Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Processori di trasformazione

I processori di trasformazione modificano la struttura degli eventi di registro aggiungendo, copiando, spostando o rimuovendo campi.

processore add_entries

Aggiunge coppie chiave-valore statiche per registrare gli eventi. È possibile aggiungere al massimo 1 add_entries processore a una pipeline.

Configurazione

Configura il processore add_entries con i seguenti parametri:

processor:
  - add_entries:
      entries:
        - key: "environment"
          value: "production"
          overwrite_if_key_exists: false

processore copy_values

Copia i valori da un campo all'altro. È possibile aggiungere al massimo 1 copy_values processore a una pipeline.

Configurazione

Configura il processore copy_values con i seguenti parametri:

processor:
  - copy_values:
      entries:
        - from_key: "user_id"
          to_key: "backup_user"
          overwrite_if_to_key_exists: false

processore delete_entries

Rimuove i campi specificati dagli eventi di registro.

Configurazione

Configura il processore delete_entries con i seguenti parametri:

processor:
  - delete_entries:
      with_keys: ["temp_field", "debug_info"]

processore move_keys

Sposta i campi da una posizione all'altra.

Configurazione

Configura il processore move_keys con i seguenti parametri:

processor:
  - move_keys:
      entries:
        - from_key: "old_field"
          to_key: "new_field"
          overwrite_if_to_key_exists: true

appiattisci il processore

Appiattisce le strutture degli oggetti annidati.

Configurazione

Configura il processore flatten con i seguenti parametri:

processor:
  - flatten:
      source: "metadata"
      target: "flattened"
      remove_processed_fields: true
      exclude_keys: ["sensitive_data"]

processore di ricerca

Arricchisce gli eventi di registro con i dati di una tabella di ricerca CloudWatch Logs. Il processore abbina i campi degli eventi di registro con i campi della tabella di ricerca e aggiunge i campi specificati agli eventi di registro. Utilizzate questo processore per scenari di arricchimento dei dati, come la mappatura degli ID utente ai dettagli dell'utente, dei codici prodotto alle informazioni sul prodotto o dei codici di errore alle descrizioni degli errori. È possibile aggiungere al massimo 1 lookup processore a una pipeline.

Configurazione

Configura il processore di ricerca con i seguenti parametri:

processor:
  - lookup:
      lookup_table: "arn:aws:logs:us-east-1:123456789012:lookup-table:my_lookup_table"
      match_keys:
        - log_key: "src_ip"
          lookup_key: "ip_address"
      entries:
        - source: "hostname"
          target: "src_hostname"
          overwrite_if_exists: true

Esempio

Consideriamo una tabella di ricerca denominata network_assets con le seguenti righe:

Dato il seguente evento di registro:

{
  "timestamp": "2026-05-04T12:00:00Z",
  "src_ip": "10.0.2.45",
  "action": "connection_opened",
  "bytes": 2048
}

E la seguente configurazione del processore:

processor:
  - lookup:
      lookup_table: "arn:aws:logs:us-east-1:123456789012:lookup-table:network_assets"
      match_keys:
        - log_key: "src_ip"
          lookup_key: "ip_address"
      entries:
        - source: "hostname"
          target: "src_hostname"
        - source: "owner"
        - source: "location"
          target: "src_region"
          overwrite_if_exists: false

Il processore produce il seguente evento di registro arricchito:

{
  "timestamp": "2026-05-04T12:00:00Z",
  "src_ip": "10.0.2.45",
  "action": "connection_opened",
  "bytes": 2048,
  "src_hostname": "db-server-03",
  "owner": "team-beta",
  "src_region": "us-west-2"
}

autorizzazioni IAM

Quando una pipeline utilizza il processore di ricerca, il ruolo di esecuzione della pipeline deve includere l'logs:GetLookupTableautorizzazione per la tabella di riferimento. La seguente dichiarazione politica di esempio concede questa autorizzazione:

{
  "Effect": "Allow",
  "Action": "logs:GetLookupTable",
  "Resource": "arn:aws:logs:<region>:<account-id>:lookup-table:<table-name>"
}

processore geoip

Il processore geoip arricchisce gli eventi di registro con dati di localizzazione geografica basati su indirizzi IP. Il processore utilizza i MaxMind database per risolvere gli indirizzi IP in informazioni geografiche come città, paese, continente, coordinate e dettagli del numero di sistema autonomo (ASN). Utilizzate questo processore per l'analisi del traffico di rete, l'arricchimento della posizione degli utenti e gli scenari di indagine sulla sicurezza.

Configurazione

Configura il processore geoip con i seguenti parametri:

processor:
  - geoip:
      entries:
        - source: "client_ip"
          target: "client_geo"
          include_fields:
            - "city_name"
            - "country_name"
            - "country_iso_code"
            - "continent_name"
            - "latitude"
            - "longitude"
          when: '.client_ip != "127.0.0.1"'

Esempio

L'esempio seguente mostra un esempio di evento di registro con campi di indirizzo IP:

{
  "timestamp": "2026-05-04T12:00:00Z",
  "src_ip": "203.0.113.50",
  "dst_ip": "198.51.100.25",
  "action": "ALLOW",
  "bytes": 4096
}

La seguente configurazione del processore mappa i campi IP di origine e di destinazione su obiettivi di arricchimento geografico:

processor:
  - geoip:
      entries:
        - source: "src_ip"
          target: "src_geo"
          include_fields:
            - "city_name"
            - "country_name"
            - "country_iso_code"
            - "latitude"
            - "longitude"
            - "asn"
            - "asn_organization"
        - source: "dst_ip"
          target: "dst_geo"
          include_fields:
            - "country_name"
            - "country_iso_code"

Il processore produce il seguente evento di registro arricchito:

{
  "timestamp": "2026-05-04T12:00:00Z",
  "src_ip": "203.0.113.50",
  "dst_ip": "198.51.100.25",
  "action": "ALLOW",
  "bytes": 4096,
  "src_geo": {
    "city_name": "Seattle",
    "country_name": "United States",
    "country_iso_code": "US",
    "latitude": 47.6062,
    "longitude": -122.3321,
    "asn": 16509,
    "asn_organization": "Amazon.com, Inc."
  },
  "dst_geo": {
    "country_name": "Germany",
    "country_iso_code": "DE"
  }
}