Criação de uma regra do Contributor Insights no CloudWatch

É possível criar regras para analisar os dados de log. Qualquer log em Common Log Format (CLF) ou JSON pode ser avaliado. Isso inclui os logs personalizados que seguem um desses formados e logs de serviços da AWS, como logs de fluxo da Amazon VPC, logs de consulta ao DNS do Amazon Route 53, logs de contêiner do Amazon ECS e logs do AWS CloudTrail, do Amazon SageMaker AI, do Amazon RDS, do AWS AppSync e do API Gateway.

Em uma regra, ao especificar valores ou nomes de campo, todas as correspondências diferenciam letras maiúsculas de minúsculas.

Você pode usar regras de exemplo internas ao criar uma regra ou criar sua própria regra do zero. O Contributor Insights inclui regras de exemplo para os seguintes tipos de logs:

• Logs do Amazon API Gateway

• Logs de consulta de DNS pública do Amazon Route 53

• Logs de consulta do Amazon Route 53 Resolver

• Logs do CloudWatch Container Insights

• VPC Flow Logs

Se você fez login em uma conta configurada como uma conta de monitoramento na observabilidade entre contas do CloudWatch, poderá criar regras do Contributor Insights para grupos de logs nas contas de origem vinculadas a essa conta de monitoramento, além de criar regras para grupos de logs na conta de monitoramento. Você também poderá configurar uma única regra que monitore grupos de logs em outras contas. Para ter mais informações, consulte Observabilidade entre contas do CloudWatch.

Importante

Quando você concede a permissão cloudwatch:PutInsightRule ao usuário, por padrão, ele pode criar uma regra que avalia qualquer grupo de logs no CloudWatch Logs. É possível adicionar condições de política do IAM que limitem essas permissões para que um usuário inclua e exclua grupos de logs específicos. Para ter mais informações, consulte Usar chaves de condição para limitar o acesso dos usuários do Contributor Insights aos grupos de log.

Como criar uma regra usando uma regra de exemplo interna

1. Abra o console do CloudWatch em https://console.aws.amazon.com/cloudwatch/.

2. No painel de navegação, selecione Logs, Contributor Insights.

3. Escolha Criar regra.

4. Em Select log group(s) (Selecionar grupos de logs), selecione os grupos de logs que você deseja que a regra monitore. Você pode selecionar até 20 grupos de logs. Se você fez login em uma conta de monitoramento configurada para a observabilidade entre contas do CloudWatch, poderá selecionar grupos de logs nas contas de origem e também configurar uma única regra para analisar grupos de logs em outras contas.

   1. (Opcional) Para selecionar todos os grupos de logs que têm nomes que começam com uma string específica, escolha o menu suspenso Select by prefix match (Selecionar por correspondência de prefixo) e insira o prefixo. Se essa for uma conta de monitoramento, você poderá, opcionalmente, selecionar as contas a serem pesquisadas, do contrário, todas as contas serão selecionadas.

   nota

   Você receberá cobranças por cada evento de log que corresponda à sua regra. Se escolher o menu suspenso Select by prefix match (Selecionar por correspondência com prefixo), esteja ciente da quantidade de grupos de logs com a qual o prefixo pode ter correspondência. Se você pesquisar por mais grupos de logs do que deseja, isso poderá gerar cobranças inesperadas. Para obter mais informações, consulte Preços do Amazon CloudWatch.

5. Em Rule type (Tipo de regra), escolha Sample rule (Exemplo de regra). Depois, escolha Select sample rule (Selecionar exemplo de regra) e selecione a regra.

6. No exemplo de regra, os campos Log format (Formato do log), Contribution (Contribuição), Filters (Filtros) e Aggregate on (Agregar em) estão preenchidos. Ajuste os valores se preferir.

7. Escolha Próximo.

8. Em Rule name (Nome da regra), insira um nome. Os caracteres válidos são a-z, A-Z, 0-9, (hífen), (sublinhado) e (ponto).

9. Escolha se deseja criar a regra em um estado ativado ou desativado. Se optar por habilitá-la, a regra começará a analisar os dados imediatamente. Você incorrerá em custos ao executar regras habilitadas. Para obter mais informações, consulte Preços do Amazon CloudWatch.

   O Contributor Insights analisa somente novos eventos de log depois que uma regra é criada. Uma regra não pode processar eventos de log que foram processados anteriormente pelo CloudWatch Logs.

10. (Opcional) Em Tags (Etiquetas), adicione um ou mais pares chave-valor como tags para essa regra. As tags podem ajudar a identificar e organizar seus recursos da AWS e acompanhar seus custos da AWS. Para ter mais informações, consulte Etiquetar recursos do Amazon CloudWatch.

11. Escolha Criar.

Como criar uma regra do zero

1. Abra o console do CloudWatch em https://console.aws.amazon.com/cloudwatch/.

2. No painel de navegação, selecione Logs, Contributor Insights.

3. Escolha Criar regra.

4. Em Select log group(s) (Selecionar grupos de logs), selecione os grupos de logs que você deseja que a regra monitore. Você pode selecionar até 20 grupos de logs. Se você fez login em uma conta de monitoramento configurada para a observabilidade entre contas do CloudWatch, poderá selecionar grupos de logs nas contas de origem e também configurar uma única regra para analisar grupos de logs em outras contas.

   1. (Opcional) Para selecionar todos os grupos de logs que têm nomes que começam com uma string específica, escolha o menu suspenso Select by prefix match (Selecionar por correspondência de prefixo) e insira o prefixo.

   nota

   Você receberá cobranças por cada evento de log que corresponda à sua regra. Se escolher o menu suspenso Select by prefix match (Selecionar por correspondência com prefixo), esteja ciente da quantidade de grupos de logs com a qual o prefixo pode ter correspondência. Se você pesquisar por mais grupos de logs do que deseja, isso poderá gerar cobranças inesperadas. Para obter mais informações, consulte Preços do Amazon CloudWatch.

5. Em Rule type (Tipo de regra), escolha Custom rule (Regra personalizada).

6. Em Log format (Formato de log), selecione JSON ou CLF.

7. É possível terminar de criar a regra usando o assistente ou selecionando a guia Syntax (Sintaxe) e especificando a sintaxe da regra manualmente.

   Para continuar usando o assistente, faça o seguinte:

   1. Em Contribution (Contribuição), Key (Chave), insira um tipo de colaborador sobre o qual deseja relatar. O relatório exibe os principais valores desse tipo de colaborador.

      As entradas válidas são qualquer campo de log que tenha valores. Os exemplos incluem requestId, sourceIPaddress e containerID.

      Para obter informações sobre como encontrar os nomes de campos de log dos logs de determinado grupo de logs, consulte Localização de campos de log.

      Chaves maiores de 1 KB são truncadas para 1 1KB.

   2. (Opcional) Escolha Add new key (Adicionar nova chave) para adicionar mais chaves. É possível incluir até quatro chaves em uma regra. Se você inserir mais de uma chave, os colaboradores no relatório serão definidos por combinações de valor exclusivas das chaves. Por exemplo, se você especificar três chaves, cada combinação exclusiva de valores para as três chaves será contada como um colaborador exclusivo.

   3. (Opcional) Se você deseja adicionar um filtro que restringe o escopo dos resultados, escolha Add filter (Adicionar filtro). Em Match (Correspondência), insira o nome do campo de log pelo qual deseja filtrar. Em Condition (Condição), escolha o operador de comparação e insira um valor pelo qual deseja filtrar esse campo.

      É possível adicionar até quatro filtros em uma regra. Diversos filtros são unidos pela lógica AND (E), portanto, somente eventos de log que correspondem a todos os filtros são avaliados.

      nota

      Arrays que seguem operadores de comparação, como In, NotIn ou StartsWith, pode incluir até dez valores de string. Para obter mais informações sobre a sintaxe de regras do Contributor Insights, consulte Sintaxe da regra do Contributor Insights no CloudWatch.

   4. Em Aggregate on (Agregar em), selecione Count (Contagem) ou Sum (Soma). Escolher Count (Contagem) faz com que a classificação do colaborador seja baseada no número de ocorrências. Escolher Sum (Soma) faz com que a classificação seja baseada na soma agregada dos valores do campo especificado em Contribution (Contribuição), Value (Valor).

8. Para inserir a regra como um objeto JSON em vez de usar o assistente, faça o seguinte:

   1. Selecione a guia Syntax (Sintaxe).

   2. Em Rule body (Corpo da regra), insira o objeto JSON da regra. Para obter informações sobre a sintaxe da regra, consulte Sintaxe da regra do Contributor Insights no CloudWatch.

9. Escolha Próximo.

10. Em Rule name (Nome da regra), insira um nome. Os caracteres válidos são A-Z, a-z, 0-9, "-", "_' e ".".

11. Escolha se deseja criar a regra em um estado ativado ou desativado. Se optar por habilitá-la, a regra começará a analisar os dados imediatamente. Você incorrerá em custos ao executar regras habilitadas. Para obter mais informações, consulte Preços do Amazon CloudWatch.

    O Contributor Insights analisa somente novos eventos de log depois que uma regra é criada. Uma regra não pode processar eventos de log que foram processados anteriormente pelo CloudWatch Logs.

12. (Opcional) Em Tags (Etiquetas), adicione um ou mais pares chave-valor como tags para essa regra. As tags podem ajudar a identificar e organizar seus recursos da AWS e acompanhar seus custos da AWS. Para ter mais informações, consulte Etiquetar recursos do Amazon CloudWatch.

13. Escolha Próximo.

14. Confirme as configurações que você inseriu e escolha Create rule (Criar regra).

É possível desativar, ativar ou excluir regras que você criou.

Como ativar, desativar ou excluir uma regra no Contributor Insights

1. Abra o console do CloudWatch em https://console.aws.amazon.com/cloudwatch/.

2. No painel de navegação, selecione Logs, Contributor Insights.

3. Na lista de regras, marque a caixa de seleção ao lado de uma única regra.

   As regras integradas são criadas pelos serviços da AWS e não podem ser editadas, desativadas ou excluídas.

4. Selecione Actions (Ações) e escolha a opção desejada.

Localizar campos de log

Ao criar uma regra, é necessário saber os nomes dos campos das entradas de log em um grupo de logs.

Como localizar os campos de log em um grupo de logs

1. Abra o console do CloudWatch em https://console.aws.amazon.com/cloudwatch/.

2. No painel de navegação, em Logs, escolha Insights.

3. Acima do editor de consultas, escolha um ou mais grupos de log para serem consultados.

   Quando você seleciona um grupo de logs, o CloudWatch Logs Insights automaticamente detecta campos nos dados no grupo de logs e os exibe no painel à direta, em Discovered fields (Campos detectados).