AWS CloudWatch Logs Insights查询无数据但日志流有日志如何排查

按以下优先级逐一排查，90%以上的同类问题都能定位：

• 确认日志组选择准确
  检查Logs Insights页面顶部的日志组下拉选择框，确认选中的就是你能看到对应日志流的目标日志组，不要误选带测试、旧版本后缀的同名日志组，也不要同时勾选多个无关日志组做查询。
• 等待日志索引同步完成
  日志流页面能看到实时上报的日志，不代表日志已经完成Insights的索引构建：新写入日志的索引延迟通常在10秒到5分钟不等，刚完成上报配置、刚写入的日志不要立刻跑查询，等待5分钟后再执行检索。
• 用最小查询语句验证基础检索能力
  不要一开始就加复杂过滤条件，先跑最基础的全量查询排除语句错误问题：

  fields @timestamp, @message
  | sort @timestamp desc
  | limit 20
  

  如果这条语句仍无返回，优先检查CloudWatch Agent配置：
  • 核对配置中timestamp_format字段的格式规则，是否和实际日志输出的时间戳格式完全匹配。如果配置要求的时间格式和日志实际输出不一致，会出现日志能写入流但无法被Insights解析索引的问题。
  • 检查Agent是否配置了强制JSON解析规则，若上报的非JSON格式日志被强制要求按JSON解析，也会导致索引失败。
• 核对时间范围与时区匹配性
  不要直接用“最近1小时”“最近30分钟”这类快捷时间选项：Logs Insights的时间筛选默认跟随控制台本地时区，如果EC2实例上报日志用UTC时间、本地时区和UTC存在时差，很容易出现筛选的时间窗口没有覆盖到实际日志写入时段的问题。手动把时间范围拉大到日志实际写入时间点的前后2小时区间再尝试查询。
• 检查日志组配置拦截规则
  • 进入日志组详情页查看订阅过滤器配置，如果之前配置过日志投递到Lambda、S3、OpenSearch等服务的规则，确认规则没有设置为匹配全部日志后阻断Insights索引同步。
  • 查看日志组的资源权限策略，确认没有拒绝logs:FilterLogEvents接口调用的策略语句，Logs Insights的检索能力本质依赖该接口拉取索引后的日志数据。
• 确认日志存储类兼容性
  如果日志组配置的是低频存储类，Logs Insights不支持直接检索该存储类的日志，需要先将日志导出到标准存储类后才能查询。如果是VPC流日志、CloudTrail日志这类AWS服务自动生成的日志组，优先核对存储类配置。

内容的提问来源于stack exchange，提问作者tbere