Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Dichiarazioni delle origini

In Amazon Kinesis Agent per Microsoft Windows,Dichiarazioni delle originidescrivono dove e quali dati di registro, evento e metrica devono essere raccolti. Inoltre, è possibile specificare le informazioni per l'analisi dei tali dati in modo che possano essere trasformati. Le seguenti sezioni descrivono le configurazioni per i tipi di origine integrati che sono disponibili in Kinesis Agent per Windows. Poiché Kinesis Agent per Windows è ampliabile, è possibile aggiungere tipi di origine personalizzati. Ogni tipo di origine di solito richiede coppie chiave-valore specifiche negli oggetti di configurazione che sono rilevanti per quel tipo di origine.

Tutte le dichiarazioni di origini devono contenere almeno le seguenti coppie chiave-valore:

Per esempi di file di configurazione completi che utilizzano diversi tipi di dichiarazioni di origini, vedi Streaming da diverse origini a Kinesis Data Streams.

Configurazione DirectorySource

Overview

Il tipo di origine DirectorySource raccoglie i log di file memorizzati nella directory specificata. Poiché i file di log sono disponibili in molti formati diversi, la dichiarazione DirectorySource consente di specificare il formato dei dati nel file di log. Quindi è possibile trasformare i contenuti dei log in un formato standard, ad esempio JSON o XML, prima di eseguire lo streaming a vari servizi AWS.

Di seguito è riportato un esempio della dichiarazione DirectorySource:

{
	   "Id": "myLog",
	   "SourceType": "DirectorySource",
	   "Directory": "C:\\Program Data\\MyCompany\\MyService\\logs",
	   "FileNameFilter": "*.log",
	   "IncludeSubdirectories": true,
	   "IncludeDirectoryFilter": "cpu\\cpu-1;cpu\\cpu-2;load;memory",
	   "RecordParser": "Timestamp",
	   "TimestampFormat": "yyyy-MM-dd HH:mm:ss.ffff",
	   "Pattern": "\\d{4}-\\d{2}-\\d(2}",
	   "ExtractionPattern": "",
	   "TimeZoneKind": "UTC",
	   "SkipLines": 0,
	   "Encoding": "utf-16",
	   "ExtractionRegexOptions": "Multiline"
}

Tutte le dichiarazioni DirectorySource possono fornire le seguenti coppie chiave-valore:

Parser di record Regex

È possibile analizzare i log di testo non strutturati usando il parser di record Regex insieme alle coppie chiave-valore TimestampFormat, Pattern e ExtractionPattern. Supponiamo, ad esempio, che il file di log appaia come il seguente:

[FATAL][2017/05/03 21:31:00.534][0x00003ca8][0000059c][][ActivationSubSystem][GetActivationForSystemID][0] 'ActivationException.File: EQCASLicensingSubSystem.cpp'
[FATAL][2017/05/03 21:31:00.535][0x00003ca8][0000059c][][ActivationSubSystem][GetActivationForSystemID][0] 'ActivationException.Line: 3999'   
  

È possibile specificare l'espressione regolare per la coppia chiave-valore Pattern per aiutare a dividere il file di log in singole voci di log:

^\[\w+\]\[(?<TimeStamp>\d{4}/\d{2}/\d{2} \d{2}:\d{2}:\d{2}\.\d{3})\]   
  

Questa espressione regolare corrisponde alla sequenza seguente:

È possibile specificare il formato seguente per la coppia chiave-valore TimestampFormat per convertire il timestamp testuale in una data e un'ora:

yyyy/MM/dd HH:mm:ss.fff

È possibile utilizzare la seguente espressione regolare per estrarre i campi dei record di log tramite la coppia chiave-valore ExtractionPattern.

^\[(?<Severity>\w+)\]\[(?<TimeStamp>\d{4}/\d{2}/\d{2} \d{2}:\d{2}:\d{2}\.\d{3})\]\[[^]]*\]\[[^]]*\]\[[^]]*\]\[(?<SubSystem>\w+)\]\[(?<Module>\w+)\]\[[^]]*\] '(?<Message>.*)'$

Questa espressione regolare corrisponde ai seguenti gruppi in sequenza:

La seguente dichiarazione di origine abbina queste espressioni regolari e il formato data ora per fornire le istruzioni complete all'agente Kinesis per Windows per l'analisi di questo tipo di file di log.

{
    "Id": "PrintLog",
    "SourceType": "DirectorySource",
    "Directory": "C:\\temp\\PrintLogTest",
    "FileNameFilter": "*.log",
    "RecordParser": "Regex",
    "TimestampFormat": "yyyy/MM/dd HH:mm:ss.fff",
    "Pattern": "^\\[\\w+\\]\\[(?<TimeStamp>\\d{4}/\\d{2}/\\d{2} \\d{2}:\\d{2}:\\d{2}\\.\\d{3})\\]",
    "ExtractionPattern": "^\\[(?<Severity>\\w+)\\]\\[(?<TimeStamp>\\d{4}/\\d{2}/\\d{2} \\d{2}:\\d{2}:\\d{2}\\.\\d{3})\\]\\[[^]]*\\]\\[[^]]*\\]\\[[^]]*\\]\\[(?<SubSystem>\\w+)\\]\\[(?<Module>\\w+)\\]\\[[^]]*\\] '(?<Message>.*)'$",
    "TimeZoneKind": "UTC"
}

Per ulteriori informazioni sulle espressioni regolari, vedere Regular Expression Language - Guida di riferimento rapida nella documentazione di Microsoft.NET.

Parser di record Delimited

È possibile usare il parser di record Delimited per analizzare file di dati e di log semistrutturati in cui vi è una sequenza di caratteri coerente che separa ogni colonna di dati in ogni riga di dati. Ad esempio, i file CSV utilizzano la virgola per separare ogni colonna di dati, mentre i file TSV utilizzano una tabulazione.

Supponiamo che si desidera analizzare un file di log Microsoft NPS Database Format creato da un server dei criteri di rete. Di seguito è riportato un possibile esempio di tale file:

"NPS-MASTER","IAS",03/22/2018,23:07:55,1,"user1","Domain1\user1",,,,,,,,0,"192.168.86.137","Nate - Test 1",,,,,,,1,,0,"311 1 192.168.0.213 03/15/2018 08:14:29 1",,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,"Use Windows authentication for all users",1,,,,
"NPS-MASTER","IAS",03/22/2018,23:07:55,3,,"Domain1\user1",,,,,,,,0,"192.168.86.137","Nate - Test 1",,,,,,,1,,16,"311 1 192.168.0.213 03/15/2018 08:14:29 1",,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,"Use Windows authentication for all users",1,,,,

Il seguente file di configurazione di esempio DirectorySource include una dichiarazione appsettings.json che utilizza il parser di record Delimited per analizzare questo testo nella rappresentazione di un oggetto. Quindi, effettua lo streaming di dati in formato JSON a Kinesis Data Firehose:

{
    "Sources": [
        {
            "Id": "NPS",
            "SourceType": "DirectorySource",
            "Directory": "C:\\temp\\NPS",
            "FileNameFilter": "*.log",
            "RecordParser": "Delimited",
            "Delimiter": ",",
            "Headers": "ComputerName,ServiceName,Record-Date,Record-Time,Packet-Type,User-Name,Fully-Qualified-Distinguished-Name,Called-Station-ID,Calling-Station-ID,Callback-Number,Framed-IP-Address,NAS-Identifier,NAS-IP-Address,NAS-Port,Client-Vendor,Client-IP-Address,Client-Friendly-Name,Event-Timestamp,Port-Limit,NAS-Port-Type,Connect-Info,Framed-Protocol,Service-Type,Authentication-Type,Policy-Name,Reason-Code,Class,Session-Timeout,Idle-Timeout,Termination-Action,EAP-Friendly-Name,Acct-Status-Type,Acct-Delay-Time,Acct-Input-Octets,Acct-Output-Octets,Acct-Session-Id,Acct-Authentic,Acct-Session-Time,Acct-Input-Packets,Acct-Output-Packets,Acct-Terminate-Cause,Acct-Multi-Ssn-ID,Acct-Link-Count,Acct-Interim-Interval,Tunnel-Type,Tunnel-Medium-Type,Tunnel-Client-Endpt,Tunnel-Server-Endpt,Acct-Tunnel-Conn,Tunnel-Pvt-Group-ID,Tunnel-Assignment-ID,Tunnel-Preference,MS-Acct-Auth-Type,MS-Acct-EAP-Type,MS-RAS-Version,MS-RAS-Vendor,MS-CHAP-Error,MS-CHAP-Domain,MS-MPPE-Encryption-Types,MS-MPPE-Encryption-Policy,Proxy-Policy-Name,Provider-Type,Provider-Name,Remote-Server-Address,MS-RAS-Client-Name,MS-RAS-Client-Version",
            "TimestampField": "{Record-Date} {Record-Time}",
            "TimestampFormat": "MM/dd/yyyy HH:mm:ss"
        }
    ],
    "Sinks": [
        {
            "Id": "npslogtest",
            "SinkType": "KinesisFirehose",
            "Region": "us-west-2",
            "StreamName": "npslogtest",
            "Format": "json"
        }
    ],
    "Pipes": [
        {
            "Id": "W3SVCLog1ToKinesisStream",
            "SourceRef": "NPS",
            "SinkRef": "npslogtest"
        }
    ]
}

I dati in formato JSON trasmessi in streaming a Kinesis Data Firehose hanno l'aspetto seguente:

{
    "ComputerName": "NPS-MASTER",
    "ServiceName": "IAS",
    "Record-Date": "03/22/2018",
    "Record-Time": "23:07:55",
    "Packet-Type": "1",
    "User-Name": "user1",
    "Fully-Qualified-Distinguished-Name": "Domain1\\user1",
    "Called-Station-ID": "",
    "Calling-Station-ID": "",
    "Callback-Number": "",
    "Framed-IP-Address": "",
    "NAS-Identifier": "",
    "NAS-IP-Address": "",
    "NAS-Port": "",
    "Client-Vendor": "0",
    "Client-IP-Address": "192.168.86.137",
    "Client-Friendly-Name": "Nate - Test 1",
    "Event-Timestamp": "",
    "Port-Limit": "",
    "NAS-Port-Type": "",
    "Connect-Info": "",
    "Framed-Protocol": "",
    "Service-Type": "",
    "Authentication-Type": "1",
    "Policy-Name": "",
    "Reason-Code": "0",
    "Class": "311 1 192.168.0.213 03/15/2018 08:14:29 1",
    "Session-Timeout": "",
    "Idle-Timeout": "",
    "Termination-Action": "",
    "EAP-Friendly-Name": "",
    "Acct-Status-Type": "",
    "Acct-Delay-Time": "",
    "Acct-Input-Octets": "",
    "Acct-Output-Octets": "",
    "Acct-Session-Id": "",
    "Acct-Authentic": "",
    "Acct-Session-Time": "",
    "Acct-Input-Packets": "",
    "Acct-Output-Packets": "",
    "Acct-Terminate-Cause": "",
    "Acct-Multi-Ssn-ID": "",
    "Acct-Link-Count": "",
    "Acct-Interim-Interval": "",
    "Tunnel-Type": "",
    "Tunnel-Medium-Type": "",
    "Tunnel-Client-Endpt": "",
    "Tunnel-Server-Endpt": "",
    "Acct-Tunnel-Conn": "",
    "Tunnel-Pvt-Group-ID": "",
    "Tunnel-Assignment-ID": "",
    "Tunnel-Preference": "",
    "MS-Acct-Auth-Type": "",
    "MS-Acct-EAP-Type": "",
    "MS-RAS-Version": "",
    "MS-RAS-Vendor": "",
    "MS-CHAP-Error": "",
    "MS-CHAP-Domain": "",
    "MS-MPPE-Encryption-Types": "",
    "MS-MPPE-Encryption-Policy": "",
    "Proxy-Policy-Name": "Use Windows authentication for all users",
    "Provider-Type": "1",
    "Provider-Name": "",
    "Remote-Server-Address": "",
    "MS-RAS-Client-Name": "",
    "MS-RAS-Client-Version": ""
}   

Parser di record SysLog

Per il parser di record SysLog, l'output analizzato dalla sorgente include le informazioni riportate di seguito:

Di seguito è riportato un esempio di dati SysLog trasformati nel formato JSON:

{
    "SysLogTimeStamp": "Jun 18 01:34:56",
    "Hostname": "myhost1.example.mydomain.com",
    "Program": "mymailservice:",
    "Message": "Info: ICID 123456789 close",
    "TimeStamp": "2017-06-18T01:34.56.000"
}

Summary

Di seguito sono illustrate le coppie chiave-valore disponibili per l'origine DirectorySource e i RecordParser relativi alle coppie chiave-valore.

Configurazione ExchangeLogSource

Il tipo ExchangeLogSource viene utilizzato per raccogliere i log da Microsoft Exchange. Exchange produce log in diversi tipi di formati di log. Questo tipo di origine li analizza tutti. Sebbene sia possibile analizzarli utilizzando il tipo DirectorySource con il record parser Regex, è molto più semplice utilizzare ExchangeLogSource. Questo perché non è più necessario progettare e fornire espressioni regolari per i formati di file di log. Di seguito è riportato un esempio della dichiarazione ExchangeLogSource:

{
   "Id": "MyExchangeLog",
   "SourceType": "ExchangeLogSource",
   "Directory": "C:\\temp\\ExchangeLogTest",
   "FileNameFilter": "*.log"
}

Tutte le dichiarazioni di scambio possono offrire le seguenti coppie chiave-valore:

Configurazione W3SVCLogSource

Il tipo W3SVCLogSource viene utilizzato per raccogliere i log da Internet Information Services (IIS) per Windows.

Di seguito è riportato un esempio della dichiarazione W3SVCLogSource:

{
   "Id": "MyW3SVCLog",
   "SourceType": "W3SVCLogSource",
   "Directory": "C:\\inetpub\\logs\\LogFiles\\W3SVC1",
   "FileNameFilter": "*.log"
}

Tutte le dichiarazioni W3SVCLogSource possono fornire le seguenti coppie chiave-valore:

Configurazione UlsSource

Il tipo UlsSource viene utilizzato per raccogliere i log da Microsoft SharePoint. Di seguito è riportato un esempio della dichiarazione UlsSource:

{
    "Id": "UlsSource",
    "SourceType": "UlsSource",
    "Directory": "C:\\temp\\uls",
    "FileNameFilter": "*.log"
}

Tutte le dichiarazioni UlsSource possono fornire le seguenti coppie chiave-valore:

Configurazione WindowsEventLogSource

Il tipo WindowsEventLogSource viene utilizzato per raccogliere gli eventi dal servizio Log eventi di Windows. Di seguito è riportato un esempio della dichiarazione WindowsEventLogSource:

{
    "Id": "mySecurityLog",
    "SourceType": "WindowsEventLogSource",
    "LogName": "Security"
}

Tutte le dichiarazioni WindowsEventLogSource possono fornire le seguenti coppie chiave-valore:

L'output analizzato da WindowsEventLogSource contiene le informazioni riportate di seguito:

Di seguito è illustrato un esempio di un evento trasformato in JSON:

{[ 
    "EventId": 7036, 
    "Description": "The Amazon SSM Agent service entered the stopped state.", 
    "LevelDisplayName": "Informational", 
    "LogName": "System", 
    "MachineName": "mymachine.mycompany.com", 
    "ProviderName": "Service Control Manager", 
    "TimeCreated": "2017-10-04T16:42:53.8921205Z", 
    "Index": 462335, 
    "UserName": null, 
    "Keywords": "Classic", 
    "EventData": [ 
    "Amazon SSM Agent", 
    "stopped", 
    "rPctBAMZFhYubF8zVLcrBd3bTTcNzHvY5Jc2Br0aMrxxx==" 
]}

Configurazione WindowsEventLogPollingSource

WindowsEventLogPollingSourceutilizza un meccanismo basato sul polling per raccogliere tutti i nuovi eventi dal registro eventi che corrispondono ai parametri configurati. L'intervallo di polling viene aggiornato dinamicamente tra 100 ms e 5000 ms a seconda del numero di eventi raccolti durante l'ultimo sondaggio. Di seguito è riportato un esempio della dichiarazione WindowsEventLogPollingSource:

{
    "Id": "MySecurityLog",
    "SourceType": "WindowsEventLogPollingSource",
    "LogName": "Security",
    "IncludeEventData": "true",
    "Query": "",
    "CustomFilters": "ExcludeOwnSecurityEvents"
}

Tutte le dichiarazioni WindowsEventLogPollingSource possono fornire le seguenti coppie chiave-valore:

Configurazione WindowsETWEventSource

Il tipo WindowsETWEventSource viene utilizzato per raccogliere tracce di eventi di servizi e di applicazioni utilizzando una funzionalità denominata Event Tracing for Windows (ETW). Per ulteriori informazioni, consulta Tracciamento degli eventi nella documentazione di Windows.

Di seguito è riportato un esempio della dichiarazione WindowsETWEventSource:

{
    "Id": "ClrETWEventSource",
    "SourceType": "WindowsETWEventSource",
    "ProviderName": "Microsoft-Windows-DotNETRuntime",
    "TraceLevel": "Verbose",
    "MatchAnyKeyword": 32768
}

Tutte le dichiarazioni WindowsETWEventSource possono fornire le seguenti coppie chiave-valore:

L'output da WindowsETWEventSource contiene le informazioni riportate di seguito per ogni evento:

Di seguito è illustrato un esempio di un evento trasformato in JSON:

{ 
     "EventName": "Exception/Start", 
     "ProviderName": "Microsoft-Windows-DotNETRuntime", 
     "FormattedMessage": "ExceptionType=System.Exception;\r\nExceptionMessage=Intentionally unhandled exception.;\r\nExceptionEIP=0x2ab0499;\r\nExceptionHRESULT=-2,146,233,088;\r\nExceptionFlags=CLSCompliant;\r\nClrInstanceID=9 ",
     "ProcessID": 3328, 
     "ExecutingThreadID": 6172, 
     "MachineName": "MyHost.MyCompany.com", 
     "Payload": 
      { 
        "ExceptionType": "System.Exception", 
        "ExceptionMessage": "Intentionally unhandled exception.", 
        "ExceptionEIP": 44762265, 
        "ExceptionHRESULT": -2146233088, 
        "ExceptionFlags": 16, 
        "ClrInstanceID": 9 
      } 
}

Configurazione WindowsPerformanceCounterSource

Il tipo WindowsPerformanceCounterSource raccoglie parametri contatori di prestazioni da Windows. Di seguito è riportato un esempio della dichiarazione WindowsPerformanceCounterSource:

{
	"Id": "MyPerformanceCounter",
	"SourceType": "WindowsPerformanceCounterSource",
	"Categories": [{
			"Category": "Server",
			"Counters": ["Files Open", "Logon Total", "Logon/sec", "Pool Nonpaged Bytes"]
		},
		{
			"Category": "System",
			"Counters": ["Processes", "Processor Queue Length", "System Up Time"]
		},
		{
			"Category": "LogicalDisk",
			"Instances": "*",
			"Counters": [
				"% Free Space", "Avg. Disk Queue Length",
				{
					"Counter": "Disk Reads/sec",
					"Unit": "Count/Second"
				},
				"Disk Writes/sec"
			]
		},
		{
			"Category": "Network Adapter",
			"Instances": "^Local Area Connection\* \d$",
			"Counters": ["Bytes Received/sec", "Bytes Sent/sec"]
		}
	]
}

Tutte le dichiarazioni WindowsPerformanceCounterSource possono fornire le seguenti coppie chiave-valore:

WindowsPerformanceCounterSourcePuò essere utilizzato solo con una pipe che specifica un sink Amazon CloudWatch. Utilizzare un sink separato se i parametri integrati di Kinesis Agent per Windows vengono trasmessi in streaming anche a CloudWatch. Esaminare il log di Kinesis Agent per Windows dopo l'avvio del servizio per stabilire quali unità sono state desunte per i contatori quando queste non sono state specificate nella finestra diWindowsPerformanceCounterSourceDichiarazioni. Utilizzare PowerShell per stabilire i nomi validi per categorie, istanze e contatori.

Per visualizzare informazioni su tutte le categorie, inclusi i contatori associati a set di contatori, eseguire questo comando in una finestra di PowerShell:

    Get-Counter -ListSet * | Sort-Object
   

Per stabilire quali istanze sono disponibili per ciascuno dei contatori nel set di contatori, eseguire un comando simile a quello dell'esempio seguente in una finestra di PowerShell:

    Get-Counter -Counter "\Process(*)\% Processor Time"
   

Il valore del parametro Counter deve essere uno dei percorsi da un membro PathsWithInstances elencato dalla precedente invocazione del comando Get-Counter -ListSet.

Origine dei parametri integrati di Kinesis Agent per Windows

Oltre alle fonti di metriche ordinarie, come ilWindowsPerformanceCounterSourcetipo (vedereConfigurazione WindowsPerformanceCounterSource), il tipo di sink CloudWatch è in grado di ricevere i parametri da un'origine speciale che raccoglie i parametri sull'agente Kinesis per Windows. I parametri di Kinesis Agent per Windows sono disponibili anche nellaKinesisTapdei contatori delle prestazioni di Windows.

LaMetricsFilterLa coppia chiave-valore per le dichiarazioni sink CloudWatch specifica quali parametri vengono trasmessi a CloudWatch dall'origine integrata di parametri Kinesis Agent per Windows. Il valore è una stringa che contiene una o più espressioni di filtro separate da punti e virgola; ad esempio:

"MetricsFilter": "FilterExpression1;FilterExpression2"

Una metrica che corrisponde a una o più espressioni di filtro viene inviata in streaming a CloudWatch.

I parametri di istanze singole sono di natura globale e non sono associati a origini o sink particolari. I parametri di più istanze sono dimensionali in base alla sorgente o alla dichiarazione del sink Id. Ogni tipo di origine o sink può avere una serie diversa di parametri.

Per un elenco dei nomi dei parametri integrati di Kinesis Agent per Windows, consultaElenco delle metriche di Kinesis Agent per Windows: .

Per i parametri di una singola istanza, l'espressione di filtro è il nome della metrica, ad esempio:

"MetricsFilter": "SourcesFailedToStart;SinksFailedToStart"
      

Per più parametri di istanza, l'espressione del filtro è il nome del parametro, un punto (.) e quindi l'Id dell'origine o la dichiarazione del sink che ha generato tale parametro. Ad esempio, supponiamo che ci sia una dichiarazione sink con un Id di MyFirehose:

"MetricsFilter": "KinesisFirehoseRecordsFailedNonrecoverable.MyFirehose"      
      

È possibile utilizzare i modelli di carattere jolly speciali progettati per distinguere i parametri di istanze singole e multiple.

L'esempio seguente corrisponde a tutti i parametri di istanze singole:

"MetricsFilter": "*"

Poiché un asterisco non corrisponde al carattere punto, sono inclusi solo i parametri di istanze singole.

L'esempio seguente corrisponde a tutti i parametri di istanze multiple:

"MetricsFilter": "*.*"

L'esempio seguente corrisponde a tutti i parametri (singoli e multipli):

"MetricsFilter": "*;*.*"

L'esempio seguente aggrega tutti i parametri di istanze multiple in tutte le origini e i sink:

"MetricsFilter": "*._Total"

L'esempio seguente aggrega tutti i parametri di Kinesis Data Firehose per tutti i sink di Kinesis Data:

"MetricsFilter": "*Firehose*._Total"

L'esempio seguente corrisponde a tutti i parametri di errore delle istanze singole e multiple:

"MetricsFilter": "*Failed*;*Error*.*;*Failed*.*"

L'esempio seguente corrisponde a tutti i parametri di errori non recuperabili in tutte le origini e i sink:

"MetricsFilter": "*Nonrecoverable*._Total"

Per informazioni su come specificare una pipe che utilizza l'origine dei parametri integrati di Kinesis Agent per Windows, vediConfigurazione dell'agente Kinesis per le pipe metriche di Windows: .

Elenco delle metriche di Kinesis Agent per Windows

Di seguito è riportato un elenco di parametri di istanze singole e multiple disponibili per Kinesis Agent per Windows.

Parametri di istanze singole

Sono disponibili i seguenti parametri di istanze singole:

Parametri di istanze multiple

Per le istanze multiple sono disponibili i seguenti parametri:

Parametri DirectorySource

Parametri WindowsEventLogSource

Parametri sink KinesisFirehose

Parametri KinesisStream

Parametri CloudWatchLog

Parametri di CloudWatch

Configurazione del segnalibro

Per impostazione predefinita, Kinesis Agent per Windows invia i record di log ai sink creati dopo l'avvio dell'agente. Talvolta è utile inviare i record di log precedenti, ad esempio, i record di log creati quando Kinesis Agent per Windows si blocca durante un aggiornamento automatico. La funzione di segnalibro monitora quali record sono stati inviati ai sink. Quando Kinesis Agent per Windows è in modalità segnalibro e si avvia, invia tutti i record di log creati dopo l'arresto di Kinesis Agent per Windows, insieme a qualsiasi record di log creato successivamente. Per controllare questo comportamento, le dichiarazioni di origine basate su file possono eventualmente includere le seguenti coppie chiave-valore:

Quando Kinesis Agent per Windows viene arrestato per un periodo di tempo prolungato, potrebbe essere necessario eliminare questi segnalibri, perché i record di log ed eventi contrassegnati dal segnalibro non esistono più. I file del segnalibro per un dato id origine sono situati in %PROGRAMDATA%\Amazon\AWSKinesisTap\source id.bm.

I segnalibri non funzionano su file rinominati o troncati. Per propria natura, gli eventi ETW e i contatori delle prestazioni non possono essere contrassegnati da segnalibri.