Consultas de CloudTrail Lake

Las consultas de CloudTrail Lake se crean en SQL. Puede crear una consulta en la pestaña Editor de CloudTrail Lake mediante la escritura de la consulta en SQL desde cero, la apertura de una consulta guardada o de muestra y su edición, o mediante el generador de consultas para crear una consulta a partir de una petición redactada en inglés. No puede sobrescribir una consulta de muestra ya incluida con sus cambios, pero puede guardarla como una nueva consulta. Para obtener más información acerca del lenguaje de consulta SQL permitido, consulte Restricciones SQL de CloudTrail Lake.

Una consulta ilimitada (como SELECT * FROM edsID) analiza todos los datos de su almacén de datos de eventos. Para ayudar a controlar los costos, le recomendamos que restrinja las consultas agregando marcas temporales eventTime de inicio y finalización a las consultas. A continuación, se muestra un ejemplo que realiza una búsqueda de todos los eventos en un almacén de datos de eventos especificado en el que la hora del evento es posterior (>) al 5 de enero de 2023 a la 13.51 h y anterior (<) al 19 de enero de 2023 a las 13.51 h. Dado que un almacén de datos de eventos tiene un periodo de retención mínimo de siete días, el lapso de tiempo mínimo entre los valores eventTime iniciales y finales también es de siete días.

SELECT *
FROM eds-ID
WHERE
     eventtime >='2023-01-05 13:51:00' and eventtime < ='2023-01-19 13:51:00'

Para obtener más información sobre cómo optimizar las consultas, diríjase a Optimización de consultas de CloudTrail Lake.

Herramientas del editor de consultas

Una barra de herramientas situada en la parte superior derecha del editor de consultas ofrece comandos que ayudan a crear y dar formato a la consulta SQL.

La siguiente lista describe los comandos de la barra de herramientas.