Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.
# Transformationsprozessoren
Transformationsprozessoren ändern die Struktur von Protokollereignissen, indem sie Felder hinzufügen, kopieren, verschieben oder entfernen.
## Prozessor „add\_entries“
Fügt statische Schlüssel-Wert-Paare zu Protokollereignissen hinzu. Einer Pipeline kann höchstens ein `add_entries` Prozessor hinzugefügt werden.
**Konfiguration**
Konfigurieren Sie den Prozessor add\_entries mit den folgenden Parametern:
```
processor:
- add_entries:
entries:
- key: "environment"
value: "production"
overwrite_if_key_exists: false
```Parameters
`entries` (Erforderlich)
Array von Schlüssel-Wert-Paaren, die zu jedem Protokollereignis hinzugefügt werden sollen.
`entries[].key` (Erforderlich)
Der Feldname, der dem Protokollereignis hinzugefügt werden soll. Unterstützt verschachtelte Felder mit Punktnotation.
`entries[].value` (Erforderlich)
Der statische Wert, der dem Schlüssel zugewiesen werden soll.
`entries[].overwrite_if_key_exists` (optional)
Boolesches Flag, das das Verhalten bestimmt, wenn der Schlüssel bereits vorhanden ist. Standardwert "false".
`when` (optional)
Processor-level bedingter Ausdruck. Wenn angegeben, wird der gesamte Prozessor übersprungen, wenn der Ausdruck als falsch ausgewertet wird. Die maximale Länge beträgt 256 Zeichen. Siehe [Ausdruckssyntax für bedingte Verarbeitung](conditional-processing.md).
`entries[].when` (optional)
Entry-level bedingter Ausdruck. Wenn angegeben, wird nur dieser Eintrag übersprungen, wenn der Ausdruck als falsch ausgewertet wird. Die maximale Länge beträgt 256 Zeichen. Siehe [Ausdruckssyntax für bedingte Verarbeitung](conditional-processing.md).
`entries[].when_else` (optional)
Ausweicheintrag, der nur ausgeführt wird, wenn keine der anderen `when` Bedingungen desselben Prozessors zutrifft. Der Ausdruckswert gibt an, welche `when` Bedingungen berücksichtigt werden sollen. Die maximale Länge beträgt 256 Zeichen. Siehe [Ausdruckssyntax für bedingte Verarbeitung](conditional-processing.md).
## Prozessor „copy\_values“
Kopiert Werte von einem Feld in ein anderes. Einer Pipeline kann höchstens ein `copy_values` Prozessor hinzugefügt werden.
**Konfiguration**
Konfigurieren Sie den Prozessor copy\_values mit den folgenden Parametern:
```
processor:
- copy_values:
entries:
- from_key: "user_id"
to_key: "backup_user"
overwrite_if_to_key_exists: false
```Parameters
`entries` (Erforderlich)
Array von Kopiervorgängen, die für jedes Protokollereignis ausgeführt werden sollen.
`entries[].from_key` (Erforderlich)
Der Feldname, aus dem der Wert kopiert werden soll. Verwendet die Punktnotation für verschachtelte Felder.
`entries[].to_key` (Erforderlich)
Der Feldname, in den der Wert kopiert werden soll. Erzeugt verschachtelte Strukturen, wenn die Punktnotation verwendet wird.
`entries[].overwrite_if_to_key_exists` (optional)
Boolesche Markierung, die das Verhalten steuert, wenn das Zielfeld bereits existiert. Standardwert "false".
`when` (optional)
Processor-level bedingter Ausdruck. Wenn angegeben, wird der gesamte Prozessor übersprungen, wenn der Ausdruck als falsch ausgewertet wird. Die maximale Länge beträgt 256 Zeichen. Siehe [Ausdruckssyntax für bedingte Verarbeitung](conditional-processing.md).
`entries[].when` (optional)
Entry-level bedingter Ausdruck. Wenn angegeben, wird nur dieser Eintrag übersprungen, wenn der Ausdruck als falsch ausgewertet wird. Die maximale Länge beträgt 256 Zeichen. Siehe [Ausdruckssyntax für bedingte Verarbeitung](conditional-processing.md).
`entries[].when_else` (optional)
Ausweicheintrag, der nur ausgeführt wird, wenn keine der anderen `when` Bedingungen desselben Prozessors zutrifft. Der Ausdruckswert gibt an, welche `when` Bedingungen berücksichtigt werden sollen. Die maximale Länge beträgt 256 Zeichen. Siehe [Ausdruckssyntax für bedingte Verarbeitung](conditional-processing.md).
## Prozessor „delete\_entries“
Entfernt die angegebenen Felder aus den Protokollereignissen.
**Konfiguration**
Konfigurieren Sie den Prozessor delete\_entries mit den folgenden Parametern:
```
processor:
- delete_entries:
with_keys: ["temp_field", "debug_info"]
```Parameters
`with_keys` (Erforderlich)
Array von Feldnamen, die aus jedem Protokollereignis entfernt werden sollen. Unterstützt das Löschen verschachtelter Felder mithilfe der Punktnotation.
`when` (optional)
Bedingter Ausdruck, der bestimmt, ob dieser Prozessor ausgeführt wird. Die maximale Länge beträgt 256 Zeichen. Siehe [Ausdruckssyntax für bedingte Verarbeitung](conditional-processing.md).
## move\_keys-Prozessor
Verschiebt Felder von einem Ort an einen anderen.
**Konfiguration**
Konfigurieren Sie den move\_keys-Prozessor mit den folgenden Parametern:
```
processor:
- move_keys:
entries:
- from_key: "old_field"
to_key: "new_field"
overwrite_if_to_key_exists: true
```Parameters
`entries` (Erforderlich)
Reihe von Verschiebeoperationen. Maximal 5 Einträge.
`entries[].from_key` (Erforderlich)
Name des Quellfeldes. Maximal 128 Zeichen.
`entries[].to_key` (Erforderlich)
Name des Zielfeldes. Maximal 128 Zeichen.
`entries[].overwrite_if_to_key_exists` (optional)
Ob ein vorhandenes Zielfeld überschrieben werden soll.
`when` (optional)
Processor-level bedingter Ausdruck. Wenn angegeben, wird der gesamte Prozessor übersprungen, wenn der Ausdruck als falsch ausgewertet wird. Die maximale Länge beträgt 256 Zeichen. Siehe [Ausdruckssyntax für bedingte Verarbeitung](conditional-processing.md).
`entries[].when` (optional)
Entry-level bedingter Ausdruck. Wenn angegeben, wird nur dieser Eintrag übersprungen, wenn der Ausdruck als falsch ausgewertet wird. Die maximale Länge beträgt 256 Zeichen. Siehe [Ausdruckssyntax für bedingte Verarbeitung](conditional-processing.md).
`entries[].when_else` (optional)
Ausweicheintrag, der nur ausgeführt wird, wenn keine der anderen `when` Bedingungen desselben Prozessors zutrifft. Der Ausdruckswert gibt an, welche `when` Bedingungen berücksichtigt werden sollen. Die maximale Länge beträgt 256 Zeichen. Siehe [Ausdruckssyntax für bedingte Verarbeitung](conditional-processing.md).
## Prozessor abflachen
Glättet verschachtelte Objektstrukturen.
**Konfiguration**
Konfigurieren Sie den Flatten-Prozessor mit den folgenden Parametern:
```
processor:
- flatten:
source: "metadata"
target: "flattened"
remove_processed_fields: true
exclude_keys: ["sensitive_data"]
```Parameters
`source` (Erforderlich)
Feld, das das verschachtelte Objekt enthält, das reduziert werden soll.
`target` (Erforderlich)
Zielfeldpräfix für abgeflachte Schlüssel.
`remove_processed_fields` (optional)
Ob das ursprüngliche verschachtelte Feld nach dem Reduzieren entfernt werden soll.
`exclude_keys` (optional)
Reihe von Schlüsseln, die von der Reduzierung ausgeschlossen werden sollen. Maximal 20 Schlüssel mit jeweils bis zu 128 Zeichen.
`when` (optional)
Bedingter Ausdruck, der bestimmt, ob dieser Prozessor ausgeführt wird. Die maximale Länge beträgt 256 Zeichen. Siehe [Ausdruckssyntax für bedingte Verarbeitung](conditional-processing.md).
## Suchprozessor
Reichert Protokollereignisse mit Daten aus einer CloudWatch Logs-Lookup-Tabelle an. Der Prozessor gleicht Felder in Ihren Protokollereignissen mit Feldern in der Nachschlagetabelle ab und fügt bestimmte Felder an Ihre Protokollereignisse an. Verwenden Sie diesen Prozessor für Szenarien zur Datenanreicherung, z. B. für die Zuordnung von Benutzer-IDs zu Benutzerdetails, von Produktcodes zu Produktinformationen oder von Fehlercodes zu Fehlerbeschreibungen. Einer Pipeline kann höchstens ein `lookup` Prozessor hinzugefügt werden.
**Anmerkung**
Wenn eine Nachschlagetabelle in einer Pipeline verwendet wird, müssen Sie einer Ausführungsrolle `logs:GetLookupTable` Berechtigungen für die Tabelle zuweisen. Weitere Informationen finden Sie unter [CloudWatch Pipelines, IAM-Richtlinien und -Berechtigungen](pipeline-iam-reference.md).
**Konfiguration**
Konfigurieren Sie den Lookup-Prozessor mit den folgenden Parametern:
```
processor:
- lookup:
lookup_table: "arn:aws:logs:us-east-1:123456789012:lookup-table:my_lookup_table"
match_keys:
- log_key: "src_ip"
lookup_key: "ip_address"
entries:
- source: "hostname"
target: "src_hostname"
overwrite_if_exists: true
```Parameters
`lookup_table` (Erforderlich)
Der ARN der CloudWatch Logs-Lookup-Tabelle, die für die Anreicherung verwendet werden soll. Die maximale Länge beträgt 2048 Zeichen.
`match_keys` (Erforderlich)
Array von Schlüsselpaaren, die definieren, wie Protokollereignisfelder den Feldern der Nachschlagetabelle zugeordnet werden. Mindestens 1, maximal 5 entsprechen den Schlüsseln. Wenn mehrere Übereinstimmungsschlüssel angegeben werden, muss eine Zeile in der Nachschlagetabelle allen Schlüsseln entsprechen, um ein Ergebnis zu erzeugen (UND-Logik).
`match_keys[].log_key` (Erforderlich)
Der Feldname im Protokollereignis, mit dem abgeglichen werden soll. Maximal 128 Zeichen.
`match_keys[].lookup_key` (Erforderlich)
Der Spaltenname in der Nachschlagetabelle, mit dem ein Abgleich durchgeführt werden soll. Maximal 128 Zeichen.
`entries` (Erforderlich)
Array von Feldern, die dem Protokollereignis aus der entsprechenden Zeile der Nachschlagetabelle hinzugefügt werden sollen. Mindestens 1, maximal 10 Einträge.
`entries[].source` (Erforderlich)
Der Spaltenname in der Nachschlagetabelle, aus der der Wert abgerufen werden soll. Maximal 128 Zeichen.
`entries[].target` (optional)
Der Feldname, der dem Protokollereignis hinzugefügt werden soll. Wenn nicht angegeben, wird der `source` Spaltenname als Feldname verwendet. Maximal 128 Zeichen.
`entries[].overwrite_if_exists` (optional)
Boolesches Flag, das das Verhalten bestimmt, wenn das Zielfeld bereits im Protokollereignis vorhanden ist. Standardwert "false".
`when` (optional)
Bedingter Ausdruck, der bestimmt, ob dieser Prozessor ausgeführt wird. Die maximale Länge beträgt 256 Zeichen. Siehe [Ausdruckssyntax für bedingte Verarbeitung](conditional-processing.md).
**Beispiel**
Stellen Sie sich eine Nachschlagetabelle `network_assets` mit den folgenden Zeilen vor:
**Nachschlagetabelle network\_assets**
| ip\_address | hostname | owner | location |
| --- | --- | --- | --- |
| 10.0.1.12 | Webserver-01 | Team-Alpha | us-east-1 |
| 10.0.2.45 | DB-Server-03 | Team-Beta | us-west-2 |
| 10.0.3.78 | Cache-Knoten-07 | Team-Alpha | eu-west-1 |
Angesichts des folgenden Protokollereignisses:
```
{
"timestamp": "2026-05-04T12:00:00Z",
"src_ip": "10.0.2.45",
"action": "connection_opened",
"bytes": 2048
}
```
Und die folgende Prozessorkonfiguration:
```
processor:
- lookup:
lookup_table: "arn:aws:logs:us-east-1:123456789012:lookup-table:network_assets"
match_keys:
- log_key: "src_ip"
lookup_key: "ip_address"
entries:
- source: "hostname"
target: "src_hostname"
- source: "owner"
- source: "location"
target: "src_region"
overwrite_if_exists: false
```
Der Prozessor erzeugt das folgende erweiterte Protokollereignis:
```
{
"timestamp": "2026-05-04T12:00:00Z",
"src_ip": "10.0.2.45",
"action": "connection_opened",
"bytes": 2048,
"src_hostname": "db-server-03",
"owner": "team-beta",
"src_region": "us-west-2"
}
```
**IAM-Berechtigungen**
Wenn eine Pipeline den Lookup-Prozessor verwendet, muss die Ausführungsrolle der Pipeline die `logs:GetLookupTable` Berechtigung für die Tabelle beinhalten, auf die verwiesen wird. Die folgende Beispiel-Richtlinienanweisung gewährt diese Berechtigung:
```
{
"Effect": "Allow",
"Action": "logs:GetLookupTable",
"Resource": "arn:aws:logs:::lookup-table:"
}
```