Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Journaux pris en charge et champs découverts

CloudWatch Logs Insights prend en charge différents types de journaux. Pour chaque journal envoyé à un groupe de journaux de classe Standard dans Amazon CloudWatch Logs, CloudWatch Logs Insights génère automatiquement cinq champs système :

CloudWatch Logs Insights insère le symbole @ au début des champs qu'il génère.

Pour de nombreux types de CloudWatch journaux, Logs découvre également automatiquement les champs de journal contenus dans les journaux. Ces champs de détection automatique figurent dans le tableau suivant.

Pour les autres types de journaux contenant des champs que CloudWatch Logs Insights ne découvre pas automatiquement, vous pouvez utiliser la parse commande pour extraire et créer des champs extraits à utiliser dans cette requête. Pour de plus amples informations, veuillez consulter CloudWatch Syntaxe des requêtes linguistiques de Logs Insights.

Si le nom d'un champ de journal découvert commence par ce @ caractère, CloudWatch Logs Insights l'affiche avec un caractère supplémentaire @ ajouté au début. Par exemple, si un nom de champ de journal est @example.com, ce nom de champ s'affiche sous la forme de @@example.com.

Champs des journaux JSON

Avec CloudWatch Logs Insights, vous utilisez la notation par points pour représenter les champs JSON. Cette section contient un exemple d'événement JSON et un extrait de code qui montre comment vous pouvez accéder aux champs JSON à l'aide de la notation par points.

Exemple : événement JSON

{
    "eventVersion": "1.0",
    "userIdentity": {
        "type": "IAMUser",
        "principalId": "EX_PRINCIPAL_ID",
        "arn": "arn: aws: iam: : 123456789012: user/Alice",
        "accessKeyId": "EXAMPLE_KEY_ID",
        "accountId": "123456789012",
        "userName": "Alice"
    },
    "eventTime": "2014-03-06T21: 22: 54Z",
    "eventSource": "ec2.amazonaws.com",
    "eventName": "StartInstances",
    "awsRegion": "us-east-2",
    "sourceIPAddress": "192.0.2.255",
    "userAgent": "ec2-api-tools1.6.12.2",
    "requestParameters": {
        "instancesSet": {
            "items": [
                {
                    "instanceId": "i-abcde123"
                }
            ]
        }
    },
    "responseElements": {
        "instancesSet": {
            "items": [
                {
                    "instanceId": "i-abcde123",
                    "currentState": {
                        "code": 0,
                        "name": "pending"
                    },
                    "previousState": {
                        "code": 80,
                        "name": "stopped"
                    }
                }
            ]
        }
    }
}

L'exemple d'événement JSON contient un objet nommé userIdentity. userIdentity contient un champ nommé type. Pour représenter la valeur de type à l'aide de la notation par points, vous utilisez userIdentity.type.

L'exemple d'événement JSON contient des matrices qui s'aplatissent en listes de noms et de valeurs de champs imbriqués. Pour représenter la valeur de instanceId pour le premier élément de requestParameters.instancesSet, vous utilisez requestParameters.instancesSet.items.0.instanceId. Le numéro 0 placé avant le champ instanceID fait référence à la position des valeurs pour le champ items. L'exemple suivant contient un extrait de code qui montre comment vous pouvez accéder aux champs JSON imbriqués dans un événement du journal JSON.

Exemple : requête

fields @timestamp, @message
| filter requestParameters.instancesSet.items.0.instanceId="i-abcde123"
| sort @timestamp desc

L'extrait de code affiche une requête qui utilise la notation par points avec la commande filter pour accéder à la valeur du champ JSON imbriqué instanceId. La requête filtre les messages dont la valeur de instanceId équivaut à "i-abcde123" et renvoie tous les événements du journal contenant la valeur spécifiée.

Notation par points et champs JSON-encoded de chaînes

La notation par points ne traverse que les champs qui sont stockés en tant qu'objets JSON structurellement imbriqués au moment de l'ingestion. Si la valeur d'un champ est une JSON-encoded chaîne (une chaîne dont le contenu est un JSON valide), la notation par points la traite comme une valeur de feuille opaque et n'accède pas aux sous-champs qu'il contient.

Cela se produit fréquemment avec :

Par exemple, si api.request.data contient {"startTime":1234,"endTime":5678} en tant que valeur de chaîne, elle ne api.request.data.startTime renvoie aucun résultat car CloudWatch Logs Insights traite la chaîne entière comme une valeur de feuille unique plutôt que comme un objet imbriqué.

Pour accéder aux sous-champs d'une JSON-encoded chaîne, utilisez cette option jsonParse pour convertir la chaîne en une carte traversable.

Exemple : requête utilisant JSONParse pour un champ de chaîne JSON-encoded

fields jsonParse(api.request.data).startTime as startTime

Cette requête permet jsonParse d'analyser la JSON-encoded chaîne api.request.data dans une carte, puis d'accéder au startTime sous-champ avec une notation par points. Pour plus d'informationsjsonParse, consultez la section Types de structure.