CloudTrail Consultas sobre Lake

Las consultas en CloudTrail Lake se crean en SQL. Puede crear una consulta en la pestaña Editor de CloudTrail Lake escribiendo la consulta en SQL desde cero, abriendo una consulta guardada o de muestra y editándola o utilizando el generador de consultas para generar una consulta a partir de una petición en inglés. No puede sobrescribir una consulta de muestra ya incluida con sus cambios, pero puede guardarla como una nueva consulta. Para obtener más información acerca del lenguaje de consulta SQL permitido, consulte CloudTrail Restricciones de Lake SQL.

Una consulta ilimitada (como SELECT * FROM edsID) analiza todos los datos de su almacén de datos de eventos. Para ayudar a controlar los costos, le recomendamos que restrinja las consultas agregando marcas temporales eventTime de inicio y finalización a las consultas. A continuación, se muestra un ejemplo que realiza una búsqueda de todos los eventos en un almacén de datos de eventos especificado en el que la hora del evento es posterior (>) al 5 de enero de 2023 a la 13.51 h y anterior (<) al 19 de enero de 2023 a las 13.51 h. Dado que un almacén de datos de eventos tiene un periodo de retención mínimo de siete días, el lapso de tiempo mínimo entre los valores eventTime iniciales y finales también es de siete días.

SELECT *
FROM eds-ID
WHERE
     eventtime >='2023-01-05 13:51:00' and eventtime < ='2023-01-19 13:51:00'

Para obtener información acerca de cómo optimizar las consultas, consulteOptimiza las consultas de CloudTrail Lake.

Herramientas del editor de consultas

Una barra de herramientas situada en la parte superior derecha del editor de consultas ofrece comandos que ayudan a crear y dar formato a la consulta SQL.

La siguiente lista describe los comandos de la barra de herramientas.