dedup

Utilice dedup para eliminar los resultados duplicados en función de valores específicos en los campos que indique. Puede utilizar dedup con uno o más campos. Si especifica un campo con dedup, solo se devolverá un evento de registro por cada valor único de ese campo. Si especifica varios campos, se devolverá un evento de registro por cada combinación única de valores para esos campos.

Los resultados duplicados se descartan según el orden de clasificación y solo se conserva el primer resultado del orden de clasificación. Le recomendamos que ordene los resultados antes de someterlos al comando dedup. Si los resultados no se ordenan antes de analizarlos con dedup, se utiliza el orden de clasificación descendente predeterminado de @timestamp.

Los valores nulos no se consideran duplicados para la evaluación. Se conservan los eventos de registro con valores nulos para cualquiera de los campos especificados. Para eliminar campos con valores nulos, utilice filter mediante la función isPresent(field).

El único comando de consulta que puede utilizar en una consulta después del comando dedup es limit.

Ejemplo: Vea solo el evento de registro más reciente para cada valor único del campo denominado server

En el siguiente ejemplo, se muestran los campos timestamp, server, severity y message solo para el evento más reciente de cada valor único de server.

fields @timestamp, server, severity, message 
| sort @timestamp desc 
| dedup server

Para ver más ejemplos de consultas de CloudWatch Logs Insights, consulteConsultas generales.