dedup

Utilizza dedup per rimuovere i risultati duplicati in base a valori specifici nei campi indicati. Puoi utilizzare dedup con uno o più campi. Se specifichi un campo con dedup, viene restituito un solo log eventi per ogni valore univoco di tale campo. Se specifichi più campi, viene restituito un log eventi per ogni combinazione univoca di valori per tali campi.

I duplicati vengono eliminati in base al criterio di ordinamento, conservando solo il primo risultato dell'ordinamento. Ti consigliamo di ordinare i risultati prima di sottoporli al comando dedup. Se i risultati non vengono ordinati prima di essere sottoposti a dedup, viene utilizzato l'ordinamento decrescente predefinito tramite @timestamp.

I valori nulli non sono considerati duplicati per la valutazione. I log eventi con valori nulli per uno qualsiasi dei campi specificati vengono conservati. Per eliminare i campi con valori nulli, utilizza filter tramite la funzione isPresent(field).

L'unico comando di query che puoi utilizzare in una query dopo il comando dedup è limit.

Esempio: visualizza solo il log eventi più recente per ogni valore univoco del campo denominato server

L'esempio seguente mostra i campi timestamp, server, severity e message solo per l'evento più recente per ogni valore univoco di server.

fields @timestamp, server, severity, message 
| sort @timestamp desc 
| dedup server

Per altri esempi di query di CloudWatch Logs Insights, consulta. Query generali