Alarmes nos logs

É possível criar alarmes do CloudWatch que monitoram seus dados de log de duas maneiras:

Criar um alarme de log

Criar um alarme de log

É possível criar um alarme do CloudWatch que usa uma consulta do CloudWatch Logs Insights para monitorar dados de log diretamente. A consulta é executada em uma agenda usando uma Consulta Agendada, e o alarme avalia os resultados agregados em relação a um limite. Para obter mais informações sobre como os alarmes de log funcionam, consulte Alarmes de log.

Pré-requisitos

Antes de criar um alarme de log, você deve criar um perfil do IAM que conceda ao CloudWatch Logs permissão para executar a consulta agendada. Se você também quiser que as linhas de log sejam incluídas nas notificações do Amazon SNS, você deve criar um segundo perfil.

Função de execução de consulta agendada

A função de execução de consulta agendada permite que o CloudWatch Logs execute a consulta em seu nome. Essa função é necessária para que todos os alarmes de log executem a consulta agendada. A função deve confiar no serviço principal logs.amazonaws.com.

O exemplo mostrado a seguir mostra a política de confiança para a função de execução de consulta agendada.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "logs.amazonaws.com"
            },
            "Action": "sts:AssumeRole"
        }
    ]
}

A seguir, um exemplo da política de permissões. Defina o escopo de Resource para os ARNs do grupo de logs que a consulta tem como alvo.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "logs:StartQuery",
                "logs:StopQuery",
                "logs:GetQueryResults",
                "logs:DescribeLogGroups"
            ],
            "Resource": "arn:aws:logs:region:account-id:log-group:your-log-group:*"
        }
    ]
}

Função de linhas de log (opcional)

A função de linhas de log permite que o CloudWatch busque linhas de log para notificações por e-mail do Amazon SNS. Essa função será necessária somente se você definir ActionLogLineCount com um valor maior que 0. A função deve confiar no serviço principal cloudwatch.amazonaws.com.

O exemplo a seguir mostra a política de confiança para a função de linhas de log.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "cloudwatch.amazonaws.com"
            },
            "Action": "sts:AssumeRole"
        }
    ]
}

O exemplo a seguir mostra a política de permissões para a função de linhas de log. A permissão logs:GetQueryResults é necessária para buscar linhas de log. Defina o escopo de Resource para os ARNs do grupo de logs que a consulta tem como alvo.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "logs:GetQueryResults"
            ],
            "Resource": "arn:aws:logs:region:account-id:log-group:your-log-group:*"
        }
    ]
}

Como criar um alarme de log usando o console

As etapas desta seção explicam como usar o console do CloudWatch para criar um alarme de log. Também é possível usar a AWS CLI para criar um alarme de log. Para obter mais informações, consulte Como criar um alarme de log usando a AWS CLI.

Como criar um alarme de log usando a AWS CLI

É possível usar o comando AWS CLI put-log-alarm para criar um alarme de log.

O exemplo mostrado a seguir cria um Alarme de Log que monitora a contagem de erros em um grupo de logs e faz a transição para o estado ALARM quando a contagem excede 100 em 3 de 5 execuções de consulta.

aws cloudwatch put-log-alarm \
    --alarm-name "HighErrorCount" \
    --alarm-description "Alarm when error count exceeds 100" \
    --comparison-operator GreaterThanThreshold \
    --threshold 100 \
    --query-results-to-evaluate 5 \
    --query-results-to-alarm 3 \
    --treat-missing-data missing \
    --alarm-actions "arn:aws:sns:region:account-id:topic-name" \
    --scheduled-query-configuration '{
        "QueryString": "fields @timestamp, @message | filter @message like /ERROR/",
        "LogGroupIdentifiers": ["/aws/lambda/my-function"],
        "ScheduledQueryRoleARN": "arn:aws:iam::account-id:role/ScheduledQueryRole",
        "AggregationExpression": "count(*)",
        "ScheduleConfiguration": {
            "ScheduleExpression": "rate(10 minutes)",
            "StartTimeOffset": 600
        }
    }' \
    --action-log-line-count 5 \
    --action-log-line-role-arn "arn:aws:iam::account-id:role/LogLineRole"

A tabela a seguir descreve os principais parâmetros para o comando put-log-alarm.

Como criar um alarme de log usando AWS CloudFormation

É possível utilizar o tipo de recurso AWS::CloudWatch::LogAlarm para criar um alarme de log em um modelo AWS CloudFormation.

O modelo de exemplo mostrado a seguir cria um alarme de log que monitora contagens de erros.

AWSTemplateFormatVersion: '2010-09-09'
Resources:
  HighErrorCountAlarm:
    Type: AWS::CloudWatch::LogAlarm
    Properties:
      AlarmName: HighErrorCount
      AlarmDescription: Alarm when error count exceeds 100
      ComparisonOperator: GreaterThanThreshold
      Threshold: 100
      QueryResultsToEvaluate: 5
      QueryResultsToAlarm: 3
      TreatMissingData: missing
      ActionLogLineCount: 5
      ActionLogLineRoleArn: !GetAtt LogLineRole.Arn
      ScheduledQueryConfiguration:
        QueryString: "fields @timestamp, @message | filter @message like /ERROR/"
        LogGroupIdentifiers:
          - /aws/lambda/my-function
        ScheduledQueryRoleARN: !GetAtt ScheduledQueryRole.Arn
        AggregationExpression: "count(*)"
        ScheduleConfiguration:
          ScheduleExpression: "rate(10 minutes)"
          StartTimeOffset: 600
      AlarmActions:
        - !Ref AlarmSNSTopic

Criar um alarme do CloudWatch com base em um filtro de métrica de grupo de logs

O procedimento contido nesta seção descreve como criar um alarme com base em um filtro de métrica de grupo de logs. Com filtros de métrica, você pode procurar termos e padrões em dados de log à medida que os dados são enviados ao CloudWatch Logs. Para obter mais informações, consulte Criar métricas de eventos de logs usando filtros no Guia do usuário do Amazon CloudWatch Logs. Antes de criar um alarme com base em um filtro de métrica de grupo de logs, é necessário concluir as seguintes ações: