Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异，请参阅 中国的 Amazon Web Services 服务入门 (PDF)。

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

支持的日志和发现的字段

CloudWatch Logs Insights 支持不同的日志类型。对于发送到标准类日志组 Amazon Logs 的每份 CloudWatch 日 CloudWatch 志，Logs Insights 都会自动生成五个系统字段：

CloudWatch Logs Insights 在其生成的字段的开头插入 @ 符号。

对于许多日志类型， CloudWatch 日志还会自动发现日志中包含的日志字段。这些自动发现字段如下表所示。

对于带有 Logs Insights 无法自动发现的字段的其他类型的 CloudWatch 日志，您可以使用parse命令提取并创建提取的字段以用于该查询。有关更多信息，请参阅 CloudWatch 日志见解查询语法。

如果发现的日志字段的名称以@字符开头， CloudWatch 则 Logs Insights 会显示该字段，并在开头@附加一个额外的字段。例如，如果日志字段名称为 @example.com，则此字段名称显示为 @@example.com。

JSON日志中的字段

借助 CloudWatch Logs Insights，您可以使用点表示法来表示JSON字段。本节包含一个示例JSON事件和代码片段，它们展示了如何使用点符号访问JSON字段。

示例：JSON事件

{
    "eventVersion": "1.0",
    "userIdentity": {
        "type": "IAMUser",
        "principalId": "EX_PRINCIPAL_ID",
        "arn": "arn: aws: iam: : 123456789012: user/Alice",
        "accessKeyId": "EXAMPLE_KEY_ID",
        "accountId": "123456789012",
        "userName": "Alice"
    },
    "eventTime": "2014-03-06T21: 22: 54Z",
    "eventSource": "ec2.amazonaws.com",
    "eventName": "StartInstances",
    "awsRegion": "us-east-2",
    "sourceIPAddress": "192.0.2.255",
    "userAgent": "ec2-api-tools1.6.12.2",
    "requestParameters": {
        "instancesSet": {
            "items": [
                {
                    "instanceId": "i-abcde123"
                }
            ]
        }
    },
    "responseElements": {
        "instancesSet": {
            "items": [
                {
                    "instanceId": "i-abcde123",
                    "currentState": {
                        "code": 0,
                        "name": "pending"
                    },
                    "previousState": {
                        "code": 80,
                        "name": "stopped"
                    }
                }
            ]
        }
    }
}

示例JSON事件包含一个名为的对象userIdentity。 userIdentity包含一个名为的字段type。要使用点表示法表示 type 的值，请使用 userIdentity.type。

示例JSON事件包含扁平化为嵌套字段名称和值列表的数组。要表示 requestParameters.instancesSet 中第一个项目的 instanceId 值，请使用 requestParameters.instancesSet.items.0.instanceId。放置在字段 instanceID 之前的数字 0 是指字段 items 的值的位置。以下示例包含一个代码片段，该代码片段显示了如何访问JSON日志事件中的嵌套JSON字段。

示例：查询

fields @timestamp, @message
| filter requestParameters.instancesSet.items.0.instanceId="i-abcde123"
| sort @timestamp desc

该代码片段显示了一个查询，该查询在filter命令中使用点符号来访问嵌套JSON字段instanceId的值。该查询将筛选 instanceId 的值等于 "i-abcde123" 的消息，并返回包含指定值的所有录入事件。