本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。
# 來源宣告
在適用於微軟視窗的 Amazon Kinesis Kinesis 代理程式中，*來源宣告*描述應收集的日誌、事件及指標資料位置及種類。他們也可以選擇性地指定剖析該資料所需的資訊，以進行轉換。以下各節說明適用於 Windows 專用 Kinesis 代理程式中可用之內建來源類型的組態。由於 Windows 適用的 Kinesis 代理程式是可延伸的，因此您可以新增自訂來源類型。每個來源類型通常都需要組態物件中具有與該來源類型相關的特定鍵/值對。
所有來源宣告都至少必須包含下列鍵/值對：
`Id`
唯一字串，可在組態檔案中識別特定來源物件。
`SourceType`
此來源物件的來源類型名稱。來源類型會指定此來源物件所收集日誌、事件或指標資料的來源。它也會控制來源可宣告的其他層面為何。
如需使用不同類型來源宣告完整組態檔案的範例，請參閱[從各種來源串流到 Kinesis Data Streams](configuring-kaw-examples.md#configuring-kaw-examples-sources)。
**Topics**
+ [DirectorySource 組態](#directory-source-configuration)
+ [ExchangeLogSource 組態](#exchange-source-configuration)
+ [W3SVCLogSource 組態](#iis-source-configuration)
+ [UlsSource 組態](#sharepoint-source-configuration)
+ [WindowsEventLogSource 組態](#window-event-source-configuration)
+ [動態指標視窗選取來源組態](#eventlogpolling-source-configuration)
+ [WindowsETWEventSource 組態](#etw-source-configuration)
+ [WindowsPerformanceCounterSource 組態](#performance-counter-source-configuration)
+ [Windows 內建指標來源適用的 Kinesis 代理程式](#kinesis-agent-builin-metrics-source)
+ [適用於視窗度量的 Kinesis 代理程式清單](#kinesis-agent-metric-list)
+ [書籤組態](#advanced-source-configuration)
## DirectorySource 組態
### Overview
`DirectorySource` 來源類型會從存放在指定目錄中的檔案收集日誌。由於日誌檔案有許多不同的格式，`DirectorySource` 宣告可讓您指定日誌檔案中資料的格式。然後，您可以將日誌內容轉換成標準格式 (例如 JSON 或 XML)，再串流至各種 AWS 服務。
以下是範例 `DirectorySource` 宣告：
```
{
"Id": "myLog",
"SourceType": "DirectorySource",
"Directory": "C:\\Program Data\\MyCompany\\MyService\\logs",
"FileNameFilter": "*.log",
"IncludeSubdirectories": true,
"IncludeDirectoryFilter": "cpu\\cpu-1;cpu\\cpu-2;load;memory",
"RecordParser": "Timestamp",
"TimestampFormat": "yyyy-MM-dd HH:mm:ss.ffff",
"Pattern": "\\d{4}-\\d{2}-\\d(2}",
"ExtractionPattern": "",
"TimeZoneKind": "UTC",
"SkipLines": 0,
"Encoding": "utf-16",
"ExtractionRegexOptions": "Multiline"
}
```
所有 `DirectorySource` 宣告都可提供下列鍵/值對：
`SourceType`
必須是常值字串 `"DirectorySource"` (必要)。
`Directory`
指向包含日誌檔案目錄的路徑 (必要)。
`FileNameFilter`
選擇性地根據萬用字元檔案命名模式，限制收集日誌資料目錄中的檔案組。如果您有多個記錄檔名稱模式，此功能可讓您使用單一`DirectorySource`，如下列範例所示，所示。
```
FileNameFilter: "*.log|*.txt"
```
系統管理員有時會先壓縮記錄檔，然後再封存記錄檔。如果您指定`"*.*"`中的`FileNameFilter`，則現在會排除已知的壓縮檔。此功能可防止`.zip`、`.gz`，以及`.bz2`檔案不小心被串流處理。若沒有指定此鍵/值對，預設會收集目錄中所有檔案的資料。
`IncludeSubdirectories`
指定將子目錄監視為受作業系統限制的任意深度。此功能對於監控具有多個網站的網頁伺服器非常有用。您也可以使用`IncludeDirectoryFilter`屬性來監視篩選器中指定的某些子目錄。
`RecordParser`
指定 `DirectorySource` 來源類型應剖析指定目錄中所找到日誌檔案的方式。此鍵/值對是必要項目，其有效值如下所示：
+ `SingleLine`— 記錄檔的每一行都是記錄記錄。
+ `SingleLineJson`— 記錄檔的每一行都是 JSON 格式的記錄記錄。此剖析器在您希望使用物件裝飾，將額外的鍵/值對新增到 JSON 時很有用。如需詳細資訊，請參閱 [設定目的地宣告](sink-object-declarations.md#configuring-kinesis-agent-windows-decoration-configuration)。如需使用 `SingleLineJson` 記錄剖析器的範例，請參閱[教學課程：使用適用於視窗的 Kinesis 代理程式將 JSON 日誌檔串流到 Amazon S3](directory-source-to-s3-tutorial.md)。
+ `Timestamp`— 一或多行可以包含記錄檔記錄。日誌記錄會以時間戳記開頭。此選項會要求指定 `TimestampFormat` 鍵/值對。
+ `Regex`— 每筆記錄以符合特定規則運算式的文字開頭。此選項會要求指定 `Pattern` 鍵/值對。
+ `SysLog`— 表示記錄檔是寫入[syslog](https://en.wikipedia.org/wiki/Syslog)標準格式。日誌檔案會根據該規格剖析至記錄。
+ `Delimited`— 更簡單的 Regex 記錄剖析器版本，其中記錄中的資料項目會以一致的分隔符號分隔。此選項較容易使用且比 Regex 剖析器的執行速度更快，當此選項可用時此為慣用選項。使用此選項時，您必須指定 `Delimiter` 鍵/值對。
`TimestampField`
指定哪個 JSON 欄位包含記錄的時間戳記。此項目僅搭配 `SingleLineJson` `RecordParser` 使用。這個鍵/值對是選用的。若沒有指定，Windows 專用 Kinesis 代理程式會使用針對時間戳記讀取記錄時的時間。指定此鍵-值組的一個優點是針對 Windows 而言，Kinesis 代理程式產生的延遲統計資料會較為準確。
`TimestampFormat`
指定剖析與記錄相關聯日期和時間的方式。此值為字串 `epoch` 或 .NET 日期/時間格式字串。若值是 `epoch`，則時間會根據 UNIX Epoch 時間剖析。如需 UNIX Epoch 時間的詳細資訊，請參閱 [Unix time](https://en.wikipedia.org/wiki/Unix_time)。如需 .NET 日期/時間格式字串的詳細資訊，請參閱 Microsoft .NET 文件中的 [Custom Date and Time Format Strings](https://docs.microsoft.com/en-us/dotnet/standard/base-types/custom-date-and-time-format-strings))。此鍵/值對只有在指定 `Timestamp` 記錄剖析器，或是 `SingleLineJson` 記錄剖析器隨著 `TimestampField` 鍵/值對一同指定時才是必要項目。
`Pattern`
指定必須比對潛在多行記錄中第一行的規則表達式。此鍵/值對只針對 `Regex` 記錄剖析器為必要項目。
`ExtractionPattern`
指定應使用具名群組的規則表達式。記錄會使用此規則表達式剖析，而具名群組則會構成剖析記錄的欄位。這些欄位接著會用來做為建構 JSON 或 XML 物件或文件的基礎，並接著由接收串流至不同各種 AWS 服務。此鍵/值對是選用的，並且可透過`Regex`記錄解析器和時間戳記解析器。
`Timestamp` 群組名稱會特別進行處理，因為它會向 `Regex` 剖析器指出每個日誌檔案中哪些欄位包含每一筆記錄的日期和時間。
`Delimiter`
指定分隔每一筆日誌記錄中每個項目的字元或字串。此鍵/值對必須 (且只能) 搭配 `Delimited` 記錄剖析器使用。請使用雙字元序列 `\t` 來表示定位字元。
`HeaderPattern`
指定規則表達式，比對日誌檔案中包含記錄標頭組的行。若日誌檔案不包含任何標頭資訊，請使用 `Headers` 鍵/值對來指定隱含標頭。`HeaderPattern` 鍵/值對是選用的，只針對 `Delimited` 記錄剖析器有效。
資料行的空白 (長度 0) 標頭項目會造成從 `DirectorySource` 剖析輸出的最終輸出中篩選出該資料行的資料。
`Headers`
指定使用指定分隔符號剖析之資料的資料行名稱。此鍵/值對是選用的，只針對 `Delimited` 記錄剖析器有效。
資料行的空白 (長度 0) 標頭項目會造成從 `DirectorySource` 剖析輸出的最終輸出中篩選出該資料行的資料。
`RecordPattern`
指定規則表達式，識別日誌檔案中包含記錄資料的行。除了由 `HeaderPattern` 所識別的選用標頭之外，不符合指定 `RecordPattern` 的行也會在記錄處理期間遭到忽略。此鍵/值對是選用的，只針對 `Delimited` 記錄剖析器有效。若沒有提供此項目，則根據預設會將任何不符合選用 `HeaderPattern` 或選用 `CommentPattern` 的行視為包含可剖析記錄資料的行。
`CommentPattern`
指定規則表達式，識別日誌檔案中應在剖析日誌檔案內資料前排除的行。此鍵/值對是選用的，只針對 `Delimited` 記錄剖析器有效。若沒有提供此項目，則根據預設會將任何不符合選用 `HeaderPattern` 的行視為包含可剖析記錄資料的行，除非有指定 `RecordPattern`。
`TimeZoneKind`
指定是否應將日誌檔案中的時間戳記視為本地時區或 UTC 時區。此為選用項目，其預設為 UTC。此鍵/值對有效的值僅限 `Local` 或 `UTC`。若沒有指定 `TimeZoneKind`，或是其值為 UTC，則永遠不會改變時間戳記。時間戳記會轉換為 UTC，當`TimeZoneKind`值為`Local`，且接收時間戳記的接收為 CloudWatch Logs，或是將剖析記錄傳送到其他接收。內嵌在訊息中的日期和時間不會轉換。
`SkipLines`
指定此項目時，會控制記錄剖析發生前於每個日誌檔案開頭要忽略的行數。此為選用項目，預設值為 0。
編碼
根據預設，Windows 版 Kinesis 代理程式可以自動偵測來自位元組標記的編碼。不過，在某些較舊的 Unicode 格式上，自動編碼可能無法正常運作。下列範例會指定資料流微軟 SQL 伺服器記錄檔所需的編碼。
```
"Encoding": "utf-16"
```
如需編碼名稱的清單，請參閱[編碼清單](https://docs.microsoft.com/en-us/dotnet/api/system.text.encoding?view=netframework-4.8#list-of-encodings)在微軟 .NET 文檔中。
解壓縮規則選項
您可以使用`ExtractionRegexOptions`以簡化規則表達式。這個鍵/值對是選用的。預設值為 `"None"`。
以下範例指定`"."`運算式符合任何字元，包括`\r\n`。
```
"ExtractionRegexOptions" = "Multiline"
```
如需解壓縮規則選項的可能欄位清單，請參閱[規則表達式選項列舉](https://docs.microsoft.com/en-us/dotnet/api/system.text.regularexpressions.regexoptions?view=netframework-4.7.2#fields)在微軟 .NET 文檔中。
### `Regex` 記錄剖析器
您可以使用 `Regex` 記錄剖析器，搭配 `TimestampFormat`、`Pattern` 和 `ExtractionPattern` 鍵/值對剖析非結構化文字日誌。例如，假設您的日誌檔案看起來如下：
```
[FATAL][2017/05/03 21:31:00.534][0x00003ca8][0000059c][][ActivationSubSystem][GetActivationForSystemID][0] 'ActivationException.File: EQCASLicensingSubSystem.cpp'
[FATAL][2017/05/03 21:31:00.535][0x00003ca8][0000059c][][ActivationSubSystem][GetActivationForSystemID][0] 'ActivationException.Line: 3999'
```
您可以為 `Pattern` 鍵/值對指定以下規則表達式，協助將日誌檔案分成個別日誌記錄：
```
^\[\w+\]\[(?\d{4}/\d{2}/\d{2} \d{2}:\d{2}:\d{2}\.\d{3})\]
```
這個規則表達式符合以下序列：
1. 要評估的字串開頭。
1. 以方括弧包圍的一或多個文字字元。
1. 以方括弧包圍的時間戳記。時間戳記符合以下序列：
1. 四位數年份
1. 斜線
1. 二位數月份
1. 斜線
1. 二位數日期
1. 空白字元
1. 二位數小時
1. 冒號
1. 二位數分鐘
1. 冒號
1. 二位數秒鐘
1. 句號
1. 三位數毫秒
您可以為 `TimestampFormat` 鍵/值對指定以下格式，將文字時間戳記轉換成日期和時間：
```
yyyy/MM/dd HH:mm:ss.fff
```
您可以使用以下規則表達式來透過 `ExtractionPattern` 鍵/值對擷取日誌記錄的欄位。
```
^\[(?\w+)\]\[(?\d{4}/\d{2}/\d{2} \d{2}:\d{2}:\d{2}\.\d{3})\]\[[^]]*\]\[[^]]*\]\[[^]]*\]\[(?\w+)\]\[(?\w+)\]\[[^]]*\] '(?.*)'$
```
此規則表達式符合以下序列中的群組：
1. `Severity`— 以方括弧包圍的一或多個文字字元。
1. `TimeStamp`— 請參閱上一個描述以取得時間戳記。
1. 跳過三個零或多個字元的未命名方括弧序列。
1. `SubSystem`— 以方括弧包圍的一或多個文字字元。
1. `Module`— 以方括弧包圍的一或多個文字字元。
1. 跳過一個零或多個字元的未命名方括弧序列。
1. 跳過一個未命名空格。
1. `Message`— 以單引號括住的零個或多個字元。
以下來源宣告會合併這些規則表達式及日期時間格式，提供完整說明給 Windows 版 Kinesis Agent，用來剖析這類日誌檔案。
```
{
"Id": "PrintLog",
"SourceType": "DirectorySource",
"Directory": "C:\\temp\\PrintLogTest",
"FileNameFilter": "*.log",
"RecordParser": "Regex",
"TimestampFormat": "yyyy/MM/dd HH:mm:ss.fff",
"Pattern": "^\\[\\w+\\]\\[(?\\d{4}/\\d{2}/\\d{2} \\d{2}:\\d{2}:\\d{2}\\.\\d{3})\\]",
"ExtractionPattern": "^\\[(?\\w+)\\]\\[(?\\d{4}/\\d{2}/\\d{2} \\d{2}:\\d{2}:\\d{2}\\.\\d{3})\\]\\[[^]]*\\]\\[[^]]*\\]\\[[^]]*\\]\\[(?\\w+)\\]\\[(?\\w+)\\]\\[[^]]*\\] '(?.*)'$",
"TimeZoneKind": "UTC"
}
```
**注意**
JSON 格式檔案中的反斜線必須使用額外的反斜線逸出。
如需規則表達式的詳細資訊，請參閱 Microsoft .NET 中的 [Regular Expression Language - Quick Reference](https://docs.microsoft.com/en-us/dotnet/standard/base-types/regular-expression-language-quick-reference)。
### `Delimited` 記錄剖析器
您可以使用 `Delimited` 記錄剖析器來剖析其中有一致字元序列分隔每個資料列中每個資料行的半結構化日誌及資料檔案。例如，CSV 檔案使用逗號來分隔每個資料行，TSV 檔案則使用標籤。
假設您希望剖析網路政策伺服器所產生的 Microsoft [NPS Database Format](https://docs.microsoft.com/en-us/previous-versions/windows/it-pro/windows-server-2008-R2-and-2008/cc771748(v=ws.10)) 日誌檔案。這類檔案看起來與以下內容相似：
```
"NPS-MASTER","IAS",03/22/2018,23:07:55,1,"user1","Domain1\user1",,,,,,,,0,"192.168.86.137","Nate - Test 1",,,,,,,1,,0,"311 1 192.168.0.213 03/15/2018 08:14:29 1",,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,"Use Windows authentication for all users",1,,,,
"NPS-MASTER","IAS",03/22/2018,23:07:55,3,,"Domain1\user1",,,,,,,,0,"192.168.86.137","Nate - Test 1",,,,,,,1,,16,"311 1 192.168.0.213 03/15/2018 08:14:29 1",,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,"Use Windows authentication for all users",1,,,,
```
以下範例 `appsettings.json` 組態檔案包含一個 `DirectorySource` 宣告，使用 `Delimited` 記錄剖析器來將文字剖析為物件表示。它接著會將 JSON 格式資料串流至 Kinesis Data Firehose：
```
{
"Sources": [
{
"Id": "NPS",
"SourceType": "DirectorySource",
"Directory": "C:\\temp\\NPS",
"FileNameFilter": "*.log",
"RecordParser": "Delimited",
"Delimiter": ",",
"Headers": "ComputerName,ServiceName,Record-Date,Record-Time,Packet-Type,User-Name,Fully-Qualified-Distinguished-Name,Called-Station-ID,Calling-Station-ID,Callback-Number,Framed-IP-Address,NAS-Identifier,NAS-IP-Address,NAS-Port,Client-Vendor,Client-IP-Address,Client-Friendly-Name,Event-Timestamp,Port-Limit,NAS-Port-Type,Connect-Info,Framed-Protocol,Service-Type,Authentication-Type,Policy-Name,Reason-Code,Class,Session-Timeout,Idle-Timeout,Termination-Action,EAP-Friendly-Name,Acct-Status-Type,Acct-Delay-Time,Acct-Input-Octets,Acct-Output-Octets,Acct-Session-Id,Acct-Authentic,Acct-Session-Time,Acct-Input-Packets,Acct-Output-Packets,Acct-Terminate-Cause,Acct-Multi-Ssn-ID,Acct-Link-Count,Acct-Interim-Interval,Tunnel-Type,Tunnel-Medium-Type,Tunnel-Client-Endpt,Tunnel-Server-Endpt,Acct-Tunnel-Conn,Tunnel-Pvt-Group-ID,Tunnel-Assignment-ID,Tunnel-Preference,MS-Acct-Auth-Type,MS-Acct-EAP-Type,MS-RAS-Version,MS-RAS-Vendor,MS-CHAP-Error,MS-CHAP-Domain,MS-MPPE-Encryption-Types,MS-MPPE-Encryption-Policy,Proxy-Policy-Name,Provider-Type,Provider-Name,Remote-Server-Address,MS-RAS-Client-Name,MS-RAS-Client-Version",
"TimestampField": "{Record-Date} {Record-Time}",
"TimestampFormat": "MM/dd/yyyy HH:mm:ss"
}
],
"Sinks": [
{
"Id": "npslogtest",
"SinkType": "KinesisFirehose",
"Region": "us-west-2",
"StreamName": "npslogtest",
"Format": "json"
}
],
"Pipes": [
{
"Id": "W3SVCLog1ToKinesisStream",
"SourceRef": "NPS",
"SinkRef": "npslogtest"
}
]
}
```
串流至 Kinesis 資料火焰軟管的 JSON 格式資料看起來與以下內容相似：
```
{
"ComputerName": "NPS-MASTER",
"ServiceName": "IAS",
"Record-Date": "03/22/2018",
"Record-Time": "23:07:55",
"Packet-Type": "1",
"User-Name": "user1",
"Fully-Qualified-Distinguished-Name": "Domain1\\user1",
"Called-Station-ID": "",
"Calling-Station-ID": "",
"Callback-Number": "",
"Framed-IP-Address": "",
"NAS-Identifier": "",
"NAS-IP-Address": "",
"NAS-Port": "",
"Client-Vendor": "0",
"Client-IP-Address": "192.168.86.137",
"Client-Friendly-Name": "Nate - Test 1",
"Event-Timestamp": "",
"Port-Limit": "",
"NAS-Port-Type": "",
"Connect-Info": "",
"Framed-Protocol": "",
"Service-Type": "",
"Authentication-Type": "1",
"Policy-Name": "",
"Reason-Code": "0",
"Class": "311 1 192.168.0.213 03/15/2018 08:14:29 1",
"Session-Timeout": "",
"Idle-Timeout": "",
"Termination-Action": "",
"EAP-Friendly-Name": "",
"Acct-Status-Type": "",
"Acct-Delay-Time": "",
"Acct-Input-Octets": "",
"Acct-Output-Octets": "",
"Acct-Session-Id": "",
"Acct-Authentic": "",
"Acct-Session-Time": "",
"Acct-Input-Packets": "",
"Acct-Output-Packets": "",
"Acct-Terminate-Cause": "",
"Acct-Multi-Ssn-ID": "",
"Acct-Link-Count": "",
"Acct-Interim-Interval": "",
"Tunnel-Type": "",
"Tunnel-Medium-Type": "",
"Tunnel-Client-Endpt": "",
"Tunnel-Server-Endpt": "",
"Acct-Tunnel-Conn": "",
"Tunnel-Pvt-Group-ID": "",
"Tunnel-Assignment-ID": "",
"Tunnel-Preference": "",
"MS-Acct-Auth-Type": "",
"MS-Acct-EAP-Type": "",
"MS-RAS-Version": "",
"MS-RAS-Vendor": "",
"MS-CHAP-Error": "",
"MS-CHAP-Domain": "",
"MS-MPPE-Encryption-Types": "",
"MS-MPPE-Encryption-Policy": "",
"Proxy-Policy-Name": "Use Windows authentication for all users",
"Provider-Type": "1",
"Provider-Name": "",
"Remote-Server-Address": "",
"MS-RAS-Client-Name": "",
"MS-RAS-Client-Version": ""
}
```
### `SysLog` 記錄剖析器
針對 `SysLog` 記錄剖析器，從來源剖析後的輸出包含以下資訊：
| 屬性 | 類型 | 描述 |
| --- | --- | --- |
| SysLogTimeStamp | 字串 | 來自 syslog 格式日誌檔案的原始日期和時間。 |
| Hostname | 字串 | syslog 格式日誌檔案所在的電腦名稱。 |
| Program | 字串 | 產生日誌檔案的應用程式或服務名稱。 |
| Message | 字串 | 應用程式或服務產生的日誌訊息。 |
| TimeStamp | 字串 | ISO 8601 格式的剖析後日期及時間。 |
以下是轉換成 JSON 的 SysLog 資料範例：
```
{
"SysLogTimeStamp": "Jun 18 01:34:56",
"Hostname": "myhost1.example.mydomain.com",
"Program": "mymailservice:",
"Message": "Info: ICID 123456789 close",
"TimeStamp": "2017-06-18T01:34.56.000"
}
```
### Summary
以下是 `DirectorySource` 來源可用的鍵/值對摘要及與這些鍵/值對相關的 `RecordParser`。
| 鍵值名稱 | RecordParser | 備註 |
| --- | --- | --- |
| SourceType | 所有項目的必要項目 | 其值必須為 DirectorySource |
| Directory | 所有項目的必要項目 | |
| FileNameFilter | 所有項目的選用項目 | |
| RecordParser | 所有項目的必要項目 | |
| TimestampField | SingleLineJson 的選用項目 | |
| TimestampFormat | Timestamp 的必要項目；若有指定 TimestampField，則為 SingleLineJson 的必要項目 | |
| Pattern | Regex 的必要項目 | |
| ExtractionPattern | Regex 的選用項目 | 若接收指定 json 或 xml 格式，則為 Regex 的必要項目 |
| Delimiter | Delimited 的必要項目 | |
| HeaderPattern | Delimited 的選用項目 | |
| Headers | Delimited 的選用項目 | |
| RecordPattern | Delimited 的選用項目 | |
| CommentPattern | Delimited 的選用項目 | |
| TimeZoneKind | 識別時間戳記欄位時，Regex、Timestamp、SysLog 和 SingleLineJson 的選用項目 | |
| SkipLines | 所有項目的選用項目 | |
## ExchangeLogSource 組態
`ExchangeLogSource` 類型會用於從 Microsoft Exchange 收集日誌。Exchange 會以數種不同類型的日誌格式產生日誌。此來源類型會剖析所有格式。雖然您可以使用 `DirectorySource` 類型搭配 `Regex` 記錄剖析器剖析他們，但使用 `ExchangeLogSource` 會簡單許多。這是因為您不需要設計及提供日誌檔案格式的規則表達式。以下是範例 `ExchangeLogSource` 宣告：
```
{
"Id": "MyExchangeLog",
"SourceType": "ExchangeLogSource",
"Directory": "C:\\temp\\ExchangeLogTest",
"FileNameFilter": "*.log"
}
```
所有 Exchange 宣告都可提供下列鍵/值對：
`SourceType`
必須是常值字串 `"ExchangeLogSource"` (必要)。
`Directory`
指向包含日誌檔案目錄的路徑 (必要)。
`FileNameFilter`
選擇性地根據萬用字元檔案命名模式，限制收集日誌資料目錄中的檔案組。若沒有指定此鍵/值對，則根據預設，會收集目錄中所有檔案的日誌資料。
`TimestampField`
包含記錄日期和時間的資料行名稱。此鍵/值對是選用的，且若欄位名稱是 `date-time` 或 `DateTime`，則不需要指定此項目。否則該項目為必要項目。
## W3SVCLogSource 組態
`W3SVCLogSource` 類型會用於從 Windows 的 Internet Information Services (IIS) 收集日誌。
以下是範例 `W3SVCLogSource` 宣告：
```
{
"Id": "MyW3SVCLog",
"SourceType": "W3SVCLogSource",
"Directory": "C:\\inetpub\\logs\\LogFiles\\W3SVC1",
"FileNameFilter": "*.log"
}
```
所有 `W3SVCLogSource` 宣告都可提供下列鍵/值對：
`SourceType`
必須是常值字串 `"W3SVCLogSource"` (必要)。
`Directory`
指向包含日誌檔案目錄的路徑 (必要)。
`FileNameFilter`
選擇性地根據萬用字元檔案命名模式，限制收集日誌資料目錄中的檔案組。若沒有指定此鍵/值對，則根據預設，會收集目錄中所有檔案的日誌資料。
## UlsSource 組態
`UlsSource` 類型會用於從 Microsoft SharePoint 收集日誌。以下是範例 `UlsSource` 宣告：
```
{
"Id": "UlsSource",
"SourceType": "UlsSource",
"Directory": "C:\\temp\\uls",
"FileNameFilter": "*.log"
}
```
所有 `UlsSource` 宣告都可提供下列鍵/值對：
`SourceType`
必須是常值字串 `"UlsSource"` (必要)。
`Directory`
指向包含日誌檔案目錄的路徑 (必要)。
`FileNameFilter`
選擇性地根據萬用字元檔案命名模式，限制收集日誌資料目錄中的檔案組。若沒有指定此鍵/值對，則根據預設，會收集目錄中所有檔案的日誌資料。
## WindowsEventLogSource 組態
`WindowsEventLogSource` 類型會用於從 Windows 事件記錄服務收集事件。以下是範例 `WindowsEventLogSource` 宣告：
```
{
"Id": "mySecurityLog",
"SourceType": "WindowsEventLogSource",
"LogName": "Security"
}
```
所有 `WindowsEventLogSource` 宣告都可提供下列鍵/值對：
`SourceType`
必須是常值字串 `"WindowsEventLogSource"` (必要)。
`LogName`
事件會從指定日誌收集。常見的值包含 `Application`、`Security` 和 `System`，但您可以指定任何有效的 Windows 事件日誌名稱。這個鍵/值對是必要的。
`Query`
選擇性限制要從 `WindowsEventLogSource` 輸出的事件。若沒有指定此鍵/值對，則根據預設會輸出所有事件。如需此值語法的資訊，請參閱 Windows 文件中的 [Event Queries and Event XML](https://msdn.microsoft.com/en-us/library/bb399427(v=vs.90).aspx)。如需日誌層級定義的資訊，請參閱 Windows 文件中的 [Event Types](https://docs.microsoft.com/en-us/windows/desktop/eventlog/event-types)。
`IncludeEventData`
在此鍵/值對的值為 `"true"` 時，選擇性地啟用從指定 Windows 事件日誌收集及串流與事件相關聯的提供者限定事件資料。只有可成功序列化的事件資料才會包含在其中。此鍵/值對是選用的，且若沒有指定，便不會收集提供者限定事件資料。
包含事件資料可能會大幅增加從此來源串流的資料量。事件的大小上限可為 262,143 個位元組 (包含事件資料)。
來自 `WindowsEventLogSource` 的剖析輸出包含以下資訊：
| 屬性 | 類型 | 描述 |
| --- | --- | --- |
| EventId | Int | 事件類型的識別符。 |
| Description | 字串 | 描述事件詳細資訊的文字。 |
| LevelDisplayName | 字串 | 事件的類別 (錯誤 (Error)、警告 (Warning)、資訊 (Information)、成功稽核 (Success Audit)、失敗稽核 (Failure Audit) 中的其中一項)。 |
| LogName | 字串 | 記錄事件的位置 (典型的值為 Application、Security 和 System，但有許多可能值)。 |
| MachineName | 字串 | 記錄事件的電腦。 |
| ProviderName | 字串 | 記錄事件的應用程式或服務。 |
| TimeCreated | 字串 | 事件發生的時間 (以 ISO 8601 格式呈現)。 |
| Index | Int | 項目在日誌中的位置。 |
| UserName | 字串 | 建立該項目的人員 (若已知的話)。 |
| Keywords | 字串 | 事件的類型。標準值包含 AuditFailure (失敗的安全稽核事件)、AuditSuccess (成功的安全稽核事件)、Classic (使用 RaiseEvent 函數引發的事件)、Correlation Hint (傳輸事件)、SQM (服務品質機制事件)、WDI Context (Windows 診斷基礎設施內容事件)，以及 WDI Diag (Windows 診斷基礎設施診斷事件)。 |
| EventData | 物件清單 | 與日誌事件相關的選用提供者限定額外資料。只有在 IncludeEventData 鍵/值對的值為 "true" 時，才會包含此項目。 |
以下是轉換成 JSON 的範例事件：
```
{[
"EventId": 7036,
"Description": "The Amazon SSM Agent service entered the stopped state.",
"LevelDisplayName": "Informational",
"LogName": "System",
"MachineName": "mymachine.mycompany.com",
"ProviderName": "Service Control Manager",
"TimeCreated": "2017-10-04T16:42:53.8921205Z",
"Index": 462335,
"UserName": null,
"Keywords": "Classic",
"EventData": [
"Amazon SSM Agent",
"stopped",
"rPctBAMZFhYubF8zVLcrBd3bTTcNzHvY5Jc2Br0aMrxxx=="
]}
```
## 動態指標視窗選取來源組態
`WindowsEventLogPollingSource`會使用輪詢型機制，從事件記錄檔中收集符合設定參數的所有新事件。輪詢間隔會在 100 毫秒到 5000 毫秒之間動態更新，視上次輪詢期間收集的事件數目而定。以下是範例 `WindowsEventLogPollingSource` 宣告：
```
{
"Id": "MySecurityLog",
"SourceType": "WindowsEventLogPollingSource",
"LogName": "Security",
"IncludeEventData": "true",
"Query": "",
"CustomFilters": "ExcludeOwnSecurityEvents"
}
```
所有 `WindowsEventLogPollingSource` 宣告都可提供下列鍵/值對：
`SourceType`
必須是常值字串 `"WindowsEventLogPollingSource"` (必要)。
`LogName`
指定記錄。有效選項為：`Application`、`Security`、`System`或其他有效的記錄檔。
`IncludeEventData`
選用。時機`true`，指定包含以 JSON 和 XML 形式串流處理時的額外 EventData。預設為 `false`。
`Query`
選用。Windows 事件記錄檔支援使用 XPath 運算式查詢事件，您可以使用`Query`。如需詳細資訊，請參閱「」[事件查詢和事件 XML](https://docs.microsoft.com/en-us/previous-versions/bb399427(v=vs.90))在微軟文檔中。
`CustomFilters`
選用。以分號分隔的篩選器清單 (`;`。您可以指定以下篩選條件。
`ExcludeOwnSecurityEvents`
排除由 Kinesis 代理程式針對 Windows 本身產生的安全性事件。
## WindowsETWEventSource 組態
`WindowsETWEventSource` 類型會使用名為 Windows 事件追蹤 (ETW) 的功能，用來收集應用程式和服務事件追蹤。如需詳細資訊，請參閱 Windows 文件中的 [Event Tracing](https://docs.microsoft.com/en-us/windows/desktop/etw/event-tracing-portal)。
以下是範例 `WindowsETWEventSource` 宣告：
```
{
"Id": "ClrETWEventSource",
"SourceType": "WindowsETWEventSource",
"ProviderName": "Microsoft-Windows-DotNETRuntime",
"TraceLevel": "Verbose",
"MatchAnyKeyword": 32768
}
```
所有 `WindowsETWEventSource` 宣告都可提供下列鍵/值對：
`SourceType`
必須是常值字串 `"WindowsETWEventSource"` (必要)。
`ProviderName`
指定要用來收集追蹤事件的事件提供者。此項目必須是已安裝提供者的有效 ETW 提供者名稱。若要判斷已安裝哪些提供者，請在 Windows 命令提示視窗中執行以下內容：
```
logman query providers
```
`TraceLevel`
指定應收集的追蹤事件類別。允許值包含 `Critical`、`Error`、`Warning`、`Informational` 及 `Verbose`。明確的意義取決於所選取的 ETW 提供者。
`MatchAnyKeyword`
此值是 64 位元的數字，其中每個位元都代表一個個別關鍵字。每個關鍵字都描述了要收集事件類別。如需了解支援的關鍵字及其值，以及他們與 `TraceLevel` 相關的方式，請參閱該提供者的文件。例如，如需 CLR ETW 提供者的資訊，請參閱 Microsoft .NET Framework 文件中的 [CLR ETW Keywords and Levels](https://docs.microsoft.com/en-us/dotnet/framework/performance/clr-etw-keywords-and-levels)。
在先前的範例中，32768 (0x00008000) 代表 CLR ETW 提供者的 `ExceptionKeyword`，指示提供者收集拋出的異常相關資訊。雖然 JSON 並不原生支援十六進位常數，您可以藉由將他們置放在字串內，來為 `MatchAnyKeyword` 指定他們。您也可以指定數個常數，並以逗號分隔。例如，使用以下內容來指定 `ExceptionKeyword` 和 `SecurityKeyword` (0x00000400)：
```
{
"Id": "MyClrETWEventSource",
"SourceType": "WindowsETWEventSource",
"ProviderName": "Microsoft-Windows-DotNETRuntime",
"TraceLevel": "Verbose",
"MatchAnyKeyword": "0x00008000, 0x00000400"
}
```
為了確保為提供者啟用所有指定的關鍵字，多個關鍵字值會使用 OR 合併，並傳遞給該提供者。
來自 `WindowsETWEventSource` 的輸出包含每個事件的以下資訊：
| 屬性 | 類型 | 描述 |
| --- | --- | --- |
| EventName | 字串 | 發生的事件種類。 |
| ProviderName | 字串 | 偵測到事件的提供者。 |
| FormattedMessage | 字串 | 事件的文字摘要。 |
| ProcessID | Int | 報告事件的程序。 |
| ExecutingThreadID | Int | 程序中報告事件的執行緒。 |
| MachineName | 字串 | 報告事件的桌面平台或伺服器名稱。 |
| Payload | Hashtable | 包含字串鍵及任何物件類型做為值的資料表。鍵是承載項目名稱，值則是承載項目的值。承載會取決於提供者。 |
以下是轉換成 JSON 的範例事件：
```
{
"EventName": "Exception/Start",
"ProviderName": "Microsoft-Windows-DotNETRuntime",
"FormattedMessage": "ExceptionType=System.Exception;\r\nExceptionMessage=Intentionally unhandled exception.;\r\nExceptionEIP=0x2ab0499;\r\nExceptionHRESULT=-2,146,233,088;\r\nExceptionFlags=CLSCompliant;\r\nClrInstanceID=9 ",
"ProcessID": 3328,
"ExecutingThreadID": 6172,
"MachineName": "MyHost.MyCompany.com",
"Payload":
{
"ExceptionType": "System.Exception",
"ExceptionMessage": "Intentionally unhandled exception.",
"ExceptionEIP": 44762265,
"ExceptionHRESULT": -2146233088,
"ExceptionFlags": 16,
"ClrInstanceID": 9
}
}
```
## WindowsPerformanceCounterSource 組態
`WindowsPerformanceCounterSource` 類型會從 Windows 收集效能計數器指標。以下是範例 `WindowsPerformanceCounterSource` 宣告：
```
{
"Id": "MyPerformanceCounter",
"SourceType": "WindowsPerformanceCounterSource",
"Categories": [{
"Category": "Server",
"Counters": ["Files Open", "Logon Total", "Logon/sec", "Pool Nonpaged Bytes"]
},
{
"Category": "System",
"Counters": ["Processes", "Processor Queue Length", "System Up Time"]
},
{
"Category": "LogicalDisk",
"Instances": "*",
"Counters": [
"% Free Space", "Avg. Disk Queue Length",
{
"Counter": "Disk Reads/sec",
"Unit": "Count/Second"
},
"Disk Writes/sec"
]
},
{
"Category": "Network Adapter",
"Instances": "^Local Area Connection\* \d$",
"Counters": ["Bytes Received/sec", "Bytes Sent/sec"]
}
]
}
```
所有 `WindowsPerformanceCounterSource` 宣告都可提供下列鍵/值對：
`SourceType`
必須是常值字串 `"WindowsPerformanceCounterSource"` (必要)。
`Categories`
指定要從 Windows 收集的一組效能計數器指標群組。每個指標群組都包含下列鍵/值對：
`Category`
指定要收集的計數器指標組 (必要)。
`Instances`
當每個物件都具有一組唯一的效能計數器時，指定您感興趣的物件組。例如，當類別是 `LogicalDisk` 時，每個磁碟機都會有一組效能計數器。這個鍵/值對是選用的。您可以使用萬用字元 `*` 和 `?` 來比對多個執行個體。若要彙整所有執行個體的值，請指定 `_Total`。
您也可以使用`InstanceRegex`，它接受包含`*`萬用字元做為執行個體名稱的一部分。
`Counters`
指定要為指定類別收集何種指標。這個鍵/值對是必要的。您可以使用萬用字元 `*` 和 `?` 來比對多個計數器。您可以只使用名稱指定 `Counters`，或是使用名稱和單位。若沒有指定計數器單位，Windows 版 Kinesis Agent 會嘗試從名稱推斷單位。若這些推斷不正確，則可以明確指定單位。若您希望的話，您可以變更 `Counter` 名稱。計數器更複雜的表示是使用下列鍵/值對的物件：
`Counter`
計數器的名稱。這個鍵/值對是必要的。
`Rename`
向接收呈現的計數器名稱。這個鍵/值對是選用的。
`Unit`
與計數器關聯值的意涵。有效單位名稱的完整清單，請參閱[MetricDatum](https://docs.aws.amazon.com/AmazonCloudWatch/latest/APIReference/API_MetricDatum.html)中的*Amazon CloudWatch API 參考*。
以下是複雜計數器規格的範例：
```
{
"Counter": "Disk Reads/sec,
"Rename": "Disk Reads per second",
"Unit": "Count/Second"
}
```
`WindowsPerformanceCounterSource`只能搭配指定 Amazon CloudWatch 接收的管道使用。如果 Windows 內建指標的 Kinesis 代理程式也會串流至 CloudWatch，請使用不同的接收。在服務啟動後檢查 Kinesis 代理程式的 Windows 日誌，判斷已為計數器推斷何種單位，當尚未在`WindowsPerformanceCounterSource`宣告。使用 PowerShell 來判斷類別、執行個體和計數器的有效名稱。
若要查看所有類別的資訊 (包含與計數器組相關聯的計數器)，請在 PowerShell 視窗中執行此命令：
```
Get-Counter -ListSet * | Sort-Object
```
若要判斷計數器組中每個計數器有哪些可用的執行個體，請在 PowerShell 視窗中執行與以下範例相似的命令：
```
Get-Counter -Counter "\Process(*)\% Processor Time"
```
`Counter` 參數的值應為先前 `Get-Counter -ListSet` 命令呼叫所列出 `PathsWithInstances` 成員中的其中一個路徑。
## Windows 內建指標來源適用的 Kinesis 代理程式
除了一般度量來源 (例如`WindowsPerformanceCounterSource`類型 (請參閱[WindowsPerformanceCounterSource 組態](#performance-counter-source-configuration))，CloudWatch 接收類型可以接收來自特殊來源的指標，而這種特殊來源會收集適用 Kinesis Windows 本身的相關指標。適用於 Windows 的 Kinesis 代理程式指標也可於`KinesisTap`類別的 Windows 效能計數器。
所以此`MetricsFilter`CloudWatch 接收宣告會指標要從內建的 Kinesis 代理程式 (適用於 Windows 指標來源的內建 Kinesis 代理程式) 串流至 CloudWatch 的指標。其值是一個字串，包含一或多個以分號分隔的篩選條件表達式；例如：
`"MetricsFilter": "`*FilterExpression1*`;`*FilterExpression2*`"`
符合一或多個篩選條件表達式的指標會串流至 CloudWatch。
單一執行個體指標的本質是全域的，而不會繫結於特定來源或接收。多個執行個體指標則會根據來源或接收宣告 `Id`，以維度的方式呈現。每個來源或接收類型都可以有不同的指標組。
如需 Windows 指標名稱的內建 Kinesis 代理程式清單，請參閱[適用於視窗度量的 Kinesis 代理程式清單](#kinesis-agent-metric-list)。
針對單一執行個體指標，篩選條件表達式是指標的名稱；例如：
```
"MetricsFilter": "SourcesFailedToStart;SinksFailedToStart"
```
針對多個執行個體指標，篩選條件表達式是指標的名稱，一個句號 (`.`)，然後是產生該指標來源或接收宣告的 `Id`。例如，假設有一個具備 `MyFirehose` `Id` 的接收宣告：
```
"MetricsFilter": "KinesisFirehoseRecordsFailedNonrecoverable.MyFirehose"
```
您可以使用旨在區分單一及多個執行個體指標的特殊萬用字元模式。
+ 星號 (`*`) 會比對零或多個字元 (句號 (`.`) 除外)。
+ 問號 (`?`) 則會比對一個字元 (句號除外)。
+ 任何其他字元都只會與自身比對。
+ `_Total` 是一種特殊字符，會彙整各維度間所有相符的多個執行個體值。
以下範例會比對所有單一執行個體指標：
```
"MetricsFilter": "*"
```
因為星號不會比對句號字元，因此只會包含單一執行個體指標。
以下範例會比對所有多個執行個體指標：
```
"MetricsFilter": "*.*"
```
以下範例會比對所有指標 (單一及多個)：
```
"MetricsFilter": "*;*.*"
```
以下範例會彙整所有來源及接收的所有多個執行個體指標：
```
"MetricsFilter": "*._Total"
```
以下範例會彙整所有 Kinesis Data Firehose 接收的所有 Kinesis 資料火管指標：
```
"MetricsFilter": "*Firehose*._Total"
```
以下範例會比對所有單一及多個執行個體錯誤指標：
```
"MetricsFilter": "*Failed*;*Error*.*;*Failed*.*"
```
以下範例會比對彙整自所有來源及接收的所有不可復原錯誤指標：
```
"MetricsFilter": "*Nonrecoverable*._Total"
```
如需如何指定使用適用於 Windows 內建指標來源的 Kinesis 代理程式管道的資訊，請參閱[設定 Windows 度量管道的 Kinesis 代理程式](pipe-object-declarations.md#kinesis-agent-metric-pipe-configuration)。
## 適用於視窗度量的 Kinesis 代理程式清單
以下是適用於 Windows 專用 Kinesis 代理程式可用的單一執行個體及多個執行個體指標清單。
### 單一執行個體指標
以下是可用的單一執行個體指標：
`KinesisTapBuildNumber`
適用於視窗的 Kinesis 代理程式版本號碼。
`PipesConnected`
有多少管道已將他們的來源成功連線至其接收。
`PipesFailedToConnect`
有多少管道將他們的來源連線至其接收失敗。
`SinkFactoriesFailedToLoad`
有多少接收類型並未成功載入至 Windows 的 Kinesis 代理程式。
`SinkFactoriesLoaded`
有多少接收類型已成功載入至 Windows 的 Kinesis 代理程式。
`SinksFailedToStart`
有多少接收並未成功開始 (通常是因為不正確的接收宣告)。
`SinksStarted`
有多少接收已成功開始。
`SourcesFailedToStart`
有多少來源並未成功開始 (通常是因為不正確的來源宣告)。
`SourcesStarted`
有多少來源已成功開始。
`SourceFactoriesFailedToLoad`
有多少來源類型並未成功載入 Windows 專用 Kinesis 代理程式。
`SourceFactoriesLoaded`
在 Windows 專用 Kinesis 代理程式中，成功載入了多少來源類型。
### 多個執行個體指標
以下是可用的多個執行個體指標：
#### DirectorySource 指標
`DirectorySourceBytesRead`
此 `DirectorySource` 的間隔期間讀取了多少位元組。
`DirectorySourceBytesToRead`
Windows 適用的 Kinesis 代理程式尚未由 Windows 專用的 Kinesis 代理程式讀取了多久已知位元組數。
`DirectorySourceFilesToProcess`
要檢查的已知檔案有多少，但尚未由 Kinesis 代理程式檢查。
`DirectorySourceRecordsRead`
此 `DirectorySource` 的間隔期間已讀取了多少記錄。
#### WindowsEventLogSource 指標
`EventLogSourceEventsError`
有多少 Windows 事件日誌事件並未成功讀取。
`EventLogSourceEventsRead`
有多少 Windows 事件日誌事件已成功讀取。
#### KinesisFirehose 接收指標
`KinesisFirehoseBytesAccepted`
間隔期間已接受了多少位元組。
`KinesisFirehoseClientLatency`
記錄產生與記錄串流至 Kinesis Data Firehose 服務之間經過了多久時間。
`KinesisFirehoseLatency`
Kinesis Data Firehose 服務記錄串流的開始與結束之間經過了多久時間。
`KinesisFirehoseNonrecoverableServiceErrors`
即使經過了重試，記錄仍無法在不出現錯誤的情況下傳送至 Kinesis Data Firehose 服務的次數。
`KinesisFirehoseRecordsAttempted`
嘗試串流至 Kinesis Data Firehose 服務的記錄數。
`KinesisFirehoseRecordsFailedNonrecoverable`
即使經過了重試，仍無法成功串流至 Kinesis Data Firehose 服務的記錄數。
`KinesisFirehoseRecordsFailedRecoverable`
經過重試之後，成功串流至 Kinesis Data Firehose 服務的記錄數。
`KinesisFirehoseRecordsSuccess`
在不進行重試的情況下，成功串流至 Kinesis Data Firehose 服務的記錄數。
`KinesisFirehoseRecoverableServiceErrors`
經過重試之後，記錄成功傳送至 Kinesis Data Firehose 服務的次數。
#### KinesisStream 指標
`KinesisStreamBytesAccepted`
間隔期間已接受了多少位元組。
`KinesisStreamClientLatency`
記錄產生與記錄串流至 Kinesis Data Streams 服務之間經過了多久時間。
`KinesisStreamLatency`
Kinesis Data Streams 服務記錄串流的開始與結束之間經過了多久時間。
`KinesisStreamNonrecoverableServiceErrors`
即使經過了重試，記錄仍無法在不出現錯誤的情況下傳送至 Kinesis Data Streams 服務的次數。
`KinesisStreamRecordsAttempted`
嘗試串流至 Kinesis Data Streams 服務的記錄數。
`KinesisStreamRecordsFailedNonrecoverable`
即使經過了重試，仍無法成功串流至 Kinesis Data Streams 服務的記錄數。
`KinesisStreamRecordsFailedRecoverable`
經過重試之後，成功串流至 Kinesis Data Streams 服務的記錄數。
`KinesisStreamRecordsSuccess`
在不進行重試的情況下，成功串流至 Kinesis Data Streams 服務的記錄數。
`KinesisStreamRecoverableServiceErrors`
經過重試之後，記錄成功傳送至 Kinesis Data Streams 服務的次數。
#### CloudWatchLog 指標
`CloudWatchLogBytesAccepted`
間隔期間已接受了多少位元組。
`CloudWatchLogClientLatency`
記錄產生與記錄串流至 CloudWatch Logs 服務之間經過了多久時間。
`CloudWatchLogLatency`
CloudWatch Logs 服務記錄串流的開始與結束之間經過了多久時間。
`CloudWatchLogNonrecoverableServiceErrors`
即使經過了重試，記錄仍無法在不出現錯誤的情況下傳送至 CloudWatch Logs 服務的次數。
`CloudWatchLogRecordsAttempted`
嘗試串流至 CloudWatch 服務的記錄數。
`CloudWatchLogRecordsFailedNonrecoverable`
即使經過了重試，仍無法成功串流至 CloudWatch Logs 服務的記錄數。
`CloudWatchLogRecordsFailedRecoverable`
經過重試之後，成功串流至 CloudWatch 服務的記錄數。
`CloudWatchLogRecordsSuccess`
在不進行重試的情況下，成功串流至 CloudWatch Logs 服務的記錄數。
`CloudWatchLogRecoverableServiceErrors`
經過重試之後，記錄成功傳送至 CloudWatch Logs 服務的次數。
#### CloudWatch Metrics
`CloudWatchLatency`
CloudWatch 服務指標串流的開始與結束之間平均經過了多久時間。
`CloudWatchNonrecoverableServiceErrors`
即使經過了重試，指標仍無法在不出現錯誤的情況下傳送至 CloudWatch 服務的次數。
`CloudWatchRecoverableServiceErrors`
指標在不出現錯誤的情況下傳送至 CloudWatch 服務的次數。
`CloudWatchServiceSuccess`
不進行重試，指標在不出現錯誤的情況下傳送至 CloudWatch 服務的次數。
## 書籤組態
根據預設，Windows 的 Kinesis 代理程式會將日誌記錄傳送至代理程式啟動後建立的接收。有時候傳送較早的日誌記錄會很有用，例如：在自動更新期間停止時所建立的日誌記錄。書籤功能會追蹤已傳送至接收的記錄。當 Windows 適用的 Kinesis 代理程式處於書籤模式並啟動時，它會將所有在 Windows 適用的 Kinesis 代理程式停止之後建立的日誌記錄，與任何之後建立的日誌記錄一同傳送。若要控制此行為，檔案類型來源宣告可以選擇性的包含下列鍵/值對：
`InitialPosition`
指定書籤的初始狀態。可能的值如下：
`EOS`
指定串流結束 (EOS)。只有在代理程式執行中時建立的日誌記錄，才會傳送至接收。
`0`
所有可用的日誌記錄及事件都會在初始時傳送。之後便會建立書籤，確保每個新的日誌記錄及在書籤建立後建立的事件最後都會傳送，無論 Kinesis 否在執行中。
`Bookmark`
書籤會在最新的日誌記錄或事件之後初始化。之後便會建立書籤，確保每個新的日誌記錄及在書籤建立後建立的事件最後都會傳送，無論 Kinesis 否在執行中。
書籤預設為皆啟用。檔案儲存在`%ProgramData%\Amazon\KinesisTap`目錄。
`Timestamp`
傳送 `InitialPositionTimestamp` 值 (定義如下) 之後建立的日誌記錄和事件。之後便會建立書籤，確保每個新的日誌記錄及在書籤建立後建立的事件最後都會傳送，無論 Kinesis 否在執行中。
`InitialPositionTimestamp`
指定您希望的最早日誌記錄或事件時間戳記。請只在 `InitialPosition` 具有 `Timestamp` 值時才指定此鍵/值對。
`BookmarkOnBufferFlush`
此設定可新增至任何可收藏的來源。當設定為`true`，可確保書籤更新只有在接收器成功將事件傳送到 AWS 時才會進行。您只能將單一接收器訂閱至來源。如果您要將記錄傳送至多個目的地，請複製來源，以避免資料遺失的潛在問題。
若 Windows 版 Kinesis Agent 已停止很長一段時間，您可能需要刪除那些書籤，因為已標記為書籤的日誌記錄及事件可能已不存在。指定 *source id* 的書籤檔案位於 `%PROGRAMDATA%\Amazon\AWSKinesisTap\source id.bm` 中。
書籤無法在重新命名或截斷的檔案上運作。因為 ETW 事件及效能計數器的特性，他們無法標記為書籤。