Sintassi delle regole di Contributor Insights in CloudWatch

{
    "Schema": {
        "Name": "CloudWatchLogRule",
        "Version": 1
    },
    "LogGroupNames": [
        "API-Gateway-Access-Logs*",
        "Log-group-name2"
    ],
    "LogFormat": "JSON",
    "Contribution": {
        "Keys": [
            "$.ip"
        ],
        "ValueOf": "$.requestBytes",
        "Filters": [
            {
                "Match": "$.httpMethod",
                "In": [
                    "PUT"
                ]
            }
        ]
    },
    "AggregateOn": "Sum"
}

Campi nelle regole Contributor Insights

Schema

Il valore di Schema per una regola che analizza CloudWatch i dati dei log deve sempre essere {"Name": "CloudWatchLogRule", "Version": 1}

LogGroupNames

Una matrice di stringhe. Per ogni elemento nella matrice, puoi utilizzare facoltativamente * al termine di una stringa per includere tutti i gruppi di log con i nomi che iniziano con tale prefisso.

Fai attenzione all'utilizzo di caratteri jolly con nomi di gruppi di log. Vengono addebitati i costi per ogni evento di log corrispondente a una regola. Se involontariamente si esegue una ricerca in più gruppi di log di quelli previsti, è possibile che vengano addebitati costi imprevisti. Per ulteriori informazioni, consulta la pagina CloudWatch dei prezzi di Amazon.

LogGroupARNs

Se stai creando questa regola in un CloudWatch account di monitoraggio dell'osservabilità tra più account, puoi usarla LogGroupARNs per specificare i gruppi di log negli account di origine collegati all'account di monitoraggio e per specificare i gruppi di log nell'account di monitoraggio stesso. Nella regola puoi specificare LogGroupNames o LogGroupARNs, ma non entrambi.

LogGroupARNs è una matrice di stringhe. Per ogni elemento della matrice, puoi utilizzare facoltativamente * come un carattere jolly in determinate situazioni. Ad esempio, puoi indicare arn:aws:logs:us-west-1:*:log-group/MyLogGroupName2 per specificare i gruppi di log denominati MyLogGroupName2 in tutti gli account di origine e nell'account di monitoraggio, nella regione Stati Uniti occidentali (California settentrionale). Puoi inoltre indicare arn:aws:logs:us-west-1:111122223333:log-group/GroupNamePrefix* per specificare tutti i gruppi di log nella regione Stati Uniti occidentali (California settentrionale) al numero 111122223333 i cui nomi iniziano con GroupNamePrefix.

Non è possibile specificare un ID AWS account parziale come prefisso con una wild card.

Fai attenzione all'uso di caratteri jolly con i gruppi di log. ARNs Vengono addebitati i costi per ogni evento di log corrispondente a una regola. Se involontariamente si esegue una ricerca in più gruppi di log di quelli previsti, è possibile che vengano addebitati costi imprevisti. Per ulteriori informazioni, consulta la pagina CloudWatch dei prezzi di Amazon.

LogFormat

I valori validi sono JSON e CLF.

Contributo

Questo oggetto include una matrice Keys con un massimo di quattro membri, facoltativamente un singolo ValueOf e facoltativamente una matrice di un massimo di quattro Filters.

Chiavi

Una matrice di un massimo di quattro campi di log che vengono utilizzati come dimensioni per classificare i collaboratori. Se si immettono più chiavi, ogni combinazione univoca di valori per le chiavi viene conteggiata come un collaboratore univoco. I campi devono essere specificati utilizzando la notazione formato proprietà JSON.

ValueOf

(Facoltativo) Specifica questa opzione solo durante la definizione di Sum come valore di AggregateOn. ValueOf specifica un campo di log con valori numerici. In questo tipo di regola, i collaboratori vengono classificati in base alla somma del valore di questo campo, anziché al numero di occorrenze nelle voci di log. Ad esempio, Se si desidera ordinare i collaboratori in base al BytesSent totale su un periodo, devi impostare ValueOf su BytesSent e specificare Sum per AggregateOn.

Filtri

Speciifica una matrice di un massimo di quattro filtri per restringere gli eventi di registro inclusi nel rapporto. Se si specificano più filtri, questi vengono valutati da Contributor Insights con un operatore AND logico. Puoi utilizzare questa opzione per filtrare gli eventi di log irrilevanti nella ricerca oppure per selezionare un singolo collaboratore per analizzarne il comportamento.

Ogni membro nella matrice deve includere un campo Match e un campo che indica il tipo di operatore corrispondente da utilizzare.

Il campo Match specifica un campo di log da valutare nel filtro. Il campo di log viene specificato utilizzando la notazione del formato proprietà JSON.

Il campo operatore corrispondente deve essere uno dei seguenti: In, NotIn, StartsWith, GreaterThan, LessThan, EqualTo, NotEqualTo o IsPresent. Se il campo operatore è In, NotIn, o StartsWith, è seguito da una matrice di valori stringa da controllare. Contributor Insights valuta la matrice di valori stringa con un operatore OR. La matrice può includere fino a 10 valori stringa.

Se il campo operatore è GreaterThan, LessThan, EqualTo, o NotEqualTo, è seguito da un singolo valore numerico da confrontare.

Se il campo operatore è IsPresent, è seguito da true o false. Questo operatore corrisponde agli eventi di log a seconda che il campo di log specificato sia presente nell'evento di log. isPresent funziona solo con i valori nel nodo foglia delle proprietà JSON. Ad esempio, un filtro che ricerca corrispondenze per c-count non valuta un evento di log con un valore pari a details.c-count.c1.

Vedi i quattro esempi di filtro di seguito:

{"Match": "$.httpMethod", "In": [ "PUT", ] }
{"Match": "$.StatusCode", "EqualTo": 200 }
{"Match": "$.BytesReceived", "GreaterThan": 10000}
{"Match": "$.eventSource", "StartsWith": [ "ec2", "ecs" ] }

AggregateOn

I valori validi sono Count e Sum. Specifica se aggregare il report in base a un conteggio di occorrenze o a una somma dei valori del campo specificato nel campo ValueOf.

$.userAgent
$.endpoints[0]
$.users[1].name
$.requestParameters.instanceId

{
    "Schema": {
        "Name": "CloudWatchLogRule",
        "Version": 1
    },
    "LogGroupNames": [
        "API-Gateway-Access-Logs*"
    ],
    "LogFormat": "CLF",
    "Fields": {
        "4": "IpAddress",
        "7": "StatusCode"
    },
    "Contribution": {
        "Keys": [
            "IpAddress"
        ],
        "Filters": [
            {
                "Match": "StatusCode",
                "EqualTo": 200
            }
        ]
    },
    "AggregateOn": "Count"
}