Tutorial: Ausführen und Ändern einer Beispielabfrage

Das folgende Tutorial hilft Ihnen bei den ersten Schritten mit CloudWatch Logs Insights. Sie führen eine Beispielabfrage aus und sehen dann, wie Sie sie ändern und erneut ausführen können.

Um eine Abfrage auszuführen, müssen Sie bereits Protokolle in - CloudWatch Protokollen gespeichert haben. Wenn Sie bereits - CloudWatch Protokolle verwenden und Protokollgruppen und Protokollstreams eingerichtet haben, können Sie beginnen. Möglicherweise haben Sie auch bereits Protokolle, wenn Sie Services wie AWS CloudTrail, Amazon Route 53 oder Amazon VPC verwenden und Protokolle von diesen Services eingerichtet haben, um zu CloudWatch Protokollen zu gelangen. Weitere Informationen zum Senden von Protokollen an CloudWatch -Protokolle finden Sie unter Erste Schritte mit - CloudWatch Protokollen.

Abfragen in CloudWatch Logs Insights geben entweder eine Reihe von Feldern aus Protokollereignissen oder das Ergebnis einer mathematischen Aggregation oder einer anderen Operation zurück, die für Protokollereignisse ausgeführt wird. Dieses Tutorial demonstriert eine Abfrage, die eine Liste von Protokollereignissen zurückgibt.

Ausführen einer Beispielabfrage

So führen Sie eine CloudWatch Logs-Insights-Beispielabfrage aus

1. Öffnen Sie die - CloudWatch Konsole unter https://console.aws.amazon.com/cloudwatch/.

2. Wählen Sie im Navigationsbereich Logs (Protokolle) und dann Logs Insights aus.

   Auf der Logs-Insights-Seite enthält der Abfrage-Editor eine Standardabfrage, die die 20 letzten Protokollereignisse zurückgibt.

3. Wählen Sie in der Dropdownliste Select log group(s) (Protokollgruppe(n) auswählen) eine oder mehrere Protokollgruppen aus, die abgefragt werden sollen.

   Wenn es sich um ein Überwachungskonto in der CloudWatch kontoübergreifenden Beobachtbarkeit handelt, können Sie Protokollgruppen in den Quellkonten sowie im Überwachungskonto auswählen. Mit einer einzigen Abfrage können Protokolle von verschiedenen Konten gleichzeitig abgefragt werden.

   Sie können die Protokollgruppen nach dem Namen der Protokollgruppe, der Konto-ID oder der Kontobezeichnung filtern.

   Wenn Sie eine Protokollgruppe auswählen, erkennt CloudWatch Logs Insights automatisch Datenfelder in der Gruppe. Um diese erkannten Felder anzuzeigen, wählen Sie das Menü Fields (Felder) oben rechts auf der Seite aus.

4. (Optional) Verwenden Sie die Zeitintervallauswahl, um einen Zeitraum auszuwählen, den Sie abfragen möchten.

   Sie können zwischen Intervallen von 5 bis 30 Minuten, Intervallen von 1, 3 und 12 Stunden oder einem benutzerdefinierten Zeitrahmen wählen.

5. Klicken Sie auf Run (Ausführen), um die Ergebnisse anzuzeigen.

   Für dieses Tutorial enthalten die Ergebnisse die 20 zuletzt hinzugefügten Protokollereignisse.

   CloudWatch Protokolle zeigt ein Balkendiagramm der Protokollereignisse in der Protokollgruppe im Laufe der Zeit an. Das Balkendiagramm zeigt nicht nur die Ereignisse in der Tabelle, sondern auch die Verteilung der Ereignisse in der Protokollgruppe, die der Abfrage und dem Zeitrahmen entsprechen.

6. Um alle Felder für ein zurückgegebenes Protokollereignis anzuzeigen, wählen Sie das dreieckige Dropdown-Symbol links neben dem nummerierten Ereignis.

Ändern der Beispielabfrage

In diesem Tutorial ändern Sie die Beispielabfrage, um die 50 neuesten Protokollereignisse anzuzeigen.

Wenn Sie das vorherige Tutorial noch nicht ausgeführt haben, tun Sie das jetzt. Dieses Tutorial beginnt dort, wo das vorherige Tutorial endet.

Anmerkung

Einige Beispielabfragen, die mit CloudWatch Logs Insights bereitgestellt werden, verwenden die tail Befehle head oder anstelle von limit. Diese Befehle sind veraltet und wurden durch limit ersetzt. Verwenden Sie in allen von Ihnen geschriebenen Abfragen limit anstelle von head oder tail.

So ändern Sie die CloudWatch Logs-Insights-Beispielabfrage

1. Ändern Sie im Abfrage-Editor 20 in 50. Wählen Sie anschließend Run (Ausführen) aus.

   Die Ergebnisse der neuen Abfrage werden angezeigt. Unter der Annahme, dass in der Protokollgruppe im Standardzeitraum genügend Daten vorhanden sind, werden nun 50 Protokollereignisse aufgelistet.

2. (Optional) Sie können Abfragen speichern, die Sie erstellt haben. Um diese Abfrage zu speichern, wählen Sie Speichern aus. Weitere Informationen finden Sie unter CloudWatch Logs-Insights-Abfragen speichern und erneut ausführen.

Hinzufügen eines Filterbefehls zur Beispielabfrage

Dieses Tutorial zeigt, wie Sie eine umfangreichere Änderung der Abfrage im Abfrageeditor vornehmen können. In diesem Tutorial filtern Sie die Ergebnisse der vorherigen Abfrage basierend auf einem Feld in den abgerufenen Protokollereignissen.

Wenn Sie die vorherigen Tutorials noch nicht ausgeführt haben, tun Sie das jetzt. Dieses Tutorial beginnt dort, wo das vorherige Tutorial endet.

So fügen Sie der vorherigen Abfrage einen Filterbefehl hinzu

1. Entscheiden Sie sich für ein zu filterndes Feld. Um die häufigsten Felder anzuzeigen, die CloudWatch Logs in den Protokollereignissen in den ausgewählten Protokollgruppen der letzten 15 Minuten erkannt hat, und den Prozentsatz dieser Protokollereignisse, in denen jedes Feld angezeigt wird, wählen Sie Felder auf der rechten Seite aus.

   Um die in einem bestimmten Protokollereignis enthaltenen Felder anzuzeigen, wählen Sie das Symbol links neben dieser Zeile aus.

   Möglicherweise wird das Feld awsRegion im Protokollereignis angezeigt. Dies ist von den Ereignissen abhängig, die in Ihren Protokollen enthalten sind. Im Rest dieses Tutorials verwenden Sie awsRegion als Filterfeld. Sie können jedoch auch ein anderes Feld verwenden, wenn dieses Feld nicht verfügbar ist.

2. Positionieren Sie den Cursor im Feld des Abfrageeditors hinter 50, und drücken Sie die Eingabetaste.

3. Geben Sie in der neuen Zeile zunächst | (das Pipe-Zeichen) und ein Leerzeichen ein. Befehle in einer CloudWatch Logs-Insights-Abfrage müssen durch das Pipe-Zeichen getrennt werden.

4. Geben Sie filter awsRegion="us-east-1" ein.

5. Wählen Sie Ausführen aus.

   Die Abfrage läuft erneut und zeigt nun die 50 neuesten Ergebnisse an, die dem neuen Filter entsprechen.

   Wenn Sie nach einem anderen Feld gefiltert haben und ein Fehlerergebnis erhalten haben, müssen Sie möglicherweise den Feldnamen maskieren. Wenn der Feldname auch andere als alphanumerische Zeichen enthält, müssen Sie vor und nach dem Feldnamen Backtick-Zeichen (`) verwenden (z. B. `error-code`="102").

   Sie müssen die Backtick-Zeichen für Feldnamen verwenden, die auch andere als alphanumerische Zeichen enthalten, nicht jedoch für Werte. Werte sind stets von Anführungszeichen (") umschlossen.

CloudWatch Logs Insights umfasst leistungsstarke Abfragefunktionen, darunter mehrere Befehle und Unterstützung für reguläre Ausdrücke, mathematische und statistische Operationen. Weitere Informationen finden Sie unter CloudWatch Logs-Insights-Abfragesyntax.