Sự khác biệt giữa lệnh hiển thị và trường trong cú pháp truy vấn CloudWatch Logs Insights

Đâu là sự khác biệt giữa trưng bày và lĩnh vực trong cú pháp truy vấn CloudWatch Logs Insights?

Đây là những mô tả từ tài liệu AWS trông rất giống tôi:

trưng bày: Chỉ định trường nào sẽ hiển thị trong kết quả truy vấn.

lĩnh vực: Truy xuất các trường được chỉ định từ các sự kiện nhật ký để hiển thị.

Ví dụ: tôi có nhật ký được lưu trữ trong Cloudwatch theo cấu trúc này (với các trường sau):

• dấu thời gian @
• @thông điệp
• dòng (tiêu chuẩn|tiêu chuẩn)
• kubernetes.namespace_name
• ...

Dưới đây là ví dụ về các truy vấn hợp lệ làm tôi bối rối:

1. Tôi có thể hiển thị bất kỳ trường không truy xuất nào:

giới hạn 8
| hiển thị @message, luồng

2. Tôi có thể hiển thị một trường ngay cả khi tôi chưa chỉ định trường đó trong lĩnh vực.

các trường @message, luồng
| giới hạn 8
| hiển thị @message, luồng, kubernetes.namespace_name

3. Không thành vấn đề nếu tôi chỉ định một trường trong lĩnh vực khi phân tích cú pháp:

trường @message
| phân tích cú pháp @message "[*] *" thành loggingType, loggingMessage
| hiển thị nhật ký tin nhắn

phân tích cú pháp @message "[*] *" thành loggingType, loggingMessage
| hiển thị nhật ký tin nhắn

Ý nghĩa của từ này là gì lĩnh vực chỉ thị? Sẽ không đủ nếu chỉ sử dụng trưng bày?

Bằng cách đọc tài liệu của tôi, lĩnh vực sẽ được sử dụng trong quá trình truy vấn và trưng bày chỉ để trình bày ở phần cuối. trưng bày cũng chỉ có hiệu lực một lần (lần gọi cuối cùng được sử dụng).

Ý tôi là trong ví dụ:

các trường concat(Operation, '-', StatusCode) dưới dạng opStatus

Tôi không nghĩ rằng bạn có thể sử dụng trưng bày để làm điều tương tự.

Bạn có thể muốn thu thập nhiều trường để tính giá trị (sử dụng lĩnh vực) hoặc lọc một số trường để tăng tốc, nhưng chỉ hiển thị kết quả cuối cùng ở cuối.