本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

使用 Amazon OpenSearch 日誌監控 CloudWatch 日誌

Amazon OpenSearch 服務通過 Amazon OpenSearch 日誌公開以下 CloudWatch 日誌：

搜索碎片緩慢日誌，索引分片緩慢日誌和錯誤日誌對於故障排除性能和穩定性問題非常有用。稽核日誌會追蹤使用者活動，以符合規範。所有日誌都預設為停用狀態。如果啟用，則適用標準 CloudWatch 定價。

對於它的日誌， OpenSearch 使用 Apache Log4j 2 及其內置的日誌級別（從最小到最嚴重）的 TRACE DEBUGINFO，WARN，ERROR，和FATAL。

如果啟用錯誤記錄檔， OpenSearch Service 會發佈WARNERROR、和的記錄FATAL行 CloudWatch。 OpenSearch 服務也會從DEBUG層次發行數個例外狀況，包括下列項目：

在許多情況下，錯誤日誌可以協助排除故障，包括：

啟用日誌發佈 (主控台)

OpenSearch 服務主控台是啟用日誌發佈到的最簡單方法 CloudWatch。

如果您啟用了其中一個碎片緩慢日誌，請參閱設置碎片緩慢日誌閾值。如果啟用稽核日誌，請參閱步驟 2：開啟 OpenSearch 儀表板中的稽核記錄。如果您只啟用了錯誤日誌，則不需要執行任何其他設定步驟。

啟用日誌發佈 (AWS CLI)

啟用記錄檔發佈之前，您需要一個 CloudWatch 記錄群組。如果還沒有日誌群組，您可以使用下列命令建立一個：

aws logs create-log-group --log-group-name my-log-group

輸入下一個命令以尋找記錄群組 ARN，然後記下它：

aws logs describe-log-groups --log-group-name my-log-group

現在您可以授與寫入記錄群組的 OpenSearch 服務權限。您必須提供接ARN近命令結尾的記錄群組：

aws logs put-resource-policy \
  --policy-name my-policy \
  --policy-document '{ "Version": "2012-10-17", "Statement": [{ "Sid": "", "Effect": "Allow", "Principal": { "Service": "es.amazonaws.com"}, "Action":[ "logs:PutLogEvents","logs:CreateLogStream"],"Resource": "cw_log_group_arn:*"}]}'

如果您稍後需要檢閱此政策，請使用 aws logs describe-resource-policies 命令。若要更新此政策，請使用新的政策文件發出相同的 aws logs put-resource-policy 命令。

最後，您可以使用 --log-publishing-options 選項，以啟用發佈。選項的語法對於 create-domain 和 update-domain-config 命令都是相同的。

範例

下列範例會針對指定的網域啟用搜尋和索引分片緩慢記錄檔的發佈：

aws opensearch update-domain-config \
  --domain-name my-domain \
  --log-publishing-options "SEARCH_SLOW_LOGS={CloudWatchLogsLogGroupArn=arn:aws:logs:us-east-1:123456789012:log-group:my-log-group,Enabled=true},INDEX_SLOW_LOGS={CloudWatchLogsLogGroupArn=arn:aws:logs:us-east-1:123456789012:log-group:my-other-log-group,Enabled=true}"

若要停用發佈至 CloudWatch，請使用執行相同的命令Enabled=false。

如果您啟用了其中一個碎片緩慢日誌，請參閱設置碎片緩慢日誌閾值。如果啟用稽核日誌，請參閱步驟 2：開啟 OpenSearch 儀表板中的稽核記錄。如果您只啟用了錯誤日誌，則不需要執行任何其他設定步驟。

啟用記錄發佈 (AWS SDKs)

啟用記錄檔發佈之前，您必須先建立 CloudWatch 記錄群組、取得記錄群組ARN，並授與 OpenSearch Service 寫入該群組的權限。相關操作記錄在 Amazon CloudWatch 日誌API參考中：

您可以使用存取這些作業AWS SDKs。

AWS SDKs（Android 和 iOS 除外SDKs）支持 Amazon OpenSearch 服務API參考中定義的所有操作，包括CreateDomain和的--log-publishing-options選項UpdateDomainConfig。

如果您啟用了其中一個碎片緩慢日誌，請參閱設置碎片緩慢日誌閾值。如果您只啟用了錯誤日誌，則不需要執行任何其他設定步驟。

啟用日誌發佈 (CloudFormation)

在此範例中，我們使用 CloudFormation 建立名為的記錄群組opensearch-logs、指派適當的權限，然後建立網域，其中已啟用記錄檔發佈的應用程式記錄檔、搜尋碎片慢速記錄檔，以及編製慢速記錄檔的索引。

您必須先建立記錄群組，才能啟用記 CloudWatch 錄發佈：

Resources:
  OpenSearchLogGroup:
    Type: AWS::Logs::LogGroup
    Properties: 
      LogGroupName: opensearch-logs
Outputs:
  Arn:
    Value:
      'Fn::GetAtt':
        - OpenSearchLogGroup
        - Arn

範本會輸出ARN記錄群組的。在本案例中，ARN 為 arn:aws:logs:us-east-1:123456789012:log-group:opensearch-logs。

使用ARN，建立一個資源策略，該策略授與寫入日誌群組的 OpenSearch Service 權限：

Resources:
 OpenSearchLogPolicy:
   Type: AWS::Logs::ResourcePolicy
   Properties:
     PolicyName: my-policy
     PolicyDocument: "{ \"Version\": \"2012-10-17\", \"Statement\": [{ \"Sid\": \"\", \"Effect\": \"Allow\", \"Principal\": { \"Service\": \"es.amazonaws.com\"}, \"Action\":[ \"logs:PutLogEvents\",\"logs:CreateLogStream\"],\"Resource\": \"arn:aws:logs:us-east-1:123456789012:log-group:opensearch-logs:*\"}]}"

最後，創建以下 CloudFormation 堆棧，該堆棧生成帶有日誌發布的 OpenSearch 服務域。存取原則允許使用者 AWS 帳戶 向網域發出所有HTTP要求。

Resources:
  OpenSearchServiceDomain:
    Type: "AWS::OpenSearchService::Domain"
    Properties:
      DomainName: my-domain
      EngineVersion: "OpenSearch_1.0"
      ClusterConfig:
        InstanceCount: 2
        InstanceType: "r6g.xlarge.search"
        DedicatedMasterEnabled: true
        DedicatedMasterCount: 3
        DedicatedMasterType: "r6g.xlarge.search"
      EBSOptions:
        EBSEnabled: true
        VolumeSize: 10
        VolumeType: "gp2"
      AccessPolicies:
        Version: "2012-10-17"
        Statement:
            Effect: "Allow"
            Principal:
                AWS: "arn:aws:iam::123456789012:user/es-user"
            Action: "es:*"
            Resource: "arn:aws:es:us-east-1:123456789012:domain/my-domain/*"
      LogPublishingOptions:
        ES_APPLICATION_LOGS:
          CloudWatchLogsLogGroupArn: "arn:aws:logs:us-east-1:123456789012:log-group:opensearch-logs"
          Enabled: true
        SEARCH_SLOW_LOGS:
          CloudWatchLogsLogGroupArn: "arn:aws:logs:us-east-1:123456789012:log-group:opensearch-logs"
          Enabled: true
        INDEX_SLOW_LOGS:
          CloudWatchLogsLogGroupArn: "arn:aws:logs:us-east-1:123456789012:log-group:opensearch-logs"
          Enabled: true

如需詳細的語法資訊，請參閱 AWS CloudFormation 使用者指南中的日誌發佈選項。

設定搜尋要求慢速記錄閾值

搜尋要求緩慢記錄檔可用於在 2.13 版及更新版本上執行的 OpenSearch 服務網域上搜尋。搜尋要求慢速記錄臨界值設定為總要求花費時間。這與碎片請求慢日誌不同，這是為單個碎片配置花費時間。

您可以使用叢集設定來指定搜尋要求慢速記錄。這與碎片緩慢日誌不同，您可以使用索引設置啟用。例如，您可以透過指定下列設定 OpenSearch RESTAPI：

PUT domain-endpoint/_cluster/settings
{
  "transient": {
    "cluster.search.request.slowlog.threshold.warn": "5s",
    "cluster.search.request.slowlog.threshold.info": "2s"
  }
}

設置碎片緩慢日誌閾值

OpenSearch 默認情況下禁用碎片緩慢日誌。啟用碎片緩慢記錄檔發佈到之後 CloudWatch，您仍然必須為每個 OpenSearch 索引指定記錄閾值。這些閾值精確定義該記錄哪些內容、日誌層級為何等等。

例如，您可以透過以下方式指定這些設定 OpenSearch RESTAPI：

PUT domain-endpoint/index/_settings
{
  "index.search.slowlog.threshold.query.warn": "5s",
  "index.search.slowlog.threshold.query.info": "2s"
}

測試慢速記錄

若要測試搜尋要求和碎片緩慢記錄檔是否成功發佈，請考慮從非常低的值開始驗證記錄檔是否出現在中 CloudWatch，然後將閾值提高到更有用的層級。

如果日誌未出現，請檢查下列各項：

如果您想要停用索引的慢速日誌，請傳回變更為其預設值 -1 的任何閾值。

停用發佈到 CloudWatch 使用 OpenSearch Service 主控台或 AWS CLI 不會停 OpenSearch 止產生記錄檔；它只會停止發佈這些記錄檔。如果您不再需要碎片緩慢日誌，請務必檢查索引設置；如果您不再需要搜索請求緩慢日誌，請務必檢查您的域設置。

檢視日誌

查看應用程序和緩慢的日誌 CloudWatch 就像查看任何其他日 CloudWatch 誌一樣。如需詳細資訊，請參閱 Amazon CloudWatch 日誌使用者指南中的檢視日誌資料。

以下是檢視日誌的一些考量事項：