Consultando diretamente os dados do Amazon CloudWatch Logs no Service OpenSearch

As consultas interativas são usadas para preencher o seletor de dados e realizar análises em seus dados no Logs. CloudWatch OpenSearch O serviço processa cada consulta com uma tarefa pré-aquecida separada, sem manter uma sessão prolongada.

As consultas de visualização indexada usam computação para manter visualizações indexadas no Serviço. OpenSearch Essas consultas geralmente demoram mais porque ingerem uma quantidade variável de dados em um índice nomeado. Para fontes de dados conectadas ao CloudWatch Logs, os dados indexados são armazenados em uma coleção OpenSearch sem servidor, na qual você é cobrado pelos dados indexados (IndexingOcu), pelos dados pesquisados (SearchOCU) e pelos dados armazenados em GB.

A integração direta de consultas com o CloudWatch Logs está disponível somente nas coleções OpenSearch de serviços e na interface OpenSearch do usuário.

OpenSearch As coleções sem servidor têm limitações de carga útil em rede de 100 MiB.

CloudWatch O Logs oferece suporte ao VPC Flow e às integrações de AWS WAF painéis instaladas a partir do console. CloudTrail

AWS CloudFormation os modelos ainda não são compatíveis.

OpenSearch As instruções SQL e OpenSearch PPL têm limitações diferentes ao trabalhar com OpenSearch índices em comparação com o uso de consulta direta. A consulta direta oferece suporte a comandos avançados JOINs, como subconsultas e pesquisas, enquanto o suporte a esses comandos em OpenSearch índices é limitado ou inexistente. Para obter mais informações, consulte Comandos SQL e PPL compatíveis.

Ao pesquisar vários grupos de logs em uma consulta, use a sintaxe adequada. Para saber mais, consulte Funções de vários grupos de logs.

Ao usar comandos SQL ou PPL, coloque certos campos entre crases para consultá-los com êxito. Acentos graves são necessários em campos com caracteres especiais (não alfabéticos e não numéricos). Por exemplo, coloque @message, Operation.Export, e Test::Field entre acentos graves. Não é necessário colocar entre acentos graves campos com nomes puramente alfabéticos.

Exemplo de consulta com campos simples:

SELECT SessionToken, Operation, StartTime  FROM `LogGroup-A`
LIMIT 1000;

Consulta semelhante com acentos graves acrescentados:

SELECT `@SessionToken`, `@Operation`, `@StartTime` FROM `LogGroup-A`
LIMIT 1000;

Use limites em suas consultas para garantir que você não esteja recuperando muitos dados.

Consultas contendo nomes de campo idênticos, que diferem somente em maiúsculas e minúsculas (como field1 e FIELD1) não são compatíveis.

Por exemplo, as seguintes consultas não são compatíveis:

Select AWSAccountId, AwsAccountId from LogGroup
Select a.@LogStream, b.@logStream from Table A INNER Join Table B ona.id = b.id

No entanto, a seguinte consulta é compatível porque o nome do campo (@logStream) é idêntico em ambos os grupos de logs:

Select a.@logStream, b.@logStream from Table A INNER Join Table B on a.id = b.id

As funções e expressões devem operar em nomes de campo e fazer parte de uma instrução SELECT com um grupo de logs especificado na cláusula FROM.

Por exemplo, esta consulta não é compatível:

SELECT cos(10) FROM LogGroup

Esta consulta é compatível:

SELECT cos(field1) FROM LogGroup

Ásia-Pacífico (Mumbai)

Ásia Pacífico (Hong Kong)

Ásia-Pacífico (Osaka)

Ásia-Pacífico (Seul)

Ásia-Pacífico (Singapura)

Ásia-Pacífico (Sydney)

Ásia-Pacífico (Tóquio)

Canadá (Central)

Europa (Frankfurt)

Europa (Irlanda)

Europa (Estocolmo)

Europa (Milão)

Europa (Espanha)

Leste dos EUA (Norte da Virgínia)

Leste dos EUA (Ohio)

Oeste dos EUA (Oregon)

Oeste dos EUA (N. da Califórnia)

Europa (Paris)

Europa (Londres)

América do Sul (São Paulo)