Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Comprensione dei concetti relativi alle interrogazioni pianificate

Prima di creare interrogazioni pianificate, è necessario comprendere questi concetti chiave che influiscono sulla modalità di esecuzione delle query e sul luogo in cui vengono forniti i risultati.

Separazione dei ruoli IAM

Le query pianificate richiedono due ruoli IAM separati: uno per l'esecuzione delle query e l'altro per fornire risultati a destinazioni come bucket Amazon S3, bus di EventBridge eventi Amazon o tabelle di ricerca. Comprendere il motivo per cui esiste questa separazione ti aiuta a configurare correttamente le autorizzazioni e a utilizzare i vantaggi operativi e di sicurezza che offre.

L'architettura a due ruoli divide le responsabilità tra accesso e distribuzione dei dati. Il ruolo di esecuzione delle query accede ai dati di registro ed esegue le query, mentre il ruolo di destinazione di consegna scrive i risultati nella destinazione prescelta. Questa separazione segue il principio del privilegio minimo: ogni ruolo dispone solo delle autorizzazioni necessarie per la sua funzione specifica.

Questa separazione offre vantaggi pratici per le tue operazioni. Dal punto di vista della sicurezza, se è necessario modificare il luogo di consegna dei risultati, è sufficiente modificare il ruolo di destinazione senza modificare le autorizzazioni di esecuzione delle query. Per la conformità e il controllo, puoi tracciare chiaramente quale ruolo accede ai dati di registro sensibili e quale ruolo scrive su sistemi esterni. In questo modo è più facile dimostrare che l'infrastruttura di analisi dei log segue le best practice di sicurezza.

Cross-region e utilizzo su più account

Una query pianificata viene creata in una regione specifica e viene eseguita in quella regione. Tuttavia, puoi interrogare i gruppi di log e fornire risultati in tutte le regioni e gli account. È necessario configurare uno o più AWS account come account di monitoraggio e collegarli a più account di origine. Un account di monitoraggio è un AWS account centrale in grado di visualizzare e interagire con i dati di osservabilità generati dagli account di origine. Un account di origine è un AWS account individuale che genera dati di osservabilità per le risorse che vi risiedono. Gli account di origine condividono i dati di osservabilità con l'account di monitoraggio. Quindi puoi impostare query pianificate dall'account di monitoraggio utilizzando i gruppi di log di tutti gli account collegati.

Approccio alternativo: utilizza la centralizzazione dei CloudWatch log per replicare i dati di log provenienti da più account e regioni in un account di monitoraggio centrale. Ciò consente di creare query pianificate in un'unica regione che accedano a tutti i log centralizzati, evitando query interregionali e semplificando la gestione delle autorizzazioni IAM.

Pianifica le espressioni e la gestione dei fusi orari

La pianificazione definita determina quando viene eseguita la query e la frequenza di esecuzione. La scelta dell'espressione di pianificazione corretta influisce sul momento in cui si ricevono i risultati e sulla quantità di dati interrogati. La comprensione dei tipi di espressione consente di scegliere tra semplicità e precisione.

Le espressioni Cron forniscono un controllo preciso sulla tempistica, consentendo di specificare orari, giorni della settimana o giorni del mese esatti. Usa le espressioni cron quando hai bisogno che le query vengano eseguite in orari lavorativi specifici o in linea con le pianificazioni operative. Nella console puoi anche pianificare le query utilizzando semplici opzioni di calendario.

Tutte le interrogazioni pianificate vengono eseguite in UTC, indipendentemente dal fuso orario locale o da dove si trovano le risorse. AWS Ciò è particolarmente importante quando si pianificano le query per l'orario di lavoro o per analisi sensibili al fattore tempo. Ad esempio, se la tua azienda opera nell'ora orientale degli Stati Uniti e desideri un rapporto giornaliero alle 9:00 ET, devi tenere conto della differenza UTC (14:00 UTC durante l'ora legale, 13:00 UTC altrimenti). Pianifica le espressioni di pianificazione tenendo conto dell'UTC per garantire che le query vengano eseguite negli orari previsti.

Scelta di un linguaggio di interrogazione

Le interrogazioni pianificate supportano tre diversi linguaggi di interrogazione e la tua scelta influisce sia sul modo in cui scrivi le query sia sulla facilità con cui il tuo team può gestirle. La lingua giusta dipende dai requisiti di analisi e dalle competenze esistenti del team.

Se stai principalmente filtrando e aggregando i dati di registro, CloudWatch Logs Insights Query Language offre la sintassi più semplice. Per trasformazioni di dati complesse in cui è necessario rimodellare o arricchire i dati in più passaggi, l'approccio basato sulla pipeline di PPL semplifica l'applicazione della logica. Quando è necessario eseguire join o aggregazioni complesse simili alle operazioni di database, SQL fornisce una sintassi familiare che i team esperti di database possono adottare rapidamente.

Selezione della destinazione e casi d'uso

Il luogo in cui invii i risultati delle query determina cosa puoi fare con essi. Questa scelta modella l'intero flusso di lavoro a valle, che si tratti di creare analisi a lungo termine, attivare risposte automatiche o entrambe le cose. Comprendere i punti di forza di ogni tipo di destinazione ti aiuta a progettare l'architettura giusta per il tuo caso d'uso.

Le destinazioni Amazon S3 sono ottimizzate per lo storage e l'elaborazione in batch. Quando devi conservare i risultati delle query per mesi o anni, analizzare le tendenze nel tempo o inserire dati in piattaforme di analisi, Amazon S3 offre uno storage conveniente con conservazione illimitata. EventBridge le destinazioni sono ottimizzate per l'automazione in tempo reale. Quando i risultati delle query devono innescare azioni immediate, come l'invio di avvisi, l'avvio di flussi di lavoro o l'aggiornamento dei sistemi, i risultati si ottengono sotto forma EventBridge di eventi a cui le applicazioni possono rispondere istantaneamente. Per impostazione predefinita, tutti gli eventi di completamento delle query vengono inviati automaticamente come eventi al bus di eventi predefinito, consentendo l'integrazione con i sistemi di elaborazione a valle, le funzioni Lambda o altre architetture basate sugli eventi. I risultati vengono pubblicati nelle destinazioni solo quando la query viene eseguita correttamente. Le destinazioni delle tabelle di ricerca sono ottimizzate per mantenere aggiornati i dati di riferimento. Una destinazione della tabella di ricerca popola o aggiorna automaticamente la tabella di ricerca specificata con i risultati della query a ogni esecuzione pianificata, in modo che altre query possano fare riferimento ai dati più recenti con il comando. lookup

Formato e struttura dei risultati delle query

Per le destinazioni Amazon S3: i risultati delle query vengono forniti in formato JSON con la stessa struttura della risposta GetQueryResults API. Per Amazon, EventBridge comprendere il formato dei risultati delle query pianificate aiuta a progettare flussi di lavoro di elaborazione e integrazione a valle.

I risultati delle query vengono forniti in formato JSON con la seguente struttura:

{
    "version": "0",
    "id": "be72061b-eca2-e068-a7e1-83e01d6fe807",
    "detail-type": "Scheduled Query Completed",
    "source": "aws.logs",
    "account": "123456789012",
    "time": "2025-11-18T11:31:48Z",
    "region": "us-east-1",
    "resources": [
        "arn:aws:logs:us-east-1:123456789012:scheduled-query:477b4380-b098-474e-9c5e-e10a8cc2e6e7"
    ],
    "detail": {
        "queryId": "2038fd57-ab4f-4018-bb2f-61d363f4a004",
        "queryString": "fields @timestamp, @message, @logStream, @log\n| sort @timestamp desc\n| limit 10000",
        "logGroupIdentifiers": [
            "/aws/lambda/my-function"
        ],
        "status": "Complete",
        "startTime": 1763465460,
        "statistics": {
            "recordsMatched": 0,
            "recordsScanned": 0,
            "estimatedRecordsSkipped": 0,
            "bytesScanned": 0,
            "estimatedBytesSkipped": 0,
            "logGroupsScanned": 1
        }
    }
}

Gli elementi chiave includono: