Cree índices de campos para mejorar el rendimiento de las consultas y reducir el volumen de digitalización

Puede crear índices de campo de los campos de su registro de eventos para realizar búsquedas eficientes y basadas en la igualdad. Cuando, a continuación, utilice un índice de campos en una consulta de CloudWatch Logs Insights, la consulta intenta omitir el procesamiento de los eventos de registro que se sabe que no incluyen el campo indexado. Esto reduce el volumen de digitalización de las consultas que utilizan índices de campo, lo que permite devolver los resultados con mayor rapidez. Esto puede ayudarle a buscar rápidamente petabytes del total de registros en miles de grupos de registros y a centrarse más rápidamente en los registros relevantes. Los campos adecuados para indexar son aquellos que necesitas consultar con frecuencia. Los campos que tienen una alta cardinalidad de valores también son buenos candidatos para los índices de campo, ya que una consulta que utilice estos índices de campo se completará más rápido, ya que limita los eventos de registro que coinciden con el valor objetivo.

Por ejemplo, supongamos que ha creado un índice de campos para. requestId Luego, cualquier consulta de CloudWatch Logs Insights sobre ese grupo de registros que incluya requestId = value o requestId IN [value, value, ...] intente procesar solo los eventos de registro que se sepa que contienen ese campo indexado y el valor consultado, y que CloudWatch Logs haya detectado un valor para ese campo en el pasado.

También puede aprovechar sus índices de campo para crear consultas eficientes de un mayor número de grupos de registros. Si utiliza el filterIndex comando en la consulta en lugar del filter comando, la consulta se ejecutará en grupos de registros seleccionados en los eventos de registro que tengan índices de campo. Estas consultas pueden analizar hasta 10 000 grupos de registros, que usted elija especificando hasta cinco prefijos de nombre de grupos de registros. Si se trata de una cuenta de monitorización mediante la observación CloudWatch multicuenta, puede elegir todas las cuentas de origen o especificar cuentas de origen individuales para seleccionar los grupos de registros».

Los campos indexados distinguen mayúsculas de minúsculas. Por ejemplo, un índice de campo de RequestId no coincidirá con un evento de registro que contenga. requestId

Los índices de campos solo se admiten para los formatos de registro estructurados JSON y los registros de servicio.

CloudWatch Los registros indexan solo los eventos de registro ingeridos después de crear una política de indexación. No indexa los eventos de registro ingeridos antes de que se creara la política.

En el resto de los temas de esta sección se explica cómo crear índices de campos. Para obtener información sobre cómo hacer referencia a los índices de campo en las consultas, consulte filterIndex y. filter