aws-investigation

AWS 调查

调查旨在回答有关 AWS 账户正在执行什么操作的问题，答案中的每项主张都必须来自你实际读取的内容：已部署的制品、服务自身的日志记录或查询结果。根据名称、描述、最新存储版本或某个服务对另一个服务的看法进行推断，只能作为线索，不能作为证据。

选择参考文档

开始前，请阅读与问题相符的参考文档；大多数调查都需要阅读不止一份。

问题涉及	阅读
已部署系统当前的行为、服务内容或执行内容：实时配置、功能标志、参数、正在运行的代码、复现代码路径中的查询，或被阻断的首个数据路由	references/deployed-artifacts.md
跨越多个服务的请求、警报或事件：追踪单个请求、统计失败请求、判断事件丢失的位置	references/multi-service-logs.md
账户数据中的事实：查找数据存储位置、精确计数和分类、筛选、联接或导出记录、失败或未匹配记录背后的规则	references/data-investigation.md
某项发现是否完整，以及根因是否成立：搜索所有区域和范围、统计前完成分页、日期范围的覆盖情况、单个实体与整个受影响群体的区别、根因是否一致、运行手册能否解决根因、回答用户本人的问题	references/completeness-and-root-cause.md

每项调查都必须遵守的规则

1. 先探索，再放弃。 假设凭证所指向的环境就是预期环境。将不熟悉的术语或内部术语（服务昵称、PDX = us-west-2、IAD = us-east-1 之类的机场代码区域）视为搜索线索：在可能相关的区域列出资源、日志组和数据存储，并在请求中搜索标识符，然后再说某件事无法完成。
2. 区分证据与推断。 为每项主张保留简短的来源说明（主张 <- 制品、记录或查询）。将所有未实际读取的内容标记为假设或 UNVERIFIED，并注明尝试过的查询途径。
3. 精确计数。 使用在引擎中运行的聚合查询，范围严格限定为所询问的内容，并分别报告唯一实体数和原始记录数。
4. 引用原文，不要转述。 按照来源中的原样提供标识符、字段值、错误代码和消息，包括 null 和空值。
5. 完成任务。 生成所有请求的制品（文件、表格、计划），并在最终答案中说明所做的假设。

结束前检查清单

提交分析前：

1. 你是否搜索了所有相关区域和范围？
2. 你是否已翻完所有结果，并说明请求范围中的哪部分有数据？
3. 你是否核实了故障范围（特定实体还是整个机群、整个受影响群体）？
4. 你的根因是否符合找到的所有事实？
5. 你是否将所有无法确认的机制标记为未验证，并且只有在缺失组件本应存在时才将其报告为缺陷？
6. 你关于实时配置的主张是否来自已部署的制品，而非最新存储版本（deployed-artifacts.md）？
7. 对于跨越多个服务的请求，你是否读取了每个服务自身的日志，并按事件确定故障边界（multi-service-logs.md）？
8. 你是否直接回答了用户的具体问题？
9. 完成前，你是否对照收集到的每项证据重新检查了结论，并删除了任何与证据矛盾的陈述？
10. 你是否消除了发现与建议之间的矛盾，并根据已确认的根因检查了每种运行手册方案？