変換プロセッサ:

変換プロセッサは、フィールドを追加、コピー、移動、または削除することで、ログイベントの構造を変更します。

add_entries プロセッサ

静的なキーと値のペアをログイベントに追加します。パイプラインに追加できる add_entries プロセッサは、１つのみです。

設定

次のパラメータを使用して add_entries プロセッサを設定します。

processor:
  - add_entries:
      entries:
        - key: "environment"
          value: "production"
          overwrite_if_key_exists: false

copy_values プロセッサ

フィールド間で値をコピーします。パイプラインに追加できる copy_values プロセッサは、１つのみです。

設定

次のパラメータを使用して copy_values プロセッサを設定します。

processor:
  - copy_values:
      entries:
        - from_key: "user_id"
          to_key: "backup_user"
          overwrite_if_to_key_exists: false

delete_entries プロセッサ

指定したフィールドをログイベントから削除します。

設定

次のパラメータを使用して delete_entries プロセッサを設定します。

processor:
  - delete_entries:
      with_keys: ["temp_field", "debug_info"]

move_keys プロセッサ

フィールドをロケーション間で移動します。

設定

次のパラメータを使用して move_keys プロセッサを設定します。

processor:
  - move_keys:
      entries:
        - from_key: "old_field"
          to_key: "new_field"
          overwrite_if_to_key_exists: true

flatten プロセッサ

ネストされたオブジェクト構造をフラット化します。

設定

次のパラメータを使用して flatten プロセッサを設定します。

processor:
  - flatten:
      source: "metadata"
      target: "flattened"
      remove_processed_fields: true
      exclude_keys: ["sensitive_data"]

lookup プロセッサ

CloudWatch Logs ルックアップテーブルのデータを使用してログイベントを強化します。プロセッサは、ログイベントのフィールドをルックアップテーブルのフィールドと照合し、指定されたフィールドをログイベントに追加します。このプロセッサは、ユーザー ID をユーザーの詳細にマッピングする、製品コードを製品情報にマッピングする、エラーコードをエラーの説明にマッピングするといった、データエンリッチメントのシナリオで使用します。パイプラインに追加できる lookup プロセッサは、１つのみです。

設定

次のパラメータを使用して lookup プロセッサを設定します。

processor:
  - lookup:
      lookup_table: "arn:aws:logs:us-east-1:123456789012:lookup-table:my_lookup_table"
      match_keys:
        - log_key: "src_ip"
          lookup_key: "ip_address"
      entries:
        - source: "hostname"
          target: "src_hostname"
          overwrite_if_exists: true

例

以下の行を含む network_assets という名前のルックアップテーブルと仮定します。

次のログイベントが存在し、

{
  "timestamp": "2026-05-04T12:00:00Z",
  "src_ip": "10.0.2.45",
  "action": "connection_opened",
  "bytes": 2048
}

次のプロセッサ設定を使用しているとします。

processor:
  - lookup:
      lookup_table: "arn:aws:logs:us-east-1:123456789012:lookup-table:network_assets"
      match_keys:
        - log_key: "src_ip"
          lookup_key: "ip_address"
      entries:
        - source: "hostname"
          target: "src_hostname"
        - source: "owner"
        - source: "location"
          target: "src_region"
          overwrite_if_exists: false

プロセッサは、次の強化されたログイベントを生成します。

{
  "timestamp": "2026-05-04T12:00:00Z",
  "src_ip": "10.0.2.45",
  "action": "connection_opened",
  "bytes": 2048,
  "src_hostname": "db-server-03",
  "owner": "team-beta",
  "src_region": "us-west-2"
}

IAM アクセス許可

パイプラインで lookup プロセッサを使用する場合、そのパイプラインの実行ロールには、参照されるテーブルに対する logs:GetLookupTable 権限を含める必要があります。次のポリシーステートメントの例では、この権限が付与されています。

{
  "Effect": "Allow",
  "Action": "logs:GetLookupTable",
  "Resource": "arn:aws:logs:<region>:<account-id>:lookup-table:<table-name>"
}

geoip プロセッサ

geoip プロセッサは、IP アドレスに基づく地理的位置データでログイベントを強化します。プロセッサは MaxMind データベースを使用して、IP アドレスを都市、国、大陸、座標、AS 番号 (ASN) の詳細などの地理的情報に分解します。このプロセッサは、ネットワークトラフィック分析、ユーザーロケーションエンリッチメント、セキュリティ調査のシナリオに使用します。

設定

次のパラメータを使用して geoip プロセッサを設定します。

processor:
  - geoip:
      entries:
        - source: "client_ip"
          target: "client_geo"
          include_fields:
            - "city_name"
            - "country_name"
            - "country_iso_code"
            - "continent_name"
            - "latitude"
            - "longitude"
          when: '.client_ip != "127.0.0.1"'

例

次の例は、IP アドレスフィールドを含むサンプルログイベントを示しています。

{
  "timestamp": "2026-05-04T12:00:00Z",
  "src_ip": "203.0.113.50",
  "dst_ip": "198.51.100.25",
  "action": "ALLOW",
  "bytes": 4096
}

次のプロセッサ設定は、送信元 IP フィールドと送信先 IP フィールドの両方を地理的エンリッチメントターゲットにマッピングします。

processor:
  - geoip:
      entries:
        - source: "src_ip"
          target: "src_geo"
          include_fields:
            - "city_name"
            - "country_name"
            - "country_iso_code"
            - "latitude"
            - "longitude"
            - "asn"
            - "asn_organization"
        - source: "dst_ip"
          target: "dst_geo"
          include_fields:
            - "country_name"
            - "country_iso_code"

プロセッサは、次の強化されたログイベントを生成します。

{
  "timestamp": "2026-05-04T12:00:00Z",
  "src_ip": "203.0.113.50",
  "dst_ip": "198.51.100.25",
  "action": "ALLOW",
  "bytes": 4096,
  "src_geo": {
    "city_name": "Seattle",
    "country_name": "United States",
    "country_iso_code": "US",
    "latitude": 47.6062,
    "longitude": -122.3321,
    "asn": 16509,
    "asn_organization": "Amazon.com, Inc."
  },
  "dst_geo": {
    "country_name": "Germany",
    "country_iso_code": "DE"
  }
}