Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

chercher

Utilisez-le lookup pour enrichir les résultats de votre requête avec des données de référence provenant d'une table de recherche. Vous pouvez remplir une table de recherche avec les données CSV que vous chargez sur Amazon CloudWatch Logs, ou avec les résultats d'une requête de journal terminée ou annulée. Lorsqu'une requête est exécutée, la lookup commande compare un champ de votre journal des événements à un champ de la table de recherche et ajoute les champs de sortie spécifiés aux résultats.

Utilisez des tables de recherche pour les scénarios d'enrichissement des données, tels que le mappage des ID utilisateur avec les détails de l'utilisateur, des codes de produit avec des informations sur le produit ou des codes d'erreur avec des descriptions d'erreurs.

Création et gestion de tables de recherche

Avant de pouvoir utiliser la lookup commande dans une requête, vous devez créer une table de recherche. Vous pouvez créer et gérer des tables de recherche depuis la CloudWatch console ou à l'aide de l'API Amazon CloudWatch Logs.

Pour créer une table de recherche (console)

Après avoir créé une table de recherche, vous pouvez l'afficher dans l'éditeur de requêtes CloudWatch Logs Insights. Choisissez l'onglet Tables de recherche pour parcourir les tables disponibles et leurs champs.

Pour mettre à jour une table de recherche, sélectionnez-la et choisissez Actions, Mettre à jour. Téléchargez un nouveau fichier CSV pour remplacer tout le contenu existant. Pour supprimer une table de recherche, choisissez Actions, Supprimer.

Au lieu de télécharger des données CSV, vous pouvez également créer ou mettre à jour une table de recherche à partir des résultats d'une requête de journal terminée ou annulée que vous exécutez dans la console Log Analytics ou avec l'API Amazon CloudWatch Logs. Spécifiez l'ID de requête avec le queryId paramètre de l'UpdateLookupTableAPI CreateLookupTable or. Une requête annulée remplit le tableau avec les résultats partiels qui étaient disponibles lorsque la requête a été arrêtée. Vous devez spécifier le contenu CSV ou un ID de requête, mais pas les deux. La mise à jour d'un tableau est une opération de remplacement complet : tout le contenu existant est remplacé quelle que soit sa source. Pour actualiser automatiquement une table de recherche avec les résultats de la requête selon un calendrier, utilisez une requête planifiée avec une destination de table de recherche. Pour de plus amples informations, veuillez consulter Configuration des destinations des tables de recherche pour les requêtes planifiées.

Syntaxe de requête pour la recherche

Structure de commande

Le format de cette commande est illustré ci-dessous.

lookup table match-fields output-mode output-field[,...]

La commande utilise les arguments suivants :

Exemple : enrichir les événements du journal avec les détails de l'utilisateur

Supposons que vous disposiez d'un groupe de journaux contenant des événements contenant un id champ et d'une table de recherche nommée user_data avec des colonnes idname,email, etdepartment. La requête suivante enrichit chaque événement du journal avec le nom, l'adresse e-mail et le service de l'utilisateur à partir de la table de recherche.

fields action, status, name, email, department
| lookup user_data id OUTPUT name, email, department

Exemple : utiliser la recherche avec agrégation

Vous pouvez utiliser des champs de sortie de recherche avec des fonctions d'agrégation. La requête suivante enrichit les événements du journal avec les détails de l'utilisateur, puis compte les événements regroupés par adresse e-mail.

fields user_id, action, username, email, department
| lookup user_data user_id OUTPUT username, email, department
| stats count(*) by email

Exemple : Utiliser la recherche avec un filtre

Vous pouvez filtrer les résultats en fonction des champs renvoyés par la recherche. La requête suivante enrichit les événements du journal, puis filtre pour n'afficher que les événements d'un service spécifique.

fields user_id, action
| lookup user_data user_id OUTPUT username, email, department
| filter department = "Engineering"

Exemple : utilisez OUTPUTNEW pour enrichir sans réécrire

Si les événements de votre journal contiennent déjà un hostname champ mais que celui-ci est parfois vide, utilisez-le OUTPUTNEW pour remplir les valeurs manquantes sans remplacer les valeurs existantes.

fields srcAddr, hostname
| lookup known_hosts ip_address as srcAddr OUTPUTNEW hostname, region

Exemple : utiliser la recherche avec plusieurs champs de correspondance

Vous pouvez égaler sur plus d'un champ. La requête suivante correspond à la fois à la dstPort table de recherche srcAddr et à celle-ci pour identifier les services réseau connus.

fields @timestamp, srcAddr, dstAddr, dstPort
| lookup network_services ip_address as srcAddr, port as dstPort OUTPUT service_name, owner
| filter ispresent(service_name)

Exemple : utiliser la fonction de recherche avec les noms de champs correspondants

Lorsque les noms de vos champs d'événements de journal correspondent exactement aux noms des colonnes de la table de recherche, vous pouvez omettre le as mot clé. La requête suivante fait correspondre department les deux role champs directement à la table de recherche.

fields @timestamp, department, role
| lookup employees department, role OUTPUT office, manager