根据日志触发警报

您可以通过两种方式创建 CloudWatch 警报来监控日志数据：

创建日志警报

创建日志警报

您可以创建一个使用 CloudWatch Logs Insights 查询直接监控日志数据的 CloudWatch 警报。该查询使用计划查询按计划运行，警报会根据阈值评估聚合结果。有关日志警报的工作原理的更多信息，请参阅日志警报。

先决条件

创建日志警报之前，您必须创建一个 IAM 角色来授予 CloudWatch Logs 执行计划查询的权限。如果还希望在 Amazon SNS 通知中包括日志行，则必须创建第二个角色。

计划查询执行角色

计划查询执行角色允许 CloudWatch Logs 代表您运行查询。此角色是所有日志警报执行计划查询所必需的。该角色必须信任 logs.amazonaws.com 服务主体。

以下示例显示了计划查询执行角色的信任策略。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "logs.amazonaws.com"
            },
            "Action": "sts:AssumeRole"
        }
    ]
}

以下示例显示了权限策略。请将 Resource 的范围限定为查询所针对的日志组 ARN。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "logs:StartQuery",
                "logs:StopQuery",
                "logs:GetQueryResults",
                "logs:DescribeLogGroups"
            ],
            "Resource": "arn:aws:logs:region:account-id:log-group:your-log-group:*"
        }
    ]
}

日志行角色（可选）

日志行角色允许 CloudWatch 提取 Amazon SNS 电子邮件通知的日志行。仅当将 ActionLogLineCount 设置为大于 0 的值时，才需要此角色。该角色必须信任 cloudwatch.amazonaws.com 服务主体。

以下示例显示了日志行角色的信任策略。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "cloudwatch.amazonaws.com"
            },
            "Action": "sts:AssumeRole"
        }
    ]
}

以下示例显示了日志行角色的权限策略。提取日志行需要 logs:GetQueryResults 权限。请将 Resource 的范围限定为查询所针对的日志组 ARN。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "logs:GetQueryResults"
            ],
            "Resource": "arn:aws:logs:region:account-id:log-group:your-log-group:*"
        }
    ]
}

使用控制台创建日志警报

本节中的步骤说明了如何使用 CloudWatch 控制台创建日志警报。您还可以使用 AWS CLI 创建日志警报。有关更多信息，请参阅 使用 AWS CLI 创建日志警报。

使用 AWS CLI 创建日志警报

您可以使用 AWS CLI put-log-alarm 命令创建日志警报。

以下示例创建了一个日志警报，该警报监控日志组中的错误计数，并在 5 次查询执行中有 3 次计数超过 100 时转换为 ALARM 状态。

aws cloudwatch put-log-alarm \
    --alarm-name "HighErrorCount" \
    --alarm-description "Alarm when error count exceeds 100" \
    --comparison-operator GreaterThanThreshold \
    --threshold 100 \
    --query-results-to-evaluate 5 \
    --query-results-to-alarm 3 \
    --treat-missing-data missing \
    --alarm-actions "arn:aws:sns:region:account-id:topic-name" \
    --scheduled-query-configuration '{
        "QueryString": "fields @timestamp, @message | filter @message like /ERROR/",
        "LogGroupIdentifiers": ["/aws/lambda/my-function"],
        "ScheduledQueryRoleARN": "arn:aws:iam::account-id:role/ScheduledQueryRole",
        "AggregationExpression": "count(*)",
        "ScheduleConfiguration": {
            "ScheduleExpression": "rate(10 minutes)",
            "StartTimeOffset": 600
        }
    }' \
    --action-log-line-count 5 \
    --action-log-line-role-arn "arn:aws:iam::account-id:role/LogLineRole"

下表介绍了 put-log-alarm 命令的关键参数。

使用 AWS CloudFormation 创建日志警报

您可以使用 AWS::CloudWatch::LogAlarm 资源类型在 AWS CloudFormation 模板中创建日志警报。

以下示例模板创建了一个日志警报，用于监控错误计数。

AWSTemplateFormatVersion: '2010-09-09'
Resources:
  HighErrorCountAlarm:
    Type: AWS::CloudWatch::LogAlarm
    Properties:
      AlarmName: HighErrorCount
      AlarmDescription: Alarm when error count exceeds 100
      ComparisonOperator: GreaterThanThreshold
      Threshold: 100
      QueryResultsToEvaluate: 5
      QueryResultsToAlarm: 3
      TreatMissingData: missing
      ActionLogLineCount: 5
      ActionLogLineRoleArn: !GetAtt LogLineRole.Arn
      ScheduledQueryConfiguration:
        QueryString: "fields @timestamp, @message | filter @message like /ERROR/"
        LogGroupIdentifiers:
          - /aws/lambda/my-function
        ScheduledQueryRoleARN: !GetAtt ScheduledQueryRole.Arn
        AggregationExpression: "count(*)"
        ScheduleConfiguration:
          ScheduleExpression: "rate(10 minutes)"
          StartTimeOffset: 600
      AlarmActions:
        - !Ref AlarmSNSTopic

根据日志组指标筛选条件创建 CloudWatch 告警

本节中的过程介绍如何根据日志组指标筛选器创建告警。使用指标筛选条件，您可以在日志数据发送到 CloudWatch 时查找其中的字词和模式。有关更多信息，请参阅《Amazon CloudWatch Logs 用户指南》中的 使用筛选条件从日志事件创建指标。在根据日志组指标筛选器创建告警之前，您必须完成以下操作：