CloudWatch Logs Insights Query Syntax

با استفاده از Insights CloudWatch ، از یک زبان پرس و جو برای پرس و جو گروه های ورود به سیستم خود استفاده می کنید. نحو پرس و جو از توابع و عملیات مختلفی پشتیبانی می کند که شامل عملکردهای کلی ، عملیات حسابی و مقایسه و عبارات منظم نیست. نمایش داده شده ای ایجاد کنید که حاوی چندین دستورات باشد. دستورات جداگانه با شخصیت لوله (|). نمایش داده شده ای ایجاد کنید که حاوی نظرات باشد. نظرات را با شخصیت هش ( #) تنظیم کنید.

CloudWatch Logs Insights به طور خودکار زمینه هایی را برای انواع مختلف ورود به سیستم کشف می کند و زمینه هایی را تولید می کند که با کاراکتر @ شروع می شوند. برای کسب اطلاعات بیشتر در مورد این زمینه ها ، به پرونده های پشتیبانی شده و زمینه های کشف شده در راهنمای کاربر Amazon CloudWatch مراجعه کنید.

دستورات پرس و جو بینش CloudWatch Logs Insights

این بخش شامل لیستی از دستورات Query CloudWatch Logs Insights است.

همه نمایشگاه های نمونه در این بخش روی رویدادهای ورود به سیستم شما کار نمی کنند. نمایش داده های مثال در این بخش نشان می دهد که چگونه می توانید نمایش داده های خود را با استفاده از دستورات Query CloudWatch Logs Insights پشتیبانی کنید. برای مطابقت با قالب رویدادهای ورود به سیستم ، ممکن است لازم باشد نمایش داده ها را قالب بندی کنید. برای مثال های بیشتر پرس و جو ، به نمایش داده های نمونه مراجعه کنید.

برای نمایش یک قسمت یا زمینه های خاص در نتایج پرس و جو از صفحه نمایش استفاده کنید.

مثال: نمایش یک قسمت

قطعه کد نمونه ای از یک پرس و جو را نشان می دهد که از دستور parse برای استخراج داده ها از message استفاده می کند تا زمینه های زودگذر loggingtype و loggingmessage ایجاد شود. پرس و جو تمام رویدادهای ورود به سیستم را برمی گرداند که مقادیر ورود به سیستم خطا هستند. نمایش فقط مقادیر ورود به سیستم را در نتایج پرس و جو نشان می دهد.

فقط یک بار در یک پرس و جو از صفحه نمایش استفاده کنید. اگر بیش از یک بار در یک پرس و جو از صفحه نمایش استفاده می کنید ، نتایج پرس و جو ، زمینه مشخص شده در آخرین وقوع دستور نمایش را نشان می دهد.

از زمینه ها برای نشان دادن زمینه های خاص در نتایج پرس و جو استفاده کنید.

مثال: نمایش فیلدهای خاص

قطعه کد نمونه ای از پرس و جو را نشان می دهد که 20 رویداد ورود به سیستم را برمی گرداند و آنها را به ترتیب نزولی نشان می دهد. مقادیر timestamp و message در نتایج پرس و جو نشان داده شده است.

وقتی نمی خواهید از صفحه نمایش استفاده کنید از این دستور استفاده کنید. Fields از توابع و عملکردهای مختلف برای اصلاح مقادیر میدانی و ایجاد زمینه های جدید پشتیبانی می کند که می توانند در نمایش داده ها مورد استفاده قرار گیرند.

برای دریافت رویدادهای ورود به سیستم که با یک یا چند شرایط مطابقت دارند ، از فیلتر استفاده کنید.

مثال: رویدادهای ورود به سیستم را با استفاده از یک شرط فیلتر کنید

قطعه کد نمونه ای از یک پرس و جو را نشان می دهد که تمام رویدادهای ورود به سیستم را برمی گرداند که مقدار آن برای دامنه بیشتر از 3000 است. این پرس و جو نتایج را به 20 رویداد ورود به سیستم محدود می کند و رویدادهای سیاهههای مربوط به timestamp و به ترتیب نزولی را مرتب می کند.

مثال: رویدادهای ورود به سیستم را با استفاده از بیش از یک شرط فیلتر کنید

می توانید از کلمات کلیدی و یا برای ترکیب بیش از یک شرط استفاده کنید.

قطعه کد نمونه ای از یک پرس و جو را نشان می دهد که وقایع ورود به سیستم را برمی گرداند که مقدار آن برای دامنه بیشتر از 3000 است و ارزش AccountID برابر با 798312420998 است. این پرس و جو نتایج را به 20 رویداد ورود به سیستم محدود می کند و رویدادهای سیاهههای مربوط به timestamp و به ترتیب نزولی را مرتب می کند.

برای محاسبه آمار کل با مقادیر زمینه ورود به سیستم از آمار استفاده کنید.

برای نمایش رویدادهای ورود به سیستم به ترتیب صعودی (ASC) یا نزولی (DESC) از مرتب سازی استفاده کنید.

برای مشخص کردن تعداد رویدادهای ورود به سیستم که می خواهید پرس و جو شما بازگردد ، از حد استفاده کنید.

از پارس برای استخراج داده ها از یک قسمت ورود به سیستم استفاده کنید و یک فیلد زودگذر ایجاد کنید که می توانید در پرس و جو خود پردازش کنید.

می توانید زمینه های JSON را با یک بیان منظم در تو در تو ننورتان کنید.

مثال: تجزیه یک میدان JSON تو در تو

قطعه کد نشان می دهد که چگونه می توان یک رویداد log json را که در هنگام مصرف مسطح شده است ، تجزیه کرد.

قطعه کد یک پرس و جو را با یک عبارت معمولی نشان می دهد که مقادیر FieldSA و FieldSB را برای ایجاد زمینه های زودگذر FLD و Array استخراج می کند.

از UNMASK برای نمایش تمام محتوای یک رویداد ورود به سیستم که به دلیل یک خط مشی محافظت از داده ، دارای برخی محتوا است ، استفاده کنید. برای استفاده از این دستور ، باید سیاهههای مربوط را داشته باشید: اجازه UNMASK.

برای کسب اطلاعات بیشتر در مورد محافظت از داده ها در گروه های ورود به سیستم ، به HELP HELP SENTIVE LOG LOG با ماسک مراجعه کنید.

رویدادهای ورود به سیستم JSON هنگام مصرف مسطح می شوند. در حال حاضر ، تجزیه و تحلیل زمینه های JSON تو در تو با بیان Glob ، مورد استفاده قرار نمی گیرد. شما فقط می توانید رویدادهای ورود به سیستم JSON را که شامل بیش از 200 قسمت رویداد ورود به سیستم نیست ، تجزیه کنید. هنگامی که فیلدهای JSON TUNTED را تجزیه می کنید ، باید عبارت معمولی را در پرس و جو خود قالب بندی کنید تا با فرمت رویداد JSON Log خود مطابقت داشته باشد.

دستورالعمل های کار با دستورات پرس و جو

شما باید زمینه های ورود به سیستم را در نمایش داده شد که شامل شخصیت های غیر از نماد @ ، دوره (.) و شخصیت های غیر آلفانوم در کلیدهای پشتی (`) است. به عنوان مثال ، قسمت ورود به سیستم Foo-Bar باید در پشتی (`foo-bar`) محصور شود زیرا حاوی یک شخصیت غیر alphanumeric ، hyphen (-) است.

از دستور Display برای نشان دادن قسمت یا فیلد هایی که می خواهید در نتایج پرس و جو خود مشاهده کنید استفاده کنید. دستور نمایش فقط فیلدهایی را که مشخص می کنید نشان می دهد. اگر پرس و جو شما حاوی چندین دستورات نمایشگر است ، نتایج پرس و جو فقط زمینه یا فیلدی را که در دستور نمایش نهایی مشخص کرده اید نشان می دهد.

می توانید از Fields Command با کلمه کلیدی استفاده کنید تا زمینه های زودگذر ایجاد کنید که از زمینه ها و توابع در رویدادهای ورود به سیستم استفاده می کنند. به عنوان مثال ، Fields Ispresent به عنوان ISRES یک میدان زودگذر به نام ISRES ایجاد می کند ، و از میدان زودگذر می توان در بقیه پرس و جو شما استفاده کرد.

مقدار ISRES بسته به اینکه آیا Resolvera یک زمینه کشف شده است ، برابر با 0 یا 1 است. اگر پرس و جو شما حاوی چندین دستور فیلد است و یک دستور نمایش را شامل نمی شود ، تمام زمینه هایی را که در دستورات Fields مشخص شده اند ، نمایش می دهید.

مطابقت و عبارات منظم در دستور فیلتر

دستور فیلتر از استفاده از عبارات منظم پشتیبانی می کند. می توانید از اپراتورهای مقایسه زیر استفاده کنید (= ،! = ،< , , >=) و اپراتورهای بولی (و ، یا ، و نه).

ما فرض می کنیم که شما با عبارات منظم آشنا هستید. CloudWatch Logs Insights از Hyperscan پشتیبانی می کند ، یک کتابخانه تطبیق با بیان منظم Mutiple. برای اطلاعات بیشتر در مورد Hyperscan ، به وب سایت Hyperscan مراجعه کنید.

می توانید از کلمه کلیدی برای آزمایش عضویت در مجموعه استفاده کنید و عناصر موجود در یک آرایه را بررسی کنید. برای بررسی عناصر در یک آرایه ، آرایه را بعد از آن قرار دهید. شما می توانید از اپراتور بولی استفاده کنید نه در. شما می توانید نمایش داده شده هایی را ایجاد کنید که برای بازگشت رویدادهای ورود به سیستم در جایی که زمینه ها مسابقات رشته ای هستند ، استفاده می کنند. زمینه ها باید رشته های کامل باشند. به عنوان مثال ، قطعه کد زیر یک پرس و جو را نشان می دهد که برای بازگشت رویدادهای ورود به سیستم در جایی که LogGroup Field String به عنوان مثال_Group است ، استفاده می کند.

می توانید از عبارات کلیدی مانند و دوست ندارید که با بستر ها مطابقت داشته باشید. شما می توانید از اپراتور بیان معمولی = استفاده کنید~برای مطابقت با بسترها. برای مطابقت با بستر با مانند و نه ، بستر را که می خواهید در علائم نقل قول یک یا دو برابر مطابقت داشته باشید ، محصور کنید. شما می توانید از الگوهای بیان منظم با مانند و نه مانند استفاده کنید. برای مطابقت با یک بستر با اپراتور بیان معمولی ، بستری را که می خواهید در برش های رو به جلو مطابقت دهید ، محصور کنید. مثالهای زیر حاوی قطعه های کد هستند که نشان می دهد چگونه می توانید با استفاده از دستور فیلتر ، بسترها را مطابقت دهید.

مثال: زیرزمین ها را مطابقت دهید

مثالهای زیر وقایع ورود به سیستم را باز می گرداند که F1 شامل استثناء کلمه است. هر سه مثال حساس به مورد هستند.

مثال اول با یک بستر مطابقت دارد.

مثال دوم با یک بستر با یک الگوی بیان منظم مطابقت دارد.

مثال سوم با یک زیرزمین با یک بیان منظم مطابقت دارد.

مثال: زیرزمین ها را با کارتهای وحشی مطابقت دهید

شما می توانید از نماد دوره (.) به عنوان کارت وحشی در عبارات منظم برای مطابقت با بستر استفاده کنید. در مثال زیر ، پرس و جو با هم باز می گردد که مقدار F1 با ServiceLog String شروع می شود.

می توانید نماد ستاره را بعد از نماد دوره (.*) قرار دهید تا یک کمیت حریص ایجاد کنید که تا حد ممکن مسابقات را برگرداند. به عنوان مثال ، پرس و جو زیر مسابقات را باز می گرداند که در آن مقدار F1 نه تنها با ServiceLog String شروع می شود ، بلکه شامل ServiceLog رشته نیز می شود.

مسابقات احتمالی را می توان مانند موارد زیر فرمت کرد:

مثال: بستر ها را از مسابقات حذف کنید

مثال زیر یک پرس و جو را نشان می دهد که وقایع ورود به سیستم را باز می گرداند که F1 حاوی استثناء کلمه نیست. مثال Senstive Case است.

مثال: زیرزمین ها را با الگوهای حساس موردی مطابقت دهید

شما می توانید با زیرزمینی که با عبارات مانند و منظم غیر حساس هستند ، مطابقت داشته باشید. پارامتر زیر (؟ i) را قبل از بستری که می خواهید مطابقت داشته باشید قرار دهید. مثال زیر یک پرس و جو را نشان می دهد که وقایع ورود به سیستم را باز می گرداند که F1 شامل استثناء یا استثناء است.

استفاده از نام مستعار در نمایش داده شد

نمایش داده شده هایی ایجاد کنید که حاوی نام مستعار باشد. برای تغییر نام قسمت های ورود به سیستم یا هنگام استخراج مقادیر در زمینه های زودگذر از aliases استفاده کنید. از کلمه کلیدی استفاده کنید تا یک قسمت ورود به سیستم یا نتیجه نام مستعار را ارائه دهید. می توانید بیش از یک نام مستعار در یک پرس و جو استفاده کنید. می توانید در دستورات زیر از نام مستعار استفاده کنید:

مثالهای زیر نحوه ایجاد نمایش داده هایی را نشان می دهد که حاوی نام مستعار است.

پرس و جو حاوی یک نام مستعار در فرمان فیلدها است.

پرس و جو مقادیر مربوط به زمینه های timestamp ، message و AccountID را برمی گرداند. نتایج به ترتیب نزولی طبقه بندی شده و به 20 محدود می شوند.

پرس و جو حاوی نام مستعار در دستورات مرتب سازی و آمار است.

پرس و جو تعداد دفعاتی را که مدت زمان میدان در گروه ورود به سیستم رخ می دهد ، شمارش می کند و نتایج را به ترتیب نزولی مرتب می کند. مقادیر مدت زمان در زمان نام مستعار ذکر شده است.

با استفاده از نظرات در نمایش داده شد

CloudWatch Logs Insights از نظرات در نمایش داده شد. برای تنظیم نظرات از شخصیت هش ( #) استفاده کنید. می توانید از نظرات برای نادیده گرفتن خطوط در نمایش داده ها یا نمایش داده های اسناد استفاده کنید.

مثال: پرس و جو

هنگامی که پرس و جو زیر اجرا می شود ، خط دوم نادیده گرفته می شود.

عملیات و توابع پشتیبانی شده

CloudWatch Logs Insights از عملیات و عملکردهای زیر پشتیبانی می کند.

اپراتورهای حسابی

اپراتورهای حسابی انواع داده های عددی را به عنوان آرگومان می پذیرند و نتایج عددی را برمی گردانند. از اپراتورهای حسابی در دستورات فیلتر و فیلدها و به عنوان آرگومان برای سایر توابع استفاده کنید.