Instrucciones SQL en consultas avanzadas de eventos - ActionTrail - Centro de documentación de Alibaba Cloud

En las consultas avanzadas de eventos se utilizan instrucciones SQL para consultar o analizar los eventos que un trail entrega a Simple Log Service.

Importante

Si utiliza cadenas de texto en las instrucciones analíticas, debe encerrarlas entre comillas simples (''). Las cadenas sin comillas o con comillas dobles ("") representan nombres de campos o de columnas. Por ejemplo, 'status' indica la cadena status, mientras que status o "status" indican el campo de registro status.

Ejemplos

Consulta de texto completo

Especifique una palabra clave, como el nombre o el valor de un campo.

Ejemplo: consulte los eventos que contienen la palabra clave DescribeInstances.
```
DescribeInstances 
```
Coincidencia exacta por propiedad

Especifique una propiedad del evento con el formato [Nombre de la propiedad del evento]:[Valor de la propiedad del evento]. Debe indicar el nombre y el valor exactos. Para obtener más información sobre las propiedades de los eventos, consulte Event properties en este tema.

Ejemplo: consulte los eventos donde el valor de event.eventSource es actiontrail.cn-hangzhou.aliyuncs.com.
```
event.eventSource: actiontrail.cn-hangzhou.aliyuncs.com
```
Coincidencia aproximada por atributo

Especifique una propiedad del evento con el formato [Nombre de la propiedad del evento]:[Valor de la propiedad del evento]. El nombre debe ser exacto. En el valor, agregue un asterisco (*) para coincidir con varios caracteres o un signo de interrogación (?) para coincidir con un solo carácter.
- Ejemplo 1: consulte todos los eventos de acceso mediante pares de AccessKey.
```
 event.userIdentity.accessKeyId: *
```
- Ejemplo 2: consulte los eventos donde el valor de event.eventSource comienza con actiontrail.
```
event.eventSource: actiontrail*
```
Consulta con varias condiciones

Utilice paréntesis () y los operadores lógicos AND u OR para ejecutar una consulta con varias condiciones.
- Ejemplo 1: consulte todos los eventos de error en accesos mediante pares de AccessKey.
```
event.errorCode: * AND event.userIdentity.accessKeyId: *
```
- Ejemplo 2: consulte los eventos donde el valor de event.eventName es Create, CreateInstance o RunInstances.
```
 event.eventName: Create  OR event.eventName: CreateInstance  OR event.eventName: RunInstances 
```
- Ejemplo 3: consulte los eventos donde el valor de event.serviceName es kafka y el valor de eventName es Create, CreateInstance o RunInstances.
```
(event.serviceName: AliKafka AND ( event.eventName: Create  OR event.eventName: CreateInstance  OR event.eventName: RunInstances  )
```
Consulta de agregación

La sintaxis de consulta de agregación de Simple Log Service permite generar estadísticas agregadas de los eventos. Por ejemplo, utilice la cláusula GROUP BY para generar estadísticas agregadas de campos específicos.
- Ejemplo 1: consulte la cantidad de eventos agrupados por servicio en la nube.
```
* | SELECT "event.serviceName" AS service, COUNT(*) AS count FROM log GROUP BY "event.serviceName"
```
- Ejemplo 2: consulte la cantidad de eventos agrupados por usuario y servicio en la nube.
```
* | SELECT "event.userIdentity.principalId" AS principalId, "event.serviceName" AS service, COUNT(*) AS count FROM log GROUP BY principalId,service
```

Propiedades de los eventos

A continuación se describen los atributos de eventos compatibles con ActionTrail.

Categoría	Nombre de la propiedad del evento	Descripción
Operador	`event.userIdentity.accountId`	El ID de la cuenta de Alibaba Cloud.
	`event.userIdentity.accessKeyId`	El ID de la clave.
	`event.userIdentity.principalId`	El ID del solicitante.
	`event.userIdentity.type`	El tipo de cuenta.
	`event.userIdentity.userName`	El nombre de usuario.
Acción	`event.serviceName`	El nombre del servicio.
	`event.eventRW`	El tipo de lectura o escritura.
	`event.eventName`	El nombre del evento.
	`event.apiVersion`	La información de la versión.
	`event.errorMessage`	El mensaje de error.
	`event.errorCode`	El código de error.
Recurso asociado	`event.resourceType`	El tipo de recurso.
Recurso asociado	`event.resourceName`	El nombre del recurso.
Ubicación	`event.acsRegion`	La región.
	`event.eventSource`	El origen del evento.
	`event.sourceIpAddress`	La dirección IP de origen.
Otros	`event.requestId`	El ID de la solicitud.
Otros	`event.eventId`	El ID del evento.

Funciones de agregación

A continuación se describen las funciones de agregación compatibles con ActionTrail.

Parámetro	Sintaxis	Descripción	Compatible con SQL	Compatible con SPL
arbitrary function	arbitrary(x)	Devuelve un valor arbitrario distinto de NULL de x.	√	×
avg function	avg(x)	Calcula la media aritmética de x.	√	×
bitwise_and_agg function	bitwise_and_agg(x)	Devuelve el resultado de la operación AND bit a bit de todos los valores de x.	√	×
bitwise_or_agg function	bitwise_or_agg(x)	Devuelve el resultado de la operación OR bit a bit de todos los valores de x.	√	×
bool_and function	bool_and(boolean expression)	Devuelve true si todos los registros cumplen la condición. La función `bool_and` equivale a la función `every`.	√	×
bool_or function	bool_or(boolean expression)	Devuelve true si como mínimo un registro cumple la condición.	√	×
checksum function	checksum(x)	Calcula la suma de comprobación de x.	√	×
count function	count(*)	Devuelve el número total de registros.	√	×
	count(1)	Devuelve el número total de registros; equivale a `count(*)`.	√	×
	count(x)	Devuelve la cantidad de registros cuyo valor de x no es NULL.	√	×
count_if function	count_if(boolean expression)	Devuelve la cantidad de registros que cumplen la condición especificada.	√	×
every function	every(boolean expression)	Devuelve true si todos los registros cumplen la condición. La función `every` equivale a la función `bool_and`.	√	×
geometric_mean function	geometric_mean(x)	Calcula la media geométrica de x.	√	×
kurtosis function	kurtosis(x)	Calcula la curtosis de x.	√	×
map_union function	map_union(x)	Devuelve la unión de los mapas de una columna. Si una clave existe en varios mapas, se elige un valor arbitrario para esa clave.	√	×
max function	max(x)	Devuelve el valor máximo de x.	√	×
max function	max(x, n)	Devuelve, como arreglo, los n valores más grandes de x.	√	×
max_by function	max_by(x, y)	Devuelve el valor de x asociado al valor máximo de y.	√	×
max_by function	max_by(x, y, n)	Devuelve un arreglo con los valores de x correspondientes a los n valores más grandes de y.	√	×
min function	min(x)	Devuelve el valor mínimo de x.	√	×
min function	min(x, n)	Devuelve, como arreglo, los n valores más pequeños de x.	√	×
min_by function	min_by(x, y)	Devuelve el valor de x asociado al valor mínimo de y.	√	×
min_by function	min_by(x, y, n)	Devuelve un arreglo con los valores de x correspondientes a los n valores más pequeños de y.	√	×
skewness function	skewness(x)	Calcula la asimetría de x.	√	×
sum function	sum(x)	Calcula la suma de x.	√	×

Palabras reservadas

El siguiente bloque de código muestra todas las palabras reservadas en las instrucciones SQL:

AND
AS
BETWEEN
BY
CASE
CAST
CROSS
CUBE
CURRENT_DATE
CURRENT_TIME
CURRENT_TIMESTAMP
DISTINCT
ELSE
END
ESCAPE
EXCEPT
EXISTS
FROM
GROUP
GROUPING
HAVING
IN
INNER
INSERT
INTERSECT
INTO
IS
JOIN
LEFT
LIKE
LIMIT
LOCALTIME
LOCALTIMESTAMP
NATURAL
NOT
NULL
ON
OR
ORDER
OUTER
RIGHT
ROLLUP
SELECT
THEN
TRUE
UNION
UNNEST
VALUES
WHEN
WHERE
WITH