Estrai il messaggio dopo la decompressione dei registri CloudWatch

Quando abiliti la decompressione, hai la possibilità di abilitare anche l'estrazione dei messaggi. Quando si utilizza l'estrazione dei messaggi, Firehose filtra tutti i metadati, come owner, loggroup, logstream e altri dai record CloudWatch Logs decompressi e fornisce solo il contenuto all'interno dei campi del messaggio. Se stai inviando dati a una destinazione Splunk, devi attivare l'estrazione dei messaggi affinché Splunk analizzi i dati. Di seguito sono riportati alcuni esempi di output dopo la decompressione con e senza estrazione dei messaggi.

Fig 1: Esempio di output dopo la decompressione senza estrazione del messaggio:

{
 "owner": "111111111111",
 "logGroup": "CloudTrail/logs",
 "logStream": "111111111111_CloudTrail/logs_us-east-1",
 "subscriptionFilters": [
 "Destination"
 ],
 "messageType": "DATA_MESSAGE",
 "logEvents": [
 {
 "id": "31953106606966983378809025079804211143289615424298221568",
 "timestamp": 1432826855000,
 "message": "{\"eventVersion\":\"1.03\",\"userIdentity\":{\"type\":\"Root1\"}"
 },
 {
 "id": "31953106606966983378809025079804211143289615424298221569",
 "timestamp": 1432826855000,
 "message": "{\"eventVersion\":\"1.03\",\"userIdentity\":{\"type\":\"Root2\"}"
 },
 {
 "id": "31953106606966983378809025079804211143289615424298221570",
 "timestamp": 1432826855000,
 "message": "{\"eventVersion\":\"1.03\",\"userIdentity\":{\"type\":\"Root3\"}"
 }
 ]
}

Fig 2: Esempio di output dopo la decompressione con estrazione del messaggio:

{"eventVersion":"1.03","userIdentity":{"type":"Root1"}
{"eventVersion":"1.03","userIdentity":{"type":"Root2"}
{"eventVersion":"1.03","userIdentity":{"type":"Root3"}