As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.

lookup

Use lookup para enriquecer os resultados da consulta com dados de referência de uma tabela de pesquisa. Você pode preencher uma tabela de pesquisa com dados CSV que você carrega no Amazon CloudWatch Logs ou com os resultados de uma consulta de log concluída ou cancelada. Quando uma consulta é executada, o lookup comando compara um campo em seus eventos de log com um campo na tabela de pesquisa e acrescenta os campos de saída especificados aos resultados.

Use tabelas de pesquisa para cenários de enriquecimento de dados, como mapear IDs de usuário para detalhes do usuário, códigos de produto para informações do produto ou códigos de erro para descrições de erros.

Criação e gerenciamento de tabelas de pesquisa

Antes de usar o lookup comando em uma consulta, você deve criar uma tabela de pesquisa. Você pode criar e gerenciar tabelas de pesquisa a partir do CloudWatch console ou usando a API Amazon CloudWatch Logs.

Para criar uma tabela de pesquisa (console)

Depois de criar uma tabela de pesquisa, você pode visualizá-la no editor de consultas do CloudWatch Logs Insights. Escolha a guia Tabelas de pesquisa para procurar as tabelas disponíveis e seus campos.

Para atualizar uma tabela de pesquisa, selecione a tabela e escolha Ações, Atualizar. Faça upload de um novo arquivo CSV para substituir todo o conteúdo existente. Para excluir uma tabela de pesquisa, escolha Ações, Excluir.

Em vez de fazer o upload de dados CSV, você também pode criar ou atualizar uma tabela de pesquisa a partir dos resultados de uma consulta de log concluída ou cancelada que você executa no console do Log Analytics ou com a API Amazon CloudWatch Logs. Especifique o ID da consulta com o queryId parâmetro da UpdateLookupTable API CreateLookupTable ou. Uma consulta cancelada preenche a tabela com os resultados parciais que estavam disponíveis quando a consulta foi interrompida. Você deve especificar o conteúdo CSV ou um ID de consulta, mas não ambos. Atualizar uma tabela é uma operação de substituição completa — todo o conteúdo existente é substituído, independentemente da origem. Para atualizar uma tabela de pesquisa com resultados de consulta automaticamente em uma agenda, use uma consulta agendada com um destino de tabela de pesquisa. Para obter mais informações, consulte Configurando destinos da tabela de pesquisa para consultas agendadas.

Sintaxe de consulta para pesquisa

Estrutura do comando

O seguinte mostra o formato desse comando.

lookup table match-fields output-mode output-field[,...]

O comando usa os seguintes argumentos:

Exemplo: enriquecer eventos de log com detalhes do usuário

Suponha que você tenha um grupo de registros com eventos que contêm um id campo e uma tabela de pesquisa chamada user_data com colunas id nameemail,, department e. A consulta a seguir enriquece cada evento de registro com o nome do usuário, e-mail e departamento da tabela de pesquisa.

fields action, status, name, email, department
| lookup user_data id OUTPUT name, email, department

Exemplo: usar pesquisa com agregação

Você pode usar campos de saída de pesquisa com funções de agregação. A consulta a seguir enriquece os eventos de registro com detalhes do usuário e, em seguida, conta os eventos agrupados por endereço de e-mail.

fields user_id, action, username, email, department
| lookup user_data user_id OUTPUT username, email, department
| stats count(*) by email

Exemplo: usar pesquisa com filtro

Você pode filtrar os resultados com base nos campos retornados pela pesquisa. A consulta a seguir enriquece os eventos de registro e, em seguida, filtra para mostrar somente os eventos de um departamento específico.

fields user_id, action
| lookup user_data user_id OUTPUT username, email, department
| filter department = "Engineering"

Exemplo: use OUTPUTNEW para enriquecer sem sobrescrever

Se seus eventos de registro já contiverem um hostname campo, mas às vezes ele estiver vazio, use OUTPUTNEW para preencher os valores ausentes sem substituir os existentes.

fields srcAddr, hostname
| lookup known_hosts ip_address as srcAddr OUTPUTNEW hostname, region

Exemplo: use a pesquisa com vários campos de correspondência

Você pode combinar em mais de um campo. A consulta a seguir corresponde à tabela de pesquisa srcAddr e dstPort à tabela de pesquisa para identificar serviços de rede conhecidos.

fields @timestamp, srcAddr, dstAddr, dstPort
| lookup network_services ip_address as srcAddr, port as dstPort OUTPUT service_name, owner
| filter ispresent(service_name)

Exemplo: use a pesquisa com nomes de campo correspondentes

Quando os nomes dos campos do evento de registro correspondem exatamente aos nomes das colunas da tabela de pesquisa, você pode omitir a as palavra-chave. A consulta a seguir compara ambos department os role campos diretamente com a tabela de pesquisa.

fields @timestamp, department, role
| lookup employees department, role OUTPUT office, manager