AWS Log Insights的parse命令提取字段为空如何解决

• 字段名引用错误：AWS Log Insights 中存储原始日志内容的内置字段为@message，你的查询语句中parse后写的字段名是message，缺失了必填的@前缀，解析引擎无法读取到正确的原始日志内容，自然无法产出解析结果。
• 匹配规则逻辑错误：Log Insights的通配符parse语法默认按全串匹配逻辑执行，如果模式开头没有加*通配符，会要求日志内容从第一个字符开始就和模式对齐。你的日志开头是时间戳、请求ID，并非INFO字符串，即便修正字段名，原有的INFO * - *模式也无法命中日志内容。

将查询语句修改为如下形式即可正常解析：

fields @message
| parse @message "* INFO * - *" as @prefix, class, text

语句说明：

• 修正了parse的目标字段为正确的@message
• 模式开头新增*通配符，匹配INFO之前的时间、请求ID前缀内容，赋值给不需要展示的@prefix字段即可
• 后续两个通配符会分别捕获日志级别后的类名位置、请求路径位置的内容，赋值给class和text字段

如果需要更高的匹配容错性，也可以改用正则解析模式，不需要严格对齐INFO前后的空格、前缀格式：

fields @message
| parse @message /INFO\s+(?<class>\S+)\s+-\s+(?<text>.*)/

内容的提问来源于stack exchange，提问作者Kancha