Interrogazione diretta dei dati di Amazon CloudWatch Logs in Service OpenSearch

Le query interattive vengono utilizzate per compilare il selettore di dati ed eseguire analisi sui dati nei registri. CloudWatch OpenSearch Il servizio gestisce ogni query con un job separato pre-riscaldato, senza mantenere una sessione prolungata.

Le query di visualizzazione indicizzata utilizzano il calcolo per mantenere le viste indicizzate nel Servizio. OpenSearch Queste query in genere richiedono più tempo perché inseriscono una quantità variabile di dati in un indice denominato. Per le origini dati CloudWatch connesse a Logs, i dati indicizzati vengono archiviati in una raccolta OpenSearch Serverless in cui vengono addebitati i dati indicizzati (IndexingOCU), i dati ricercati (SearchOCU) e i dati archiviati in GB.

L'integrazione diretta delle query con CloudWatch Logs è disponibile solo nelle raccolte di OpenSearch servizi e nell' OpenSearch interfaccia utente.

OpenSearch Le raccolte serverless hanno limiti di payload in rete di 100 MiB.

CloudWatch Logs supporta VPC Flow CloudTrail AWS WAF e integrazioni di dashboard installate dalla console.

AWS CloudFormation i modelli non sono ancora supportati.

OpenSearch Le istruzioni SQL e OpenSearch PPL presentano limitazioni diverse quando si lavora con OpenSearch gli indici rispetto all'utilizzo di query dirette. Direct Query supporta comandi avanzati come JOINs sottoquery e ricerche, mentre il supporto per questi comandi sugli OpenSearch indici è limitato o inesistente. Per ulteriori informazioni, consulta Comandi SQL e PPL supportati.

Quando si cercano più gruppi di log in un'unica query, utilizzare la sintassi appropriata. Per ulteriori informazioni, consulta Funzioni di gruppo multi-log.

Quando usi i comandi SQL o PPL, racchiudi alcuni campi tra i backtick per interrogarli correttamente. I backtick sono necessari per i campi con caratteri speciali (non alfabetici e non numerici). Ad esempio, racchiudi e inserisci i contrassegni. @message Operation.Export, Test::Field Non è necessario racchiudere colonne con nomi puramente alfabetici nei backtick.

Query di esempio con campi semplici:

SELECT SessionToken, Operation, StartTime  FROM `LogGroup-A`
LIMIT 1000;

Query simile con backtick aggiunti:

SELECT `@SessionToken`, `@Operation`, `@StartTime` FROM `LogGroup-A`
LIMIT 1000;

Usa dei limiti per le tue query per assicurarti di non recuperare troppi dati.

Le query contenenti nomi di campo identici ma che differiscono solo nel caso in cui (ad esempio field1 eFIELD1) non siano supportate.

Ad esempio, le seguenti query non sono supportate:

Select AWSAccountId, AwsAccountId from LogGroup
Select a.@LogStream, b.@logStream from Table A INNER Join Table B ona.id = b.id

Tuttavia, la seguente query è supportata perché il nome del campo (@logStream) è identico in entrambi i gruppi di log:

Select a.@logStream, b.@logStream from Table A INNER Join Table B on a.id = b.id

Le funzioni e le espressioni devono operare sui nomi dei campi e far parte di un'SELECTistruzione con un gruppo di log specificato nella FROM clausola.

Ad esempio, questa query non è supportata:

SELECT cos(10) FROM LogGroup

Questa interrogazione è supportata:

SELECT cos(field1) FROM LogGroup

Asia Pacifico (Mumbai)

Asia Pacifico (Hong Kong)

Asia Pacifico (Osaka)

Asia Pacifico (Seoul)

Asia Pacifico (Singapore)

Asia Pacifico (Sydney)

Asia Pacifico (Tokyo)

Canada (Centrale)

Europa (Francoforte)

Europa (Irlanda)

Europa (Stoccolma)

Europa (Milano)

Europa (Spagna)

Stati Uniti orientali (Virginia settentrionale)

Stati Uniti orientali (Ohio)

Stati Uniti occidentali (Oregon)

Stati Uniti occidentali (California settentrionale)

Europa (Parigi)

Europa (Londra)

Sud America (San Paolo)