日志见解查询 - 通过数据透视进行分组

Question

我有一个 CloudWatch 日志流，其中包含如下所示的结构化记录：

type	env
type1	dev
type1	prod
type2	dev

我想通过 env 查询每种类型的计数（以绘制它们的图表）

相当于以下 SQL 语句：

SELECT 
   SUM(CASE WHEN env = 'dev' THEN 1 ELSE 0 END) AS dev, 
   SUM(CASE WHEN env = 'prod' THEN 1 ELSE 0 END) AS prod 
FROM TABLE 
GROUP BY type

I已经编写了以下查询：

fields @timestamp, record.type as type, record.env as env
| stats count(env="dev") as dev, count(env="prod") as prod by type

期望得到以下结果：

type	dev	prod
type1	1	1
type2	1	0

但不幸的是，无论应用内部的过滤器如何，我都会得到相同的两列计数count() 如下：

如何实现我需要的输出

注意

我可以执行以下查询来获取按每个 env：

fields @timestamp, record.type as type, record.env as env
| stats count(*) by type, env

我会得到：

类型	env	count()
type1	dev	1
type1	prod	1
type2	dev	1

但我需要旋转版本

Answer 1

对于这样一个简单的情况，即

• 仅需要 count 或 sum(field)
• 时且选项数量有限（例如 dev、beta、 gamma,prod)

你可以执行以下

fields record.type as type, record.docsCount as docsCount
| fields (record.env="dev") as IsDev, (record.env="prod") as isProd
| stats 
   sum(isDev) as devEntries, 
   sum(isDev * docsCount) as devDocsCount,
   sum(isProd) as prodEntries, 
   sum(isProd * docsCount) as prodDocsCount 
  by type

操作 注意，上面的方法不适用于需要诸如 avg、stddev 等统计数据的情况。

avg(isDev * docsCount ) 将为prod 行，这些零将影响输出。