本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

# 日志管理
<a name="LogManagement"></a>

CloudWatch 日志提供高级日志管理功能，可帮助您更有效地组织、转换和分析日志数据。这些功能包括[跨账户和跨区域数据集](CloudWatchLogs_Centralization.md)中、[自动数据发现和架构管理、](data-source-discovery-management.md)[采集期间的日志转换，以及使用交互式](CloudWatch-Logs-Transformation.md)[日志探索各方面的增强分析](CloudWatchLogs-Facets.md)。

**Topics**
+ [数据源发现和管理](data-source-discovery-management.md)
+ [数据源启用的功能](features-enabled-by-data-sources.md)
+ [AWS 服务 支持数据源](supported-aws-services-data-sources.md)
+ [数据源支持的第三方来源](supported-third-party-sources-data-sources.md)

# 数据源发现和管理
<a name="data-source-discovery-management"></a>

CloudWatch Logs 会根据数据源和类型自动发现您的日志数据并对其进行分类，从而更轻松地大规模理解和管理您的日志。此功能为提供来源（例如 Amazon VPC 流日志和 Route 53）以及第三方安全工具提供架构发现。 AWS CloudTrail

日志管理控制台提供了按数据源和类型组织的日志的高级视图，而不仅仅是日志组。该组织可以帮助您：
+ 查看按 AWS 服务、第三方来源（例如 Okta 或 CrowdStrike）和自定义来源分类的日志
+ 自动了解日志数据的架构和结构
+ 根据发现的架构字段创建字段索引策略
+ 更高效地管理不同数据源的日志
+ 按不同数据源查询日志

当您[为支持的 AWS 服务启用 CloudWatch 日志记录](AWS-logs-and-resource-policy.md)时， CloudWatch 日志会自动将相应的架构应用于您的日志。这个自动架构应用程序有助于保持一致性，并提供对日志结构的即时见解。

## 什么是 CloudWatch 日志数据源？
<a name="what-is-cloudwatch-data-sources"></a>

CloudWatch Logs Data Sources 是一项功能，它提供了一种根据生成日志的来源对日志数据进行组织和分类的新方法。虽然 CloudWatch 日志传统上使用日志组来组织日志，但数据源提供了额外的组织层，可根据日志的源服务和日志类型对日志进行分组。

### 数据源的工作原理
<a name="how-data-sources-work"></a>

数据源提供基于服务的日志组织，并简化了整个 AWS 基础架构的发现。您可以轻松地从特定服务中找到日志并按日志类型进行筛选，而无需知道各个日志组的名称或结构。

对于第三方来源，也可以选择应用程序日志源，数据源使用 CloudWatch 管道对您的日志进行分类。将管道配置为采集和转换日志时，需要指定数据源的名称和类型。 CloudWatch 然后，日志会自动对管道处理的所有日志进行分类。有关更多信息，请参阅 *Amazon CloudWatch 用户指南*中的[CloudWatch 管道](https://docs.aws.amazon.com/AmazonCloudWatch/latest/monitoring/cloudwatch-pipelines.html)。

 数据源使用两个关键标识符对日志进行分类：
+ **数据源名称**：生成日志的 AWS 服务、第三方来源或应用程序（例如 Route 53、Amazon VPC CloudTrail、Okta SSO 或 CrowdStrike Falcon）。
+ **数据源类型**：该服务生成的特定日志类型。

架构定义了日志数据的结构，包括存在哪些字段以及信息的组织方式。单个数据源可以生成具有不同架构和用途的多种类型的日志。例如， AWS CloudTrail 数据源有两种类型：管理事件（跟踪控制平面操作，例如创建或删除资源）和数据事件（跟踪数据平面操作，例如 S3 对象访问）。每种类型都有不同的架构，因为它们捕获的信息类型不同。

## 如何开始
<a name="how-to-get-started-data-sources"></a>

CloudWatch 日志根据您的数据源对您的日志进行分类。该方法取决于你正在处理的日志的类型：

### AWS 服务 日志
<a name="aws-service-logs"></a>

来自[支持的](supported-aws-services-data-sources.md)日志 AWS 服务会自动按数据源分组，无需任何配置。 CloudWatch 日志可以识别这些日志，并根据源服务应用相应的数据源名称和类型。

### 第三方日志
<a name="third-party-logs"></a>

第三方日志需要管道来进行数据源分类。将管道配置为从支持的第三方来源（例如 Microsoft Office 365、Okta 或 Palo Alto Networks）提取日志时，需要在管道配置中指定[数据源名称和类型](supported-third-party-sources-data-sources.md)。 CrowdStrike CloudWatch 日志使用这些标识符自动对管道处理的所有日志进行分类。

Pipelines 可以选择将第三方日志转换为开放网络安全架构框架 (OCSF) 格式，用于标准化安全事件分析。启用 OCSF 转换后，将根据 OCSF 架构映射自动确定数据源的名称和类型。如果没有 OCSF 转换，则可以在工作流配置中指定数据源名称和类型。

### 应用程序日志
<a name="application-logs"></a>

对于自定义应用程序日志，您可以使用以下方法之一按数据源对其进行分类：
+ **日志组标签**-使用密钥向日志组添加标签，`cw:datasource:name`并`cw:datasource:type`分别为日志组中提取的所有日志指定数据源名称和类型。标签值最多可包含 64 个字符，并且只能包含小写字母、数字和下划线。它们必须以字母或数字开头，并且不能包含双下划线 (\$1\$1)。
+ **管道配置**-在摄取应用程序日志时，通过日志处理管道配置数据源信息。

**注意**  
数据源名称不能以 “aws” 或 “amazon” 开头，以避免与 AWS 服务日志发生冲突。

## 系统字段
<a name="system-fields"></a>

CloudWatch 日志会自动向按数据源分类的日志中添加三个系统字段。这些字段用作默认分面：
+ `@data_source_name`-包含数据源的名称，如果未确定，则为 “未知”
+ `@data_source_type`-包含数据源的类型，如果未确定，则为 “未知”
+ `@data_format`-表示日志数据的格式

当无法确定数据源名称或类型时，这些字段将设置为 “未知”。带有 “未知” 值的数据源在分面和控制台中 “日志管理” 下的数据源表中仍然可见，这使您可以识别未分类的日志以及它们来自哪个日志组。

该`@data_format`字段可以包含以下值之一：
+ `Default`-未经修改即采集的日志。
+ `Custom`-通过管道处理器处理的日志或载入带有数据源 name/type 标签的日志组的日志。
+ `OCSF-<version>`-在管道中使用 OCSF（开放网络安全架构框架）处理器处理的日志。
+ `AWS-OTEL-LOG-V<version>`-通过 CloudWatch OTLP 端点提取的 OpenTelemetry 日志。
+ `AWS-OTEL-TRACE-V<version>`-通过 CloudWatch OTLP 端点摄取的 OpenTelemetry 跟踪。

这些系统字段使您能够根据日志的来源和格式筛选和查询日志，从而更轻松地处理来自不同来源和处理管道的日志。

## 访问数据源
<a name="accessing-data-sources"></a>

### 控制台
<a name="console-access"></a>

在 CloudWatch 日志控制台中，您可以使用**日志管理**选项卡访问您的数据源。 CloudWatch 日志会自动按数据源和类型整合您的日志数据，持续发现新摄取的数据。在数据源列表中，您可以创建管道、定义字段索引和分面。

### AWS CLI
<a name="aws-cli-access"></a>

使用以下命令列出您账户中的不同数据源和日志类型：

```
aws logs list-aggregate-log-group-summaries --group-by DATA_SOURCE_NAME_AND_TYPE
```

## 与日志组的关系
<a name="relationship-to-log-groups"></a>

数据源补充而不是取代日志组。您的日志仍像以前一样存储在日志组中，但现在它们也会自动使用数据源信息进行标记。这种双重组织使您能够：
+ 使用日志组制定精细的访问控制和保留策略
+ 使用数据源进行基于服务的日志发现和分析
+ 根据需要使用任一组织方法查询日志

数据源通过在整个 AWS 基础架构中提供以服务为中心的日志数据视图，可以更轻松地大规模处理日志。

# 数据源启用的功能
<a name="features-enabled-by-data-sources"></a>

数据源通过现场发现和一致的数据结构实现高级日志处理和分析功能。
+ 分@@ **面**：分面是索引日志字段，无需编写查询即可提供交互式筛选和分析。 CloudWatch 日志会自动为数据源名称和类型创建分面，您可以对发现的字段创建分面策略以加快故障排除速度。分面在 Logs Insight CloudWatch s 中显示值分布和计数，便于通过 point-and-click探索识别模式。
+ **管道**：创建适用于来自特定数据源名称和类型的所有日志的转换管道。这允许您为来自同一来源的日志定义一致的处理规则。
+ **字段发现**： CloudWatch 日志会根据管道处理器自动发现每个数据源名称和类型组合的字段及其数据类型。对于 AWS 托管日志，字段结构是预定义的。对于应用程序日志，我们建议保持一致的日志格式，以最大限度地兼容需要明确定义的字段结构的 Amazon S3 表等分析工具。

您可以使用 `GetLogFields` API 查看任何数据源的字段及其类型的完整列表：

```
aws logs get-log-fields --data-source-name <name>  --data-source-type <type>
```

这种字段发现和一致性支持高级分析和集成，因为在处理日志数据时，外部工具可以使用可预测的字段结构。

# AWS 服务 支持数据源
<a name="supported-aws-services-data-sources"></a>

下表列出了由 L AWS 服务 ogs 自动归 CloudWatch 类为数据源的内容：


| 数据源名称（@data\$1source\$1name 字段） | 数据源类型（@data\$1source\$1type 字段） | 
| --- | --- | 
| amazon\$1api\$1gateway | access | 
| amazon\$1bedrock\$1agentcore | browser\$1usage | 
| amazon\$1bedrock\$1agentcore | code\$1interpreter\$1application | 
| amazon\$1bedrock\$1agentcore | code\$1interpreter\$1usage | 
| amazon\$1bedrock\$1agentcore | gateway\$1application | 
| amazon\$1bedrock\$1agentcore | identity\$1workload\$1application | 
| amazon\$1bedrock\$1agentcore | memory\$1application | 
| amazon\$1bedrock\$1agentcore | online\$1evaluation\$1config | 
| amazon\$1bedrock\$1agentcore | runtime\$1application | 
| amazon\$1bedrock\$1agentcore | runtime\$1usage | 
| amazon\$1bedrock\$1agents | application | 
| amazon\$1bedrock\$1agents | event | 
| amazon\$1bedrock\$1knowledge\$1bases | application | 
| amazon\$1cloudfront | access | 
| amazon\$1cloudfront | connection | 
| amazon\$1cloudwatch | rum\$1app\$1monitor | 
| amazon\$1cognito | user\$1pool | 
| amazon\$1ec2 | verified\$1access | 
| amazon\$1eks | api\$1server | 
| amazon\$1eks | audit | 
| amazon\$1eks | authenticator | 
| amazon\$1eks | controller\$1manager | 
| amazon\$1eks | scheduler | 
| amazon\$1elasticache | cluster | 
| amazon\$1eventbridge | eventbus\$1error | 
| amazon\$1eventbridge | eventbus\$1info | 
| amazon\$1eventbridge | pipes\$1execution | 
| amazon\$1interactive\$1video\$1service | chat | 
| amazon\$1managed\$1prometheus | scraper | 
| amazon\$1managed\$1prometheus | workspace | 
| amazon\$1msk | broker | 
| amazon\$1msk | connect | 
| amazon\$1opensearch\$1service | pipeline | 
| amazon\$1q\$1business | events | 
| amazon\$1q\$1business | sync\$1job | 
| amazon\$1q\$1connect | events | 
| amazon\$1route53 | global\$1resolver\$1query | 
| amazon\$1route53 | hosted\$1zones | 
| amazon\$1route53 | profiles\$1resolver\$1query | 
| amazon\$1route53 | resolver\$1query | 
| amazon\$1sagemaker | workteam\$1activity | 
| amazon\$1ses | ingress\$1endpoints | 
| amazon\$1ses | rule\$1sets | 
| amazon\$1ses | traffic\$1policy | 
| amazon\$1vpc | flow | 
| amazon\$1vpc | route\$1server\$1peer | 
| amazon\$1vpc\$1lattice | access | 
| amazon\$1vpc\$1lattice | resource\$1access | 
| amazon\$1workmail | access\$1control | 
| amazon\$1workmail | authentication | 
| amazon\$1workmail | personal\$1access | 
| amazon\$1workmail | workmail\$1access | 
| amazon\$1workmail | workmail\$1availability | 
| aws\$1b2b\$1data\$1interchange | execution | 
| aws\$1backup | data\$1access | 
| aws\$1backup | hypervisor | 
| aws\$1clean\$1rooms | analysis | 
| aws\$1client\$1vpn | connection | 
| aws\$1client\$1vpn | event | 
| aws\$1cloudtrail | data | 
| aws\$1cloudtrail | management | 
| aws\$1elemental\$1mediapackage | egress\$1access | 
| aws\$1elemental\$1mediapackage | ingress\$1access | 
| aws\$1elemental\$1mediatailor | ad\$1decision | 
| aws\$1elemental\$1mediatailor | manifest | 
| aws\$1elemental\$1mediatailor | transcode | 
| aws\$1entity\$1resolution | id\$1mapping\$1workflow | 
| aws\$1entity\$1resolution | matching\$1workflow | 
| aws\$1iot\$1fleetwise | error | 
| aws\$1mainframe\$1modernization | batch\$1job | 
| aws\$1mainframe\$1modernization | config | 
| aws\$1mainframe\$1modernization | console | 
| aws\$1mainframe\$1modernization | dataset\$1import | 
| aws\$1network\$1firewall | alert | 
| aws\$1network\$1firewall | flow | 
| aws\$1network\$1firewall | tls | 
| aws\$1nlb | access | 
| aws\$1pcs | job\$1completion | 
| aws\$1pcs | scheduler | 
| aws\$1security\$1hub\$1cspm | asff\$1finding | 
| aws\$1shield | protection\$1flow | 
| aws\$1step\$1functions | express | 
| aws\$1step\$1functions | standard | 
| aws\$1transfer\$1family | server | 
| aws\$1waf | access | 

# 数据源支持的第三方来源
<a name="supported-third-party-sources-data-sources"></a>

下表列出了通过管道摄取时被 Log CloudWatch s 自动归类为数据源的第三方来源：


| 数据源名称（@data\$1source\$1name 字段） | 数据源类型（@data\$1source\$1type 字段） | 
| --- | --- | 
| crowdstrike\$1falcon | detection\$1finding | 
| crowdstrike\$1falcon | process\$1activity | 
| github\$1auditlogs | account\$1change | 
| github\$1auditlogs | api\$1activity | 
| github\$1auditlogs | entity\$1management | 
| microsoft\$1entraid | account\$1change | 
| microsoft\$1entraid | authentication | 
| microsoft\$1entraid | entity\$1management | 
| microsoft\$1entraid | user\$1access\$1management | 
| microsoft\$1office365 | account\$1change | 
| microsoft\$1office365 | application\$1lifecycle | 
| microsoft\$1office365 | authentication | 
| microsoft\$1office365 | compliance\$1finding | 
| microsoft\$1office365 | detection\$1finding | 
| microsoft\$1office365 | email\$1activity | 
| microsoft\$1office365 | file\$1hosting\$1activity | 
| microsoft\$1office365 | group\$1management | 
| microsoft\$1office365 | incident\$1finding | 
| microsoft\$1office365 | user\$1access\$1management | 
| microsoft\$1office365 | vulnerability\$1finding | 
| microsoft\$1office365 | web\$1resources\$1activity | 
| microsoft\$1windows | account\$1change | 
| microsoft\$1windows | authentication | 
| microsoft\$1windows | entity\$1management | 
| microsoft\$1windows | event\$1log\$1activity | 
| microsoft\$1windows | file\$1system\$1activity | 
| microsoft\$1windows | group\$1management | 
| microsoft\$1windows | kernel\$1activity | 
| okta\$1auth0 | api\$1activity | 
| okta\$1auth0 | authentication | 
| okta\$1sso | api\$1activity | 
| okta\$1sso | authentication | 
| okta\$1sso | detection\$1finding | 
| okta\$1sso | entity\$1management | 
| paloaltonetworks\$1nextgenerationfirewall | authentication | 
| paloaltonetworks\$1nextgenerationfirewall | detection\$1finding | 
| paloaltonetworks\$1nextgenerationfirewall | network\$1activity | 
| paloaltonetworks\$1nextgenerationfirewall | process\$1activity | 
| sentinelone\$1endpointsecurity | dns\$1activity | 
| sentinelone\$1endpointsecurity | file\$1system\$1activity | 
| sentinelone\$1endpointsecurity | http\$1activity | 
| sentinelone\$1endpointsecurity | process\$1activity | 
| servicenow\$1cmdb | api\$1activity | 
| servicenow\$1cmdb | datastore\$1activity | 
| servicenow\$1cmdb | entity\$1management | 
| wiz\$1cnapp | api\$1activity | 
| wiz\$1cnapp | authentication | 
| wiz\$1cnapp | compliance\$1finding | 
| wiz\$1cnapp | detection\$1finding | 
| wiz\$1cnapp | vulnerability\$1finding | 
| zscaler\$1internetaccess | authentication | 
| zscaler\$1internetaccess | dns\$1activity | 
| zscaler\$1internetaccess | http\$1activity | 
| zscaler\$1internetaccess | network\$1activity |