Amazon CloudWatch Logs
用户指南
AWS 文档中描述的 AWS 服务或功能可能因区域而异。要查看适用于中国区域的差异,请参阅中国的 AWS 服务入门

支持的日志和发现的字段

CloudWatch Logs Insights 支持所有日志类型。对于发送到 CloudWatch Logs 的每个日志,会自动生成三个系统字段:

  • @message 包含原始未解析的日志事件。

  • @timestamp 包含将日志事件添加到 CloudWatch Logs 的时间。

  • @logStream 包含将日志事件添加到的日志流的名称。

CloudWatch Logs Insights 在其生成的字段的开头插入 @ 符号。

对于许多日志类型,CloudWatch Logs 也会自动发现日志中包含的日志字段。这些自动发现字段如下表所示。

对于具有 CloudWatch Logs Insights 不会自动发现的字段的其他类型的日志,您可以使用 parse 命令来提取并创建临时字段以用于该查询中。有关更多信息,请参阅 CloudWatch Logs Insights 查询语法

如果发现的日志字段的名称以 @ 字符开头,则 CloudWatch Logs Insights 显示它时会在开头另外加上一个 @。例如,如果日志字段名称为 @example.com,则此字段名称显示为 @@example.com

日志类型 发现的日志字段

Amazon VPC 流日志

@timestamp@logStream@messageaccountIdendTimeinterfaceIdlogStatusstartTimeversionactionbytesdstAddrdstPortpacketsprotocolsrcAddrsrcPort

Route 53 日志

@timestamp@logStream@messageedgeLocationhostZoneIdprotocolqueryNamequeryTimestampqueryTyperesolverIpresponseCodeversion

Lambda 日志

@timestamp@logStream@message@requestId@duration, @billedDuration@type@maxMemoryUsed@memorySize

CloudWatch Logs Insights 自动发现 Lambda 日志中的日志字段,但仅适用于每个日志事件中的第一个嵌入式 JSON 片段。如果 Lambda 日志事件包含多个 JSON 片段,您可以使用 parse 命令解析并提取日志字段。有关更多信息,请参阅 JSON 日志中的字段

CloudTrail 日志

JSON 格式的日志

有关更多信息,请参阅 JSON 日志中的字段

其他日志类型

@timestamp@logStream@message

JSON 日志中的字段

CloudWatch Logs Insights 使用点表示法表示嵌套的 JSON 字段。在以下示例 JSON 事件中,JSON 对象 userIdentity 中的字段 type 表示为 userIdentity.type

JSON 数组平展成字段名称和值的列表。例如,要指定 requestParameters.instancesSet 中第一个项的 instanceId 值,请使用 requestParameters.instancesSet.items.0.instanceId

{ "eventVersion": "1.0", "userIdentity": { "type": "IAMUser", "principalId": "EX_PRINCIPAL_ID", "arn": "arn: aws: iam: : 123456789012: user/Alice", "accessKeyId": "EXAMPLE_KEY_ID", "accountId": "123456789012", "userName": "Alice" }, "eventTime": "2014-03-06T21: 22: 54Z", "eventSource": "ec2.amazonaws.com", "eventName": "StartInstances", "awsRegion": "us-east-2", "sourceIPAddress": "205.251.233.176", "userAgent": "ec2-api-tools1.6.12.2", "requestParameters": { "instancesSet": { "items": [ { "instanceId": "i-abcde123" } ] } }, "responseElements": { "instancesSet": { "items": [ { "instanceId": "i-abcde123", "currentState": { "code": 0, "name": "pending" }, "previousState": { "code": 80, "name": "stopped" } } ] } }

本页内容: