CloudTrail Lake-Abfragen

CloudTrail Lake-Abfragen werden in SQL erstellt. Sie können eine Abfrage auf der Registerkarte CloudTrail Lake Editor erstellen, indem Sie die Abfrage von Grund auf in SQL schreiben, eine gespeicherte oder Beispielabfrage öffnen und bearbeiten oder den Abfragegenerator verwenden, um eine Abfrage aus einer englischen Sprachaufforderung zu erstellen. Sie können eine enthaltene Beispielabfrage nicht mit Ihren Änderungen überschreiben, aber Sie können sie als neue Abfrage speichern. Weitere Informationen über die zulässige SQL-Abfragesprache finden Sie unter CloudTrail Lake-SQL-Einschränkungen.

Eine unbegrenzte Abfrage (wie SELECT * FROM edsID) scannt alle Daten in Ihrem Ereignisdatenspeicher. Um die Kosten zu kontrollieren, empfehlen wir Ihnen, Abfragen einzuschränken, indem Sie eventTime-Start- und Ende-Zeitstempel zu Abfragen hinzufügen. Im folgenden Beispiel wird nach allen Ereignissen in einem angegebenen Ereignisdatenspeicher gesucht, bei denen die Ereigniszeit nach (>) 5. Januar 2023 um 13:51 Uhr und vor (<) 19. Januar 2023 um 13:51 Uhr liegt. Da ein Ereignisdatenspeicher eine Mindestaufbewahrungsfrist von sieben Tagen hat, ist die minimale Zeitspanne zwischen eventTime-Start- und Endwerten ebenfalls sieben Tage.

SELECT *
FROM eds-ID
WHERE
     eventtime >='2023-01-05 13:51:00' and eventtime < ='2023-01-19 13:51:00'

Weitere Informationen, wie Sie Ihre Abfragen optimieren können, finden Sie unter CloudTrail Lake-Abfragen optimieren.

Tools für Abfrageeditor

Eine Symbolleiste oben rechts im Abfrage-Editor bietet Befehle, mit denen Sie Ihre SQL-Abfrage erstellen und formatieren können.

In den folgenden Abschnitten werden die Befehle der Symbolleiste beschrieben.