Consulta directa de los datos de Amazon CloudWatch Logs en el servicio OpenSearch

Las consultas interactivas se utilizan para rellenar el selector de datos y realizar análisis de los datos de los CloudWatch registros. OpenSearch El servicio gestiona cada consulta con un trabajo preajustado independiente, sin necesidad de mantener una sesión prolongada.

Las consultas de vistas indexadas utilizan el procesamiento para mantener las vistas indexadas en Service. OpenSearch Estas consultas suelen tardar más porque ingieren una cantidad de datos variable en un índice con nombre. En el caso de las fuentes de datos conectadas a CloudWatch Logs, los datos indexados se almacenan en una colección OpenSearch sin servidor, en la que se cobra por los datos indexados (indexingOCU), los datos buscados (SearchOCU) y los datos almacenados en GB.

La integración de las consultas directas con CloudWatch los registros solo está disponible en las colecciones OpenSearch de servicios y en la interfaz OpenSearch de usuario.

OpenSearch Las colecciones sin servidor tienen limitaciones de carga útil de red de 100 MiB.

CloudWatch Logs admite el flujo de VPC y las integraciones de AWS WAF paneles instaladas desde la consola. CloudTrail

AWS CloudFormation las plantillas aún no son compatibles.

OpenSearch Las sentencias SQL y OpenSearch PPL tienen limitaciones diferentes cuando se trabaja con OpenSearch índices en comparación con el uso de consultas directas. Direct Query admite comandos avanzados JOINs, como subconsultas y búsquedas, mientras que la compatibilidad con estos comandos en los OpenSearch índices es limitada o inexistente. Para obtener más información, consulte Comandos SQL y PPL compatibles.

Al buscar varios grupos de registros en una consulta, utilice la sintaxis adecuada. Para obtener más información, consulte Funciones de grupos de registros múltiples.

Cuando utilice comandos SQL o PPL, encierre determinados campos entre comillas invertidas para consultarlos correctamente. Las comillas invertidas son necesarias para los campos con caracteres especiales (no alfabéticos ni numéricos). Por ejemplo, encierre @message, Operation.Export, y Test::Field entre comillas invertidas. No es necesario incluir las columnas con nombres exclusivamente alfabéticos entre comillas invertidas.

Ejemplo de consulta con campos sencillos:

SELECT SessionToken, Operation, StartTime  FROM `LogGroup-A`
LIMIT 1000;

Consulta similar con comillas invertidas agregadas:

SELECT `@SessionToken`, `@Operation`, `@StartTime` FROM `LogGroup-A`
LIMIT 1000;

Aplica límites a tus consultas para asegurarte de no recuperar demasiados datos.

No se admiten consultas que contengan nombres de campo idénticos pero que solo difieran en mayúsculas y minúsculas (como field1 y FIELD1).

Por ejemplo, no se admiten las siguientes consultas:

Select AWSAccountId, AwsAccountId from LogGroup
Select a.@LogStream, b.@logStream from Table A INNER Join Table B ona.id = b.id

Sin embargo, se admite la siguiente consulta porque el nombre del campo (@logStream) es idéntico en ambos grupos de registros:

Select a.@logStream, b.@logStream from Table A INNER Join Table B on a.id = b.id

Las funciones y expresiones deben funcionar con los nombres de los campos y formar parte de una sentencia SELECT con un grupo de registros especificado en la cláusula FROM.

Por ejemplo, no se admite esta consulta:

SELECT cos(10) FROM LogGroup

Se admite esta consulta:

SELECT cos(field1) FROM LogGroup

Asia-Pacífico (Mumbai)

Asia-Pacífico (Hong Kong)

Asia-Pacífico (Osaka)

Asia-Pacífico (Seúl)

Asia-Pacífico (Singapur)

Asia-Pacífico (Sídney)

Asia-Pacífico (Tokio)

Canadá (centro)

Europa (Fráncfort)

Europa (Irlanda)

Europa (Estocolmo)

Europa (Milán)

Europa (España)

Este de EE. UU. (Norte de Virginia)

Este de EE. UU. (Ohio)

Oeste de EE. UU. (Oregón)

Oeste de EE. UU. (Norte de California)

Europa (París)

Europa (Londres)

América del Sur (São Paulo)