CloudTrail 湖泊查询

La CloudTrail ke 中的查询是用 SQL 编写的。您可以在 L CloudTrail ake E ditor 选项卡上生成查询，方法是从头开始用 SQL 编写查询，打开已保存的查询或示例查询并对其进行编辑，或者使用查询生成器根据英语提示生成查询。您无法用更改覆盖已包含的示例查询，但可以将其另存为新查询。有关允许的 SQL 查询语言的详细信息，请参阅CloudTrail 湖泊 SQL 限制。

无界查询（例如 SELECT * FROM edsID）会扫描事件数据存储中的所有数据。为了帮助控制成本，我们建议您通过为查询添加开始和结束 eventTime 时间戳，来限制查询。以下示例搜索指定事件数据存储中的所有事件，其中事件时间介于（>）2023 年 1 月 5 日下午 1:51 和（<）2023 年 1 月 19 日下午 1:51 之间。由于事件数据存储的保留期至少为七天，因此开始和结束 eventTime 值之间的最短时间跨度值也是七天。

SELECT *
FROM eds-ID
WHERE
     eventtime >='2023-01-05 13:51:00' and eventtime < ='2023-01-19 13:51:00'

有关如何优化查询的信息，请参阅优化 CloudTrail Lake 查询。

主题

• 查询编辑器工具

• 根据自然语言提示创建 CloudTrail Lake 查询

• 使用 CloudTrail 控制台查看示例查询

• 使用 CloudTrail 控制台创建或编辑查询

• 使用控制台运行查询并保存查询结果

• 使用控制台查看查询结果

• 用自然语言汇总查询结果

• 下载已保存的查询结果

• 验证 CloudTrail Lake 保存的查询结果

• 优化 CloudTrail Lake 查询

• 使用运行和管理 CloudTrail Lake 查询 AWS CLI

查询编辑器工具

查询编辑器右上角的工具栏提供多个命令，以帮助编写 SQL 查询和对其进行格式化。

下表介绍了工具栏上的命令。

• Undo（撤消）– 恢复在查询编辑器中所做的上次内容更改。

• Redo（重做）– 重复在查询编辑器中所做的上次内容更改。

• Format selected（已选格式）- 根据 SQL 格式和间距惯例，排列查询编辑器内容。

• 已选择注释/取消注释 – 如果尚未注释查询的选定部分，则对其进行注释。如果选定部分已进行注释，则选择此选项会删除注释。