dedup

Utilisez dedup pour supprimer les résultats dupliqués en fonction de valeurs spécifiques dans les champs que vous indiquez. Vous pouvez l'utiliser dedup avec un ou plusieurs champs. Si vous spécifiez un champ avec dedup, un seul événement du journal est renvoyé pour chaque valeur unique de ce champ. Si vous spécifiez plusieurs champs, un événement du journal est renvoyé pour chaque combinaison unique de valeurs pour ces champs.

Les doublons sont supprimés en fonction de l'ordre de tri, seul le premier résultat selon l'ordre de tri étant conservé. Nous vous recommandons de trier vos résultats avant de les soumettre à la commande dedup. Si les résultats ne sont pas triés avant d'être soumis à dedup, l'ordre de tri décroissant par défaut utilisant @timestamp est appliqué.

Les valeurs nulles ne sont pas considérées comme des doublons pour l'évaluation. Les événements du journal dont les valeurs sont nulles pour l'un des champs spécifiés sont conservés. Pour éliminer les champs contenant des valeurs nulles, utilisez filter en appliquant la fonction isPresent(field).

La seule commande de requête que vous pouvez utiliser dans une requête après la commande dedup est limit.

Exemple : n'afficher que l'événement du journal le plus récent pour chaque valeur unique du champ nommé server

L'exemple suivant affiche les champs timestamp, server, severity, et message correspondant uniquement à l'événement le plus récent pour chaque valeur unique de server.

fields @timestamp, server, severity, message 
| sort @timestamp desc 
| dedup server

Pour d'autres exemples de requêtes CloudWatch Logs Insights, consultezRequêtes générales.