変換プロセッサ:

変換プロセッサは、フィールドを追加、コピー、移動、または削除することで、ログイベントの構造を変更します。

add_entries プロセッサ

静的なキーと値のペアをログイベントに追加します。パイプラインに追加できる add_entries プロセッサは、１つのみです。

設定

次のパラメータを使用して add_entries プロセッサを設定します。

processor:
  - add_entries:
      entries:
        - key: "environment"
          value: "production"
          overwrite_if_key_exists: false

copy_values プロセッサ

フィールド間で値をコピーします。パイプラインに追加できる copy_values プロセッサは、１つのみです。

設定

次のパラメータを使用して copy_values プロセッサを設定します。

processor:
  - copy_values:
      entries:
        - from_key: "user_id"
          to_key: "backup_user"
          overwrite_if_to_key_exists: false

delete_entries プロセッサ

指定したフィールドをログイベントから削除します。

設定

次のパラメータを使用して delete_entries プロセッサを設定します。

processor:
  - delete_entries:
      with_keys: ["temp_field", "debug_info"]

move_keys プロセッサ

フィールドをロケーション間で移動します。

設定

次のパラメータを使用して move_keys プロセッサを設定します。

processor:
  - move_keys:
      entries:
        - from_key: "old_field"
          to_key: "new_field"
          overwrite_if_to_key_exists: true

flatten プロセッサ

ネストされたオブジェクト構造をフラット化します。

設定

次のパラメータを使用して flatten プロセッサを設定します。

processor:
  - flatten:
      source: "metadata"
      target: "flattened"
      remove_processed_fields: true
      exclude_keys: ["sensitive_data"]

lookup プロセッサ

CloudWatch Logs ルックアップテーブルのデータを使用してログイベントを強化します。プロセッサは、ログイベントのフィールドをルックアップテーブルのフィールドと照合し、指定されたフィールドをログイベントに追加します。このプロセッサは、ユーザー ID をユーザーの詳細にマッピングする、製品コードを製品情報にマッピングする、エラーコードをエラーの説明にマッピングするといった、データエンリッチメントのシナリオで使用します。パイプラインに追加できる lookup プロセッサは、１つのみです。

設定

次のパラメータを使用して lookup プロセッサを設定します。

processor:
  - lookup:
      lookup_table: "arn:aws:logs:us-east-1:123456789012:lookup-table:my_lookup_table"
      match_keys:
        - log_key: "src_ip"
          lookup_key: "ip_address"
      entries:
        - source: "hostname"
          target: "src_hostname"
          overwrite_if_exists: true

例

以下の行を含む network_assets という名前のルックアップテーブルと仮定します。

次のログイベントが存在し、

{
  "timestamp": "2026-05-04T12:00:00Z",
  "src_ip": "10.0.2.45",
  "action": "connection_opened",
  "bytes": 2048
}

次のプロセッサ設定を使用しているとします。

processor:
  - lookup:
      lookup_table: "arn:aws:logs:us-east-1:123456789012:lookup-table:network_assets"
      match_keys:
        - log_key: "src_ip"
          lookup_key: "ip_address"
      entries:
        - source: "hostname"
          target: "src_hostname"
        - source: "owner"
        - source: "location"
          target: "src_region"
          overwrite_if_exists: false

プロセッサは、次の強化されたログイベントを生成します。

{
  "timestamp": "2026-05-04T12:00:00Z",
  "src_ip": "10.0.2.45",
  "action": "connection_opened",
  "bytes": 2048,
  "src_hostname": "db-server-03",
  "owner": "team-beta",
  "src_region": "us-west-2"
}

IAM アクセス許可

パイプラインで lookup プロセッサを使用する場合、そのパイプラインの実行ロールには、参照されるテーブルに対する logs:GetLookupTable 権限を含める必要があります。次のポリシーステートメントの例では、この権限が付与されています。

{
  "Effect": "Allow",
  "Action": "logs:GetLookupTable",
  "Resource": "arn:aws:logs:<region>:<account-id>:lookup-table:<table-name>"
}