CloudWatch Insights 语法 - Sum() 字节

Question

我正在尝试使用 CW Insights 查看 VPC 流日志，但对如何使用 sum() stats 函数感到困惑，而且文档非常简单。在下面的示例中，我限制了我的字段并仅过滤到端口 22 的流量——这很好用。

但是，我想对每个 interfaceId 的字节求和，下面的查询不返回任何内容。阅读文档后，我没有找到语法解释，并感谢帮助。

fields @timestamp,srcAddr,dstAddr,srcPort,dstPort,bytes, interfaceId
| filter dstPort = 22
| sum(bytes) by interfaceId

Answer 1

sum(), avg(), count(),min()和max()需要在stats它们前面的查询命令。

尝试这个：

fields @timestamp,srcAddr,dstAddr,srcPort,dstPort,bytes, interfaceId
| filter dstPort = 22
| stats sum(bytes) by interfaceId

文档和示例查询