Eine Contributor-Insights-Regel erstellen

Sie können Regeln zum Analysieren von Protokolldaten erstellen. Alle Logs im JSON Common Log Format (CLF) können ausgewertet werden. Dazu gehören Ihre benutzerdefinierten Protokolle, die einem dieser Formate folgen, und Protokolle von AWS Diensten wie Amazon VPC Flow Logs, Amazon Route DNS 53-Abfrageprotokollen, ECS Amazon-Container-Logs und Logs von Amazon AWS CloudTrail SageMakerRDS, Amazon AWS AppSync und API Gateway.

Wenn Sie in einer Regel Feldnamen oder -werte angeben, wird bei allen Übereinstimmungen die Groß- und Kleinschreibung beachtet.

Sie können integrierte Beispielregeln verwenden, wenn Sie eine Regel erstellen, oder Ihre eigene Regel von Grund auf neu erstellen. Contributor Insights enthält Beispielregeln für die folgenden Protokolltypen:

• Amazon API Gateway-Protokolle

• Öffentliche DNS Abfrageprotokolle von Amazon Route 53

• Amazon-Route-53-Resolver-Abfrageprotokolle

• CloudWatch Container Insights-Protokolle

• VPC-Flussprotokolle

Wenn Sie mit einem Konto angemeldet sind, das als Überwachungskonto mit CloudWatch kontenübergreifender Observability eingerichtet ist, können Sie Contributor Insights-Regeln für Protokollgruppen in den Quellkonten erstellen, die mit diesem Überwachungskonto verknüpft sind, zusätzlich zu den Regeln für Protokollgruppen im Überwachungskonto. Sie können auch eine einzelne Regel einrichten, die Protokollgruppen in verschiedenen Konten überwacht. Weitere Informationen finden Sie unter CloudWatch kontenübergreifende Beobachtbarkeit.

Wichtig

Wenn Sie einem Benutzer die cloudwatch:PutInsightRule Berechtigung erteilen, kann dieser Benutzer standardmäßig eine Regel erstellen, die jede Protokollgruppe in Logs auswertet. CloudWatch Sie können IAM Richtlinienbedingungen hinzufügen, die diese Berechtigungen für einen Benutzer einschränken, sodass er bestimmte Protokollgruppen ein- und ausschließt. Weitere Informationen finden Sie unter Verwenden von Bedingungsschlüsseln, um den Zugriff von Contributor-Insights-Benutzern auf Protokollgruppen einzuschränken.

So erstellen Sie eine Regel mit einer integrierten Beispielregel:

1. Öffnen Sie die CloudWatch Konsole unter https://console.aws.amazon.com/cloudwatch/.

2. Wählen Sie im Navigationsbereich Instances und anschließend Contributor Insights aus.

3. Wählen Sie Regel erstellen aus.

4. Wählen Sie für Log group(s) (Protokollgruppe(n)) die Protokollgruppe(n) aus, die von der Regel überwacht werden sollen. Sie können bis zu 20 Protokollgruppen auswählen. Wenn Sie mit einem Überwachungskonto angemeldet sind, das für CloudWatch kontenübergreifende Beobachtbarkeit eingerichtet ist, können Sie Protokollgruppen in Quellkonten auswählen und auch eine einzige Regel einrichten, um Protokollgruppen in verschiedenen Konten zu analysieren.

   1. (Optional) Um alle Protokollgruppen auszuwählen, die Namen haben, die mit einer bestimmten Zeichenfolge beginnen, wählen Sie aus dem Dropdown-Menü Select by prefix match (Nach Präfixübereinstimmung auswählen) aus und geben Sie dann das Präfix ein. Wenn es sich um ein Überwachungskonto handelt, können Sie optional die Konten auswählen, in denen gesucht werden soll. Andernfalls werden alle Konten ausgewählt.

   Anmerkung

   Für jedes Protokollereignis, das Ihrer Regel entspricht, fallen Gebühren an. Wenn Sie aus dem Dropdown-Menü Select by prefix match (Nach Präfixübereinstimmung auswählen) auswählen, sollten Sie sich bewusst sein, mit wie vielen Protokollgruppen das Präfix übereinstimmen kann. Wenn Sie mehr Protokollgruppen suchen, als Sie beabsichtigten, können unerwartete Gebühren anfallen. Weitere Informationen finden Sie unter CloudWatch Amazon-Preise.

5. Wählen Sie als Rule type (Regeltyp) die Option Sample rule (Beispielregel) aus. Wählen Sie dann Select sample rule (Beispielregel auswählen) und wählen Sie die Regel aus.

6. Die Beispielregel hat die Log format (Protokollformat), Contribution (Beitrag), Filters (Filter) und Aggregate on (Aggregieren auf) ausgefüllt. Sie können diese Werte anpassen, wenn Sie möchten.

7. Wählen Sie Weiter aus.

8. Geben Sie unter Rule name (Name der Regel) einen Namen ein. Gültige Zeichen sind A-Z, a-z, 0-9, (Bindestrich), (Unterstrich) und (Punkt).

9. Wählen Sie aus, ob die Regel in einem deaktivierten oder aktivierten Zustand erstellt werden soll. Wenn Sie sie aktivieren, beginnt sie sofort mit der Analyse Ihrer Daten. Wenn Sie aktivierte Regeln ausführen, fallen Kosten an. Weitere Informationen finden Sie unter Amazon CloudWatch – Preise.

   Contributor Insights analysiert nur neue Protokollereignisse, nachdem eine Regel erstellt wurde. Eine Regel kann keine Log-Ereignisse verarbeiten, die zuvor von CloudWatch Logs verarbeitet wurden.

10. (Optional) Fügen Sie unter Tags ein oder mehrere Schlüssel/Wert-Paare als Tags für diese Gruppe hinzu. Mithilfe von Stichwörtern können Sie Ihre AWS Ressourcen identifizieren und organisieren und Ihre AWS Kosten verfolgen. Weitere Informationen finden Sie unter Verschlagworten Sie Ihre Amazon-Ressourcen CloudWatch .

11. Wählen Sie Erstellen.

So erstellen Sie eine Regel von Grund auf neu:

1. Öffnen Sie die CloudWatch Konsole unter https://console.aws.amazon.com/cloudwatch/.

2. Wählen Sie im Navigationsbereich Contributor Insights aus.

3. Wählen Sie Regel erstellen aus.

4. Wählen Sie für Log group(s) (Protokollgruppe(n)) die Protokollgruppe(n) aus, die von der Regel überwacht werden sollen. Sie können bis zu 20 Protokollgruppen auswählen. Wenn Sie mit einem Überwachungskonto angemeldet sind, das für CloudWatch kontenübergreifende Beobachtbarkeit eingerichtet ist, können Sie Protokollgruppen in Quellkonten auswählen und auch eine einzige Regel einrichten, um Protokollgruppen in verschiedenen Konten zu analysieren.

   1. (Optional) Um alle Protokollgruppen auszuwählen, die Namen haben, die mit einer bestimmten Zeichenfolge beginnen, wählen Sie aus dem Dropdown-Menü Select by prefix match (Nach Präfixübereinstimmung auswählen) aus und geben Sie dann das Präfix ein.

   Anmerkung

   Für jedes Protokollereignis, das Ihrer Regel entspricht, fallen Gebühren an. Wenn Sie aus dem Dropdown-Menü Select by prefix match (Nach Präfixübereinstimmung auswählen) auswählen, sollten Sie sich bewusst sein, mit wie vielen Protokollgruppen das Präfix übereinstimmen kann. Wenn Sie mehr Protokollgruppen suchen, als Sie beabsichtigten, können unerwartete Gebühren anfallen. Weitere Informationen finden Sie unter CloudWatch Amazon-Preise.

5. Wählen Sie für Rule type (Regltyp) Custom rule (Standardregel) aus.

6. Wählen Sie als Protokollformat JSONoder CLF.

7. Sie können die Erstellung der Regel über den Assistenten abschließen oder die Registerkarte Syntax auswählen und die Regelsyntax manuell angeben.

   Gehen Sie wie folgt vor, um den Assistenten weiter zu verwenden:

   1. Geben Sie unter Contribution (Beitrag), Key (Schlüssel) einen Contributor-Typ ein, über den Sie einen Bericht wünschen. Der Bericht zeigt die Top-N-Werte für diesen Contributor-Typ an.

      Gültige Einträge sind alle Protokollfelder mit Werten. Beispiele hierfür sind requestId, sourceIPaddress und containerID.

      Informationen zur Suche nach den Namen der Protokollfelder für die Protokolle in einer bestimmten Protokollgruppe finden Sie unter Protokollfelder suchen.

      Schlüssel, die größer als 1 KB sind, werden auf 1 KB gekürzt.

   2. (Optional) Wählen Sie Add new key (Neuen Schlüssel hinzufügen), um weitere Schlüssel hinzuzufügen. Sie können bis zu vier Schlüssel in eine Regel einfügen. Wenn Sie mehrere Schlüssel eingeben, werden die Contributors im Bericht durch eindeutige Wertkombinationen der Schlüssel definiert. Wenn Sie beispielsweise drei Schlüssel angeben, wird jede eindeutige Kombination von Werten für die drei Schlüssel als eindeutiger Contributor gezählt.

   3. (Optional) Wenn Sie einen Filter hinzufügen möchten, um den Umfang Ihrer Ergebnisse einzuschränken, wählen Sie Add filter (Filter hinzufügen) aus. Geben Sie unter Übereinstimmung den Namen des Protokollfelds ein, nach dem Sie filtern möchten. Wählen Sie dann für Bedingung einen Vergleichsoperator aus und geben Sie einen Wert ein, nach dem Sie filtern möchten.

      Sie können einer Regel bis zu vier Filter hinzufügen. Mehrere Filter werden AND logisch miteinander verknüpft, sodass nur Protokollereignisse ausgewertet werden, die allen Filtern entsprechen.

      Anmerkung

      Arrays, die Vergleichsoperatoren folgen, etwa In, NotIn oder StartsWith, können bis zu 10 Zeichenfolgenwerte enthalten. Weitere Informationen zur Syntax von Contributor Insights-Regeln finden Sie unter Contributor Insights-Regelsyntax.

   4. Wählen Sie für Aggregieren nach die Option Count oder Sum aus. Die Auswahl von Count bewirkt, dass die Contributor-Rangfolge auf der Anzahl der Vorkommen basiert. Wenn Sie SUM wählen, basiert die Rangfolge auf der aggregierten Summe der Werte des Feldes, das Sie für Contribution (Beitrag), Wert angeben.

8. Gehen Sie wie folgt vor, um Ihre Regel als JSON Objekt einzugeben, anstatt den Assistenten zu verwenden:

   1. Wählen Sie die Registerkarte Syntax aus.

   2. Geben Sie im Feld Regeltext das JSON Objekt für Ihre Regel ein. Hinweise zur Regelsyntax finden Sie unter Contributor Insights-Regelsyntax.

9. Wählen Sie Weiter aus.

10. Geben Sie unter Rule name (Name der Regel) einen Namen ein. Gültige Zeichen sind A-Z, a-z, 0-9, "-", "_" und ".".

11. Wählen Sie aus, ob die Regel in einem deaktivierten oder aktivierten Zustand erstellt werden soll. Wenn Sie sie aktivieren, beginnt sie sofort mit der Analyse Ihrer Daten. Wenn Sie aktivierte Regeln ausführen, fallen Kosten an. Weitere Informationen finden Sie unter Amazon CloudWatch – Preise.

    Contributor Insights analysiert nur neue Protokollereignisse, nachdem eine Regel erstellt wurde. Eine Regel kann keine Protokollereignisse verarbeiten, die zuvor von CloudWatch Logs verarbeitet wurden.

12. (Optional) Fügen Sie unter Tags ein oder mehrere Schlüssel/Wert-Paare als Tags für diese Gruppe hinzu. Mithilfe von Stichwörtern können Sie Ihre AWS Ressourcen identifizieren und organisieren und Ihre AWS Kosten verfolgen. Weitere Informationen finden Sie unter Verschlagworten Sie Ihre Amazon-Ressourcen CloudWatch .

13. Wählen Sie Weiter.

14. Bestätigen Sie die eingegebenen Einstellungen und wählen Sie Create rule (Regel erstellen).

Sie können Regeln, die Sie erstellt haben, deaktivieren, aktivieren oder löschen.

So aktivieren, deaktivieren oder löschen Sie eine Regel in Contributor Insights

1. Öffnen Sie die CloudWatch Konsole unter https://console.aws.amazon.com/cloudwatch/.

2. Wählen Sie im Navigationsbereich Contributor Insights aus.

3. Markieren Sie in der Liste der Regeln auf der linken Seite das Kontrollkästchen neben einer einzelnen Regel.

   Integrierte Regeln werden von AWS Diensten erstellt und können nicht bearbeitet, deaktiviert oder gelöscht werden.

4. Wählen Sie Actions (Aktionen) und dann die gewünschte Option aus.

Suchen von Protokollfeldern

Wenn Sie eine Regel erstellen, müssen Sie die Namen der Felder in den Protokolleinträgen in einer Protokollgruppe kennen.

So suchen Sie die Protokollfelder in einer Protokollgruppe

1. Öffnen Sie die CloudWatch Konsole unter https://console.aws.amazon.com/cloudwatch/.

2. Wählen Sie im Navigationsbereich unter Logs, (Protokolle) die Option Insights(Einblicke) aus.

3. Wählen Sie oberhalb des Abfrage-Editors eine oder mehrere Protokollgruppen aus, die abgefragt werden sollen.

   Wenn Sie eine Protokollgruppe auswählen, erkennt CloudWatch Logs Insights automatisch Felder in den Daten in der Protokollgruppe und zeigt sie im rechten Bereich unter Entdeckte Felder an.