Lorsque vous devez interroger un champ de journal non indexé ou lorsque la valeur indexée est tronquée, la requête par balayage vous permet de rechercher directement dans les données brutes des journaux, sans configuration d'index.
Fonctionnement
Simple Log Service prend en charge deux modes d'interrogation :
Requête basée sur l'index : les requêtes s'exécutent sur des index de champs préconstruits. Cette méthode est rapide et rentable pour les champs que vous interrogez régulièrement.
Requête par balayage : les requêtes analysent directement les données brutes des journaux au moment de l'exécution. Aucun index n'est requis, car le balayage lit le contenu réel du journal.
Ces deux modes sont complémentaires. Privilégiez la requête basée sur l'index pour les champs fréquemment consultés où la vitesse est cruciale, et optez pour la requête par balayage lorsque l'indexation s'avère peu pratique ou trop coûteuse.
Coûts réduits : aucun index n'est nécessaire et vous n'êtes pas facturé pour le trafic ou le stockage des index.
Mise en œuvre flexible : spécifiez les types de champs selon vos besoins métier, indépendamment de la création d'index ou de la définition de leurs types.
Capacités de recherche optimisées : ce mode prend en charge davantage de fonctions que la requête basée sur l'index.
Quand utiliser la requête par balayage
La requête par balayage répond à des scénarios que la requête basée sur l'index ne peut pas gérer :
Interrogation de journaux historiques non indexés. Si vous avez omis d'indexer un champ pour réduire les coûts, vous pouvez toujours l'interroger à la demande via le balayage, sans avoir à reconstruire l'index.
Valeurs de champ dépassant la limite de longueur d'index. Les index ne couvrent que les valeurs jusqu'à une certaine longueur ; tout ce qui dépasse reste invisible pour la requête basée sur l'index. Le balayage lit la valeur intégrale.
Noms de champs dynamiques ou imprévisibles. Lorsque les noms de champs sont inconnus à l'avance, il est impossible de créer des index préalablement. Le balayage vous permet d'interroger n'importe quel champ au moment de la requête, sans configuration préalable.
Modifications du type de champ. Après un changement de type de champ, l'index existant peut ne plus correspondre au nouveau type. Le balayage contourne l'index et lit directement les données brutes.
Pour plus d'informations sur la fonctionnalité d'analyse par balayage, consultez la rubrique Syntaxe de l'analyse par balayage.
Comparaison entre requête basée sur l'index et requête par balayage
|
Dimension |
Requête basée sur l'index |
Requête par balayage |
|
Configuration des champs |
Index de champ requis |
Aucun index requis |
|
Vitesse d'interrogation |
Rapide (utilise des structures d'index préconstruites) |
Plus lente (analyse les données brutes des journaux au moment de la requête) |
|
Coût |
Frais de trafic et de stockage des index applicables |
Aucun frais de trafic ou de stockage d'index |
|
Meilleur usage |
Interrogations fréquentes sur des champs connus |
Requêtes ponctuelles, champs non indexés, schémas dynamiques |
|
Longueur des valeurs de champ |
Limitée par la longueur de l'index |
Lit la valeur complète, quelle que soit sa longueur |
|
Flexibilité du type de champ |
Contrainte par le type d'index |
Lit les données brutes, indépendamment du type d'index |