:

Por ejemplo, si api.request.data contiene un valor de cadena, no api.request.data.startTime devuelve ningún resultado porque CloudWatch Logs Insights trata la cadena completa {"startTime":1234,"endTime":5678} como un valor de hoja única y no como un objeto anidado.

Para acceder a los subcampos de una JSON-encoded cadena, utilícela jsonParse para convertir la cadena en un mapa transitable.

Ejemplo: consulta con JSONParse para un campo de cadena JSON-encoded

fields jsonParse(api.request.data).startTime as startTime

Esta consulta se utiliza jsonParse para analizar la JSON-encoded cadena api.request.data en un mapa y, a continuación, acceder al startTime subcampo con notación de puntos. Para obtener más información al respectojsonParse, consulte Tipos de estructura.