Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Prosesor transformasi

Prosesor transformasi memodifikasi struktur peristiwa log dengan menambahkan, menyalin, memindahkan, atau menghapus bidang.

prosesor add_entry

Menambahkan pasangan kunci-nilai statis ke peristiwa log. Paling banyak 1 add_entries prosesor dapat ditambahkan ke pipa.

Konfigurasi

Konfigurasikan prosesor add_entry dengan parameter berikut:

processor:
  - add_entries:
      entries:
        - key: "environment"
          value: "production"
          overwrite_if_key_exists: false

pengolah copy_values

Menyalin nilai dari satu bidang ke bidang lainnya. Paling banyak 1 copy_values prosesor dapat ditambahkan ke pipa.

Konfigurasi

Konfigurasikan prosesor copy_values dengan parameter berikut:

processor:
  - copy_values:
      entries:
        - from_key: "user_id"
          to_key: "backup_user"
          overwrite_if_to_key_exists: false

pengolah delete_entry

Menghapus bidang tertentu dari peristiwa log.

Konfigurasi

Konfigurasikan prosesor delete_entry dengan parameter berikut:

processor:
  - delete_entries:
      with_keys: ["temp_field", "debug_info"]

prosesor move_keys

Memindahkan bidang dari satu lokasi ke lokasi lainnya.

Konfigurasi

Konfigurasikan prosesor move_keys dengan parameter berikut:

processor:
  - move_keys:
      entries:
        - from_key: "old_field"
          to_key: "new_field"
          overwrite_if_to_key_exists: true

meratakan prosesor

Meratakan struktur objek bersarang.

Konfigurasi

Konfigurasikan prosesor flatten dengan parameter berikut:

processor:
  - flatten:
      source: "metadata"
      target: "flattened"
      remove_processed_fields: true
      exclude_keys: ["sensitive_data"]

prosesor pencarian

Memperkaya peristiwa log dengan data dari tabel pencarian CloudWatch Logs. Prosesor mencocokkan bidang dalam peristiwa log Anda dengan bidang di tabel pencarian dan menambahkan bidang tertentu ke peristiwa log Anda. Gunakan prosesor ini untuk skenario pengayaan data seperti memetakan ID pengguna ke detail pengguna, kode produk ke informasi produk, atau kode kesalahan ke deskripsi kesalahan. Paling banyak 1 lookup prosesor dapat ditambahkan ke pipa.

Konfigurasi

Konfigurasikan prosesor pencarian dengan parameter berikut:

processor:
  - lookup:
      lookup_table: "arn:aws:logs:us-east-1:123456789012:lookup-table:my_lookup_table"
      match_keys:
        - log_key: "src_ip"
          lookup_key: "ip_address"
      entries:
        - source: "hostname"
          target: "src_hostname"
          overwrite_if_exists: true

Contoh

Pertimbangkan tabel pencarian bernama network_assets dengan baris berikut:

Mengingat peristiwa log berikut:

{
  "timestamp": "2026-05-04T12:00:00Z",
  "src_ip": "10.0.2.45",
  "action": "connection_opened",
  "bytes": 2048
}

Dan konfigurasi prosesor berikut:

processor:
  - lookup:
      lookup_table: "arn:aws:logs:us-east-1:123456789012:lookup-table:network_assets"
      match_keys:
        - log_key: "src_ip"
          lookup_key: "ip_address"
      entries:
        - source: "hostname"
          target: "src_hostname"
        - source: "owner"
        - source: "location"
          target: "src_region"
          overwrite_if_exists: false

Prosesor menghasilkan peristiwa log yang diperkaya berikut:

{
  "timestamp": "2026-05-04T12:00:00Z",
  "src_ip": "10.0.2.45",
  "action": "connection_opened",
  "bytes": 2048,
  "src_hostname": "db-server-03",
  "owner": "team-beta",
  "src_region": "us-west-2"
}

Izin IAM

Ketika pipeline menggunakan prosesor pencarian, peran eksekusi pipeline harus menyertakan logs:GetLookupTable izin untuk tabel yang direferensikan. Contoh pernyataan kebijakan berikut memberikan izin ini:

{
  "Effect": "Allow",
  "Action": "logs:GetLookupTable",
  "Resource": "arn:aws:logs:<region>:<account-id>:lookup-table:<table-name>"
}

prosesor geoip

Prosesor geoip memperkaya peristiwa log dengan data lokasi geografis berdasarkan alamat IP. Prosesor menggunakan MaxMind database untuk menyelesaikan alamat IP ke informasi geografis seperti kota, negara, benua, koordinat, dan rincian nomor sistem otonom (ASN). Gunakan prosesor ini untuk analisis lalu lintas jaringan, pengayaan lokasi pengguna, dan skenario investigasi keamanan.

Konfigurasi

Konfigurasikan prosesor geoip dengan parameter berikut:

processor:
  - geoip:
      entries:
        - source: "client_ip"
          target: "client_geo"
          include_fields:
            - "city_name"
            - "country_name"
            - "country_iso_code"
            - "continent_name"
            - "latitude"
            - "longitude"
          when: '.client_ip != "127.0.0.1"'

Contoh

Contoh berikut menunjukkan contoh peristiwa log dengan bidang alamat IP:

{
  "timestamp": "2026-05-04T12:00:00Z",
  "src_ip": "203.0.113.50",
  "dst_ip": "198.51.100.25",
  "action": "ALLOW",
  "bytes": 4096
}

Konfigurasi prosesor berikut memetakan bidang IP sumber dan tujuan ke target pengayaan geografis:

processor:
  - geoip:
      entries:
        - source: "src_ip"
          target: "src_geo"
          include_fields:
            - "city_name"
            - "country_name"
            - "country_iso_code"
            - "latitude"
            - "longitude"
            - "asn"
            - "asn_organization"
        - source: "dst_ip"
          target: "dst_geo"
          include_fields:
            - "country_name"
            - "country_iso_code"

Prosesor menghasilkan peristiwa log yang diperkaya berikut:

{
  "timestamp": "2026-05-04T12:00:00Z",
  "src_ip": "203.0.113.50",
  "dst_ip": "198.51.100.25",
  "action": "ALLOW",
  "bytes": 4096,
  "src_geo": {
    "city_name": "Seattle",
    "country_name": "United States",
    "country_iso_code": "US",
    "latitude": 47.6062,
    "longitude": -122.3321,
    "asn": 16509,
    "asn_organization": "Amazon.com, Inc."
  },
  "dst_geo": {
    "country_name": "Germany",
    "country_iso_code": "DE"
  }
}