使用 Athena 分析 ELB 访问日志：配置与查询示例
内容提要
本文介绍了使用ELB访问日志功能和Athena创建数据库和表格来分析应用程序行为。通过每日分区和SQL查询，可以快速解决问题。还提供了常用的查询示例。
延伸解读
分区投影：简化日志管理的关键
文章使用分区投影（partition projection）为每日分区自动生成分区，无需手动添加。这提高了查询性能，并确保新日志自动纳入表格。配置中指定了分区范围从2022/01/01到当前时间，间隔为1天。这种方法减少了维护成本，特别适合持续产生的访问日志。
常用故障排查查询示例
文章提供了多个SQL查询示例，用于快速分析问题。例如，查找最常访问的端点、平均响应时间最长的端点、按小时统计请求数量、分析异常状态码以及按客户端IP分析请求。这些查询可直接在Athena中运行，帮助定位性能瓶颈或异常行为。
配置注意事项与潜在调整点
创建表格时，需要替换SQL中的占位符，如正则表达式、S3存储桶路径、账户号和区域。此外，时间字段的解析格式需与日志实际格式匹配。文章未提供具体的正则表达式，用户需根据ALB日志格式自行编写。这些细节影响查询能否正确执行。
Q&A
如何启用ELB的访问日志功能？
可以通过AWS管理控制台或Terraform启用ELB的访问日志功能，以便快速分析应用程序行为。
Athena中如何创建用于ELB访问日志的数据库？
在Athena查询编辑器中执行SQL命令：CREATE DATABASE IF NOT EXISTS production_logs。
创建ELB访问日志表时需要哪些字段？
需要的字段包括请求URL、响应处理时间、客户端IP等，且表格按天分区。
如何使用Athena分析最常访问的端点？
可以使用查询：SELECT request_url, COUNT(*) AS request_count FROM alb_access_logs GROUP BY request_url ORDER BY request_count DESC LIMIT 100。
Athena中如何按小时统计请求数量？
使用查询：SELECT date_trunc('hour', parse_datetime(time, 'yyyy-MM-dd '' T '' HH:mm:ss.SSSSSSZ')) AS hour, COUNT(*) AS request_count FROM alb_access_logs GROUP BY hour ORDER BY hour。
如何分析异常状态码？
可以使用查询：SELECT elb_status_code, COUNT(*) AS status_count FROM alb_access_logs GROUP BY elb_status_code ORDER BY status_count DESC。
