변환 프로세서

변환 프로세서는 필드를 추가, 복사, 이동 또는 제거하여 로그 이벤트의 구조를 수정합니다.

add_entries 프로세서

로그 이벤트에 정적 키-값 페어를 추가합니다. 최대 1개의 add_entries 프로세서를 파이프라인에 추가할 수 있습니다.

구성

다음과 같은 파라미터를 사용하여 add_entries 프로세서를 구성합니다.

processor:
  - add_entries:
      entries:
        - key: "environment"
          value: "production"
          overwrite_if_key_exists: false

copy_values 프로세서

한 필드에서 다른 필드로 값을 복사합니다. 최대 1개의 copy_values 프로세서를 파이프라인에 추가할 수 있습니다.

구성

다음과 같은 파라미터를 사용하여 copy_values 프로세서를 구성합니다.

processor:
  - copy_values:
      entries:
        - from_key: "user_id"
          to_key: "backup_user"
          overwrite_if_to_key_exists: false

delete_entries 프로세서

로그 이벤트에서 지정된 필드를 제거합니다.

구성

다음과 같은 파라미터를 사용하여 delete_entries 프로세서를 구성합니다.

processor:
  - delete_entries:
      with_keys: ["temp_field", "debug_info"]

move_keys 프로세서

필드를 한 위치에서 다른 위치로 이동합니다.

구성

다음과 같은 파라미터를 사용하여 move_keys 프로세서를 구성합니다.

processor:
  - move_keys:
      entries:
        - from_key: "old_field"
          to_key: "new_field"
          overwrite_if_to_key_exists: true

flatten 프로세서

중첩된 객체 구조를 평면화합니다.

구성

다음과 같은 파라미터를 사용하여 flatten 프로세서를 구성합니다.

processor:
  - flatten:
      source: "metadata"
      target: "flattened"
      remove_processed_fields: true
      exclude_keys: ["sensitive_data"]

조회 프로세서

CloudWatch Logs 조회 테이블의 데이터로 로그 이벤트를 보강합니다. 프로세서는 로그 이벤트의 필드를 조회 테이블의 필드와 일치시키고 로그 이벤트에 지정된 필드를 추가합니다. 사용자 ID를 사용자 세부 정보에 매핑하거나, 제품 코드를 제품 정보에 매핑하거나, 오류 코드를 오류 설명에 매핑하는 등의 데이터 보강 시나리오에 이 프로세서를 사용합니다. 최대 1개의 lookup 프로세서를 파이프라인에 추가할 수 있습니다.

구성

다음과 같은 파라미터를 사용하여 조회 프로세서를 구성합니다.

processor:
  - lookup:
      lookup_table: "arn:aws:logs:us-east-1:123456789012:lookup-table:my_lookup_table"
      match_keys:
        - log_key: "src_ip"
          lookup_key: "ip_address"
      entries:
        - source: "hostname"
          target: "src_hostname"
          overwrite_if_exists: true

예제

다음 행이 있는 network_assets 조회 테이블을 생각해 보세요.

다음 로그 이벤트가 주어집니다.

{
  "timestamp": "2026-05-04T12:00:00Z",
  "src_ip": "10.0.2.45",
  "action": "connection_opened",
  "bytes": 2048
}

다음 프로세서 구성을 사용한다고 가정해 보겠습니다.

processor:
  - lookup:
      lookup_table: "arn:aws:logs:us-east-1:123456789012:lookup-table:network_assets"
      match_keys:
        - log_key: "src_ip"
          lookup_key: "ip_address"
      entries:
        - source: "hostname"
          target: "src_hostname"
        - source: "owner"
        - source: "location"
          target: "src_region"
          overwrite_if_exists: false

프로세서는 다음과 같은 보강된 로그 이벤트를 생성합니다.

{
  "timestamp": "2026-05-04T12:00:00Z",
  "src_ip": "10.0.2.45",
  "action": "connection_opened",
  "bytes": 2048,
  "src_hostname": "db-server-03",
  "owner": "team-beta",
  "src_region": "us-west-2"
}

IAM 권한

파이프라인이 조회 프로세서를 사용하는 경우 파이프라인의 실행 역할에 참조된 테이블에 대한 logs:GetLookupTable 권한이 포함되어야 합니다. 다음 예제 정책 문에서는 이 권한을 부여합니다.

{
  "Effect": "Allow",
  "Action": "logs:GetLookupTable",
  "Resource": "arn:aws:logs:<region>:<account-id>:lookup-table:<table-name>"
}