SLS の検索構文、演算子、およびクエリ例 - Simple Log Service

Simple Log Service (SLS) では、クエリ文を使用してログをフィルターできます。結果は単独で使用することも、分析文の入力として使用することもできます。

前提条件

ログをクエリするには、インデックスを作成する必要があります。

基本構文

説明

SLS Query Skill によるインテリジェントなログクエリと分析：ローカル AI エージェントで自然言語を使用して SLS ログデータをクエリおよび分析します。

クエリ文と分析文は、クエリ文|分析文 の形式で | で区切られます。例：

* | SELECT status, count(*) AS PV GROUP BY status

文の種類

説明

クエリ文

検索条件を指定します：キーワード、数値、数値範囲、スペース、またはアスタリスク (*)。

スペースまたはアスタリスク (*) を指定した場合、フィルターは適用されません。

重要

クエリ文には 30 個以下の条件を指定してください。

分析文

重要

分析文はクエリ文の後に記述する必要があります。FROM 句や WHERE 句は不要です。デフォルトで、SLS は現在の Logstore 内のすべてのデータを分析します。分析文では大文字と小文字は区別されず、オフセットはサポートされず、末尾のセミコロン (;) も不要です。

検索結果またはすべてのデータに対して計算および統計分析を実行します。サポートされている関数と構文：

検索クエリの作成

クエリ文を作成するには：

ステップ 1：検索タイプの選択

重要

結果はインデックス構成によって異なります。全文インデックスとフィールドインデックスの両方が存在する場合、フィールドインデックスが優先されます。

インデックスの種類に応じて、Simple Log Service は Logstore に対して 2 つの検索タイプをサポートしています：全文検索とフィールド指定検索です。

全文インデックスのみを作成した場合、全文検索を使用する必要があります。
フィールドインデックスを作成した場合、次のルールに従います：
- データの型が double または long のフィールドでは、フィールド指定検索の構文を使用する必要があります。
- データの型が text のフィールドの場合：キーワードを含むインデックスフィールドがわかっている場合は、フィールド指定検索の構文を使用します。どのフィールドにキーワードが含まれているかわからない場合は、全文検索の構文を使用します。
  - 全文インデックスを作成しない場合、全文検索構文はインデックス付きのテキストフィールドのみをクエリします。
  - 全文インデックスを作成した場合、全文検索構文はインデックス付きのすべてのテキストフィールドを検索します。

全文検索

全文検索は特定のフィールドを対象としません。ワイルドカード (* および ?) と論理演算子 (and、or、not) をサポートします。

検索構文

 keywords1  [ and | or | not ] keywords2  ...

例

例 1

キーワード GET を含むログを検索します。検索構文：GET。
例 2

キーワード GET または POST を含むログを検索します。検索構文：GET or POST 。
例 3

Joe や Jon など、Jo で始まるキーワードを持つログを検索します。検索構文：Jo*。

フィールド指定検索

フィールド指定検索は、特定のインデックスフィールドを対象とし、数値比較と正規表現マッチングをサポートします。

重要

indexname1 はクエリ対象のフィールド名です。フィールド名やその他の識別子に特殊文字 (スペースや漢字など) や検索キーワード (and や or など) が含まれる場合は、ダブルクォーテーション ("") で囲む必要があります。クエリ文と分析文で引用符を使用する方法をご参照ください。
データの型が long または double としてインデックス付けされたフィールドでは、>、>=、<、<=、=、in などの比較演算子を使用します。

検索構文

indexname1 [ : | > | >= | < | <= | = | in ] keyword1 [ [ and | or | not ] indexname2 ... ]

例

例 1

request_method が GET であるログを検索します。検索構文：request_method: GET。
例 2

request_time_msec が 50 より大きいログを検索します (フィールドは double としてインデックス付けされている必要があります)。検索構文：request_time_msec>50。
例 3

request_method が GET で、かつ request_time_msec が 50 より大きいログを検索します。検索構文：request_method: GET and request_time_msec>50。

ステップ 2：フィールドのデータの型

各フィールドのデータの型は、異なる演算子をサポートします。

フィールドのデータの型

型	説明	サポートされている演算子
text	文字列フィールド。全文インデックスが有効な場合、`__time__` を除くすべてのフィールドはデフォルトで text になります。	`and`、`or`、`not`、`()`、`:`、`""`、`\`、`*`、および `?`。
long および double	数値範囲クエリでは、フィールドの型が long または double である必要があります。フィールドの型が double または long でない場合、または範囲構文が無効な場合、SLS は全文検索にフォールバックし、予期しない結果が返されることがあります。たとえば、`owner_id` フィールドが double または long 型でない場合、クエリ文 `owner_id>100` は、`owner_id`、`>` (デリミタではなく term として扱われる)、および `100` の 3 つの term をすべて含むログを返します。フィールドのデータの型を text から double または long に変更した場合、`=` 演算子を使用した等価検索のみがサポートされます。より大きい (>) やより小さい (<) などの範囲演算子を使用するには、インデックスを再作成する必要があります。	`and`、`or`、`not`、`()`、`>`、`>=`、`<`、`<=`、`=`、および `in`。
JSON	JSON フィールドのデータの型を、その値に基づいて long、double、または text に設定し、Enable Analytics をオンにします。	JSON オブジェクト内のフィールドのデータの型に基づいて演算子を使用します。

演算子

重要

in 演算子は小文字でなければなりません。他の演算子は大文字と小文字を区別しません。
SLS は、次の単語を演算子として予約しています。これらを検索キーワードとして使用するには、ダブルクォーテーション ("") で囲む必要があります：sort、asc、desc、group by、avg、sum、min、max、および limit。
演算子は優先度の高い順にリストされています：
1. コロン (:)
2. ダブルクォーテーション ("")
3. 括弧 ()
4. and、not
5. or

演算子	説明
`:`	Key:Value 形式でのフィールド指定検索。例：`request_method:GET`。フィールド名または値にスペース、コロン (:)、ハイフン (-) などの特殊文字が含まれる場合は、名前または値をダブルクォーテーション ("") で囲む必要があります。例：`"file info":apsara`。
`and`	`and` 演算子。例：`request_method:GET and status:200`。論理演算子なしで複数のキーワードを指定した場合、デフォルトで `and` 演算子が使用されます。たとえば、`GET 200 cn-shanghai` は `GET and 200 and cn-shanghai` と同等です。
`or`	`or` 演算子。例：`request_method:GET or status:200`。
`not`	`not` 演算子。例：`request_method:GET not status:200` および `not status:200`。
`( )`	検索条件をグループ化して優先度を上げます。例：`(request_method:GET or request_method:POST) and status:200`。
`""`	構文キーワードを `""` (ダブルクォーテーション) で囲むと、リテラルとして扱われます。フィールドクエリでは、`""` 内のすべての単語が 1 つのフレーズとして扱われます。フィールド名または値に特殊文字 (スペース、漢字、`:`、`-` など) や構文キーワード (`and` や `or` など) が含まれる場合は、`""` で囲む必要があります。たとえば、`"and"` を検索すると、演算子としてではなく "and" という単語を含むログが見つかります。 SLS は、次の単語を演算子として予約しています。これらを検索キーワードとして使用するには、`""` で囲む必要があります：`sort`、`asc`、`desc`、`group by`、`avg`、`sum`、`min`、`max`、および `limit`。ログがデータ変換または Logtail プラグインによって処理されると、タグキーは標準キーに変換されます。このキーをクエリするには、フィールド名を `""` で囲む必要があります。例：`"__tag__:__client_ip__":192.0.2.1`。`__tag__:__client_ip__` フィールドは、ログ収集ホストの IP を格納する予約フィールドです。
`\`	エスケープ文字。ダブルクォーテーション (`""`) をエスケープして、リテラルとして検索できるようにします。たとえば、ログに `instance_id:nginx"01"` が含まれている場合、文 `instance_id:nginx\"01\"` を使用して検索できます。
`*`	0 文字以上の文字に一致するワイルドカード。例：`host:www*com`。説明 SLS はログから最大 100 個の一致する term を見つけ、これらの term を含み、検索条件を満たすすべてのログを返します。
`?`	ちょうど 1 文字に一致するワイルドカード。例：`host:aliyund?c`。
`>`	フィールド値が数値より大きい。例：`request_time>100`。
`>=`	フィールド値が数値以上。例：`request_time>=100`。
`<`	フィールド値が数値より小さい。例：`request_time<100`。
`<=`	フィールド値が数値以下。例：`request_time<=100`。
`=`	フィールドの値が数値と等しいログを検索します。double または long 型のフィールドの場合、`=` 演算子と `:` 演算子は同等です。たとえば、`request_time=100` は `request_time:100` と同等です。
`in`	フィールドの値が数値範囲内にあるログを検索します。角括弧 [] は閉区間 (両端を含む) を示し、丸括弧 () は開区間 (両端を含まない) を示します。範囲内の 2 つの数値を区切るにはスペースを使用します。例：`request_time in [100 200]` または `request_time in (100 200]`。重要 `in` 演算子は小文字でなければなりません。
`__source__`	特定のソースからのログを検索します。ワイルドカード文字がサポートされています。例：`__source__:192.0.2.*`。重要 Log Service では、__source__ は予約フィールドであり、source と省略できます。source という名前のカスタムフィールドを定義すると、source 予約フィールドと競合します。この場合、カスタムフィールドをクエリするには、Source や SOURCE など、異なる大文字小文字を使用する必要があります。
`__tag__`	メタデータでログを検索します。例：`__tag__:__receive_time__:1609837139`。
`__topic__`	トピックでログを検索します。例：`__topic__:nginx_access_log`。

ステップ 3：一致モードの選択

SLS は完全一致検索とあいまい検索をサポートしています。

検索タイプ

説明

例

完全一致検索

単語全体に一致するログを検索します。

SLS は単語のセグメンテーションを使用するため、複数単語のクエリでは完全一致が返されない場合があります。abc def のクエリは、abc と def の両方を含むログを返しますが、必ずしも隣接したフレーズとしてではありません。正確なフレーズ abc def に一致させるには、フレーズ検索または LIKE 句を使用します。完全一致を使用してログをクエリする方法をご参照ください。

host:example.com：host フィールドに example.com が含まれるログを検索します。
PUT and cn-shanghai：PUT と cn-shanghai の両方のキーワードを含むログを検索します。
* | Select * where http_user_agent like '%like Gecko%'：http_user_agent フィールドの値にフレーズ like Gecko が含まれるログを検索します。
#"redo_index/1"：フレーズ redo_index/1 を含むログを検索します。

あいまい検索

term の中間または末尾にワイルドカード (* または ?) を追加します (64 文字制限)。SLS は最大 100 個の term に一致させ、それらを含むすべてのログを返します。より具体的な term を使用すると、より良い結果が得られます。

重要

検索 term の先頭にアスタリスク (*) や疑問符 (?) などのワイルドカード文字を使用しないでください。
long または double データの型のフィールドでは、ワイルドカード (* または ?) を使用したあいまい検索はサポートされていません。代わりに、status in [200 299] のように値の範囲を検索できます。

あいまい検索はサンプルベースのクエリです：

フィールドインデックスが有効な場合、SLS はフルスキャンを実行するのではなく、そのフィールドのインデックスからサンプリングし、代表的な結果のサブセットを返します。
全文インデックスが有効でフィールドが指定されていない場合、SLS は全文インデックスからサンプリングし、代表的なサブセットを返します。

request_time>60 and request_method:Ge*：request_time フィールドの値が 60 より大きく、request_method フィールドの値が Ge で始まるログを検索します。
addr*：addr で始まる最大 100 個の term のいずれかを含むログを検索します。
host:www.yl*：host フィールドが www.yl で始まるログを検索し、最大 100 個の term に一致します。

ログに対してあいまい検索を実行する方法をご参照ください。

クエリ文の例

検索結果は、ログの内容とインデックス構成によって異なります。以下の例では、次のサンプルログとインデックス構成を使用します。

Text、double、および long 型

サンプルログ

以下は NGINX アクセスログのサンプルです。後続のクエリ文はこのログ形式に基づいています：

__tag__:__receive_time__0 :1645499498
body_bytes_sent :3033
client_ip :11x xxx xxx4.26
host :www.wmxxxxxxxxxm
http_host :wxxxxxxxx xxxck.com
http_user_agent :Mozilla/5.0 (Windows NT 6.1) AppleWebKit/535.11 (KHTML, like Gecko) Chrome/17.xxx xxx56 Safari/535.11
http_x_forwarded_for :11xx xxxxxxx.213
instance_id :i-01
instance_name :instance-02
network_type :vlan
owner_id :owner-01
referer :www.xxxxxxxxx.com
region :cn-shanghai
remote_addr :21x xx xxx76
remote_user :6f3x
request method :PUT POST
request_length :2414
request_method :GET
request_time :71
request_uri :/request/path-1/file-2
scheme :https
server_protocol :HTTP/2.0
slbid :slb-01
status :200
time_local :22/Feb/2022:03:11:08
upstream_addr :117.xxx.xxx6
upstream_response_time :27
upstream_status :200
user_agent :Mozilla/5.0 (Windows NT 6.1; WOW64; rv:29.0) Gecko/20120101 FireFox/29.0
vip_addr :2xx xxxxxxxx.33
vpc_id :195datxxxxxxxxxxxxxxxxx6d9c1f46f

インデックス構成

ログをクエリする前にインデックスを作成します。インデックス構成を確認するには、次の手順に従います。

Logstore の [クエリと分析] ページで、[インデックス属性] > [属性] を選択します。
表示されるパネルで、フィールドインデックスが構成されているかどうかを確認します。

一般的な検索

目的	クエリ文	デバッグ
成功した GET リクエスト (ステータスコード 200–299) を検索します。	`request_method:GET and status in [200 299]`	デバッグ
中国 (杭州) リージョン外からの GET リクエストを検索します。	`request_method:GET not region:cn-hangzhou`	なし
GET または POST リクエストを検索します。	`request_method:GET or request_method:POST`	デバッグ
GET 以外のリクエストを検索します。	`not request_method:GET`	デバッグ
成功した GET または POST リクエストを検索します。	`(request_method:GET or request_method:POST) and status in [200 299]`	デバッグ
失敗した GET または POST リクエストを検索します。	`(request_method:GET or request_method:POST) not status in [200 299]`	デバッグ
成功した GET リクエスト (ステータスコード 200–299) で、リクエスト時間が 60 秒未満のものを検索します。	`request_method:GET and status in [200 299] not request_time>=60`	デバッグ
リクエスト時間が 60 秒のログを検索します。	`request_time:60`	デバッグ
リクエスト時間が 60 秒のログを検索します。	`request_time=60`	デバッグ
リクエスト時間が 60 秒以上 200 秒未満のログを検索します。	`request_time>=60 and request_time<200`	デバッグ
リクエスト時間が 60 秒以上 200 秒未満のログを検索します。	`request_time in [60 200)`	デバッグ
request_time フィールドが存在するログを検索します。	`request_time:*`	デバッグ
request_time フィールドが空であるか、無効な数値を含むログを検索します。	`(request_time:"") or (not request_time > -10000000000)`	デバッグ
request_time フィールドに数値が含まれるログを検索します。	`request_time > -1000000000`	デバッグ
and を含むログを検索します。	`"and"` 説明 and という単語は、演算子ではなくリテラル文字列として扱われます。	デバッグ
request method フィールドの値が PUT であるログを検索します。	`"request method":PUT` 重要フィールド名 request method にはスペースが含まれています。ダブルクォーテーション ("") で囲む必要があります。	なし
トピックが HTTPS または HTTP のログを検索します。	`__topic__:HTTPS or __topic__:HTTP`	なし
192.0.2.1 ホストからのログを検索します。	`__tag__:__client_ip__:192.0.2.1` `__tag__:__client_ip__` フィールドは、ログ収集ホストの IP アドレスを格納する予約フィールドです。重要ログがデータ変換または Logtail プラグインによって処理される場合、タグ内のキーは通常のキーに変換されます。ログをクエリするには、フィールド名をダブルクォーテーション ("") で囲む必要があります。例：`"__tag__:__client_ip__":192.0.2.1`。	なし
`192.168.XX.XX` を含むログを検索します。	`* \| select * from log where key like '192.168.%.%'` SQL LIKE 句を使用して正確なあいまい検索を行うをご参照ください。	なし
remote_user フィールドの値が空でないログを検索します。	`not remote_user:""`	デバッグ
remote_user フィールドの値が空であるログを検索します。	`remote_user:""`	デバッグ
remote_user フィールドの値が null でないログを検索します。	`not remote_user:"null"`	デバッグ
remote_user フィールドを含まないログを検索します。	`not remote_user:*`	デバッグ
remote_user フィールドを含むログを検索します。	`remote_user:*`	デバッグ
city フィールドの値が上海でないログを検索します。	`not city:上海` 説明中国語の文字列をクエリするには、インデックスを構成する際に [中国語を含む] を有効にする必要があります。	なし

あいまい検索

目的	クエリ文	デバッグ
cn で始まる単語を含むログを検索します。	`cn*`	デバッグ
region フィールドの値が cn で始まるログを検索します。	`region:cn*`	なし
region フィールドの値に cn* が含まれるログを検索します。	`region:"cn"` 説明このクエリ文では、`cn` はリテラル文字列として扱われます。例：ログに `region:cn,en` が含まれ、デリミタがコンマ (,) の場合、内容は `region`、`cn`、および `en` に分割されます。このログは、このクエリ文を使用して見つけることができます。ログに `region:cnhangzhou` が含まれる場合、`cnhangzhou` は 1 つの term として扱われます。このクエリ文ではこのログを見つけることはできません。	なし
「mozi」で始まり、「la」で終わり、その間に 1 文字がある単語を含むログを検索します。	`mozi?la`	デバッグ
「mo」で始まり、「la」で終わり、その間に 0 文字以上の文字がある単語を含むログを検索します。	`mo*la`	デバッグ
「moz」で始まる単語と「sa」で始まる単語を含むログを検索します。	`moz* and sa*`	デバッグ
region フィールドの値が「hai」で終わるログを検索します。	クエリ文ではこれらのログを見つけることはできません。代わりに SQL LIKE 句を使用します。 `\| select from log where region like '%hai'`	なし
message フィールドの値が `"get_time: 0.` で始まるログを検索します。	SQL 分析で like 句を使用します。 `\| select message where message like '"get_time: 0.%'` または、構造化プロセス言語 (SPL) の where 命令を使用してログをフィルターします。 `\| where message like '"get_time: 0.%'`	なし

デリミタによる検索

SLS は、構成されたデリミタを使用してログの内容を単語に分割します。デフォルトは , '";=()[]{}?@&<>/:\n\t\r です。[デリミタ] を空のままにすると、フィールド値は 1 つの term として扱われ、文字列全体の完全一致検索またはあいまい検索によってのみ見つけることができます。インデックスを作成します。

たとえば、http_user_agent フィールドの値は Mozilla/5.0 (Windows NT 6.1) AppleWebKit/537.2 (KHTML, like Gecko) Chrome/192.0.2.0 Safari/537.2 です。

[デリミタ] を空の値に設定した場合、フィールド値は 1 つのトークンとして扱われます。その結果、クエリ文 http_user_agent:Chrome を使用してログを見つけることはできません。
[デリミタ] を , '";=()[]{}?@&<>/:\n\t\r に設定した場合、フィールド値は Mozilla、5.0、Windows、NT、6.1、AppleWebKit、537.2、KHTML、like、Gecko、Chrome、192.0.2.0、Safari、および 537.2 という term に分割されます。http_user_agent:Chrome などのクエリ文を使用してログを見つけることができます。

重要

検索キーワードにデリミタが含まれている場合は、フレーズ検索または LIKE 句を使用する必要があります。例：

フレーズ検索：#"redo_index/1"。
LIKE 句：* | select * from log where key like 'redo_index/1'。

目的	クエリ文	デバッグ
http_user_agent フィールドの値に Chrome が含まれるログを検索します。	`http_user_agent:Chrome`	デバッグ
http_user_agent フィールドの値に Linux と Chrome が含まれるログを検索します。	`http_user_agent:Linux and http_user_agent:Chrome`	デバッグ
http_user_agent フィールドの値に Linux と Chrome が含まれるログを検索します。	`http_user_agent:"Linux Chrome"`	デバッグ
http_user_agent フィールドの値に Firefox または Chrome が含まれるログを検索します。	`http_user_agent:Firefox or http_user_agent:Chrome`	デバッグ
request_uri フィールドの値に /request/path-2 が含まれるログを検索します。	`request_uri:/request/path-2`	デバッグ
request_uri フィールドの値が /request で始まるが、/file-0 を含まないログを検索します。	`request_uri:/request* not request_uri:/file-0`	デバッグ
フレーズ `redo_index/1` を含むログを完全一致で検索します。	`#"redo_index/1"` `* \| select * from log where key like 'redo_index/1'` 説明フレーズ検索または LIKE 句は、フレーズの完全一致を提供できます。標準の完全一致検索は、`redo_index` や `1` などの個々の term に一致します。	なし

キーワードのエスケープ

クエリ文内

構文キーワードを "" (ダブルクォーテーション) で囲むと、リテラルとして扱われます。フィールドクエリでは、"" 内のすべての単語が 1 つのフレーズとして扱われます。

フィールド名または値に特殊文字 (スペース、漢字、:、- など) や構文キーワード (and や or など) が含まれる場合は、"" で囲む必要があります。たとえば、"and" を検索すると、演算子としてではなく "and" という単語を含むログが見つかります。
SLS は、次の単語を演算子として予約しています。これらを検索キーワードとして使用するには、"" で囲む必要があります：sort、asc、desc、group by、avg、sum、min、max、および limit。
ログがデータ変換または Logtail プラグインによって処理されると、タグキーは標準キーに変換されます。このキーをクエリするには、フィールド名を "" で囲む必要があります。例："__tag__:__client_ip__":192.0.2.1。__tag__:__client_ip__ フィールドは、ログ収集ホストの IP を格納する予約フィールドです。

目的	クエリ文
`request method` フィールドの値が `PUT` であるログを検索します。フィールド名 `request method` にはスペースが含まれているため、ダブルクォーテーション ("") で囲む必要があります。	`"request method":PUT`
`system error description` フィールドの値に `DB` が含まれるログを検索します。フィールド名 `system error description` にはスペースが含まれています。	`"system error description":DB*`
このクエリは、`region` フィールドの値に `cn` が含まれるログを検索します。ここで、`cn` は文字列です。ログの内容が `region:cn,en` で、デリミタがコンマ (,) の場合、ログの内容は `region`、`cn`、および `en` に分割されます。その後、右側の文を使用してこのログを見つけることができます。	`region:"cn*"`
`remote_user` フィールドの値が空であるログを検索します。	`remote_user:""`
`Authorization` フィールドの値が `Bearer 12345` であるログを検索します。フィールド値 `Bearer 12345` にはスペースが含まれています。	`"Authorization": "Bearer 12345"`
`errorContent` フィールドの値に `The body is not valid json string` が含まれるログを分析します。フィールド値にはスペースが含まれています。	`* \| select * where errorContent like '%The body is not valid json string%'`
`192.0.2.1` ホストから収集されたログを検索します。	`"__tag__:__client_ip__":192.0.2.1`

分析文内

フィールド名やテーブル名などの固有名詞に特殊文字 (スペース、漢字、:、- など) や構文キーワード (and や or など) が含まれる場合は、ダブルクォーテーション ("") で囲む必要があります。
文字列を表す文字は、シングルクォーテーション ('') で囲む必要があります。クォーテーションで囲まれていない文字、またはダブルクォーテーション ("") で囲まれている文字は、フィールド名または列名を表します。たとえば、'status' は文字列 "status" を表し、status または "status" は status ログフィールドを表します。

目的	分析文
`192.168.XX.XX` を含むログを検索します。	`* \| select * from log where key like '192.168.%.%'`
上位 10 件のリクエスト時間を計算します。	列名 `top 10` にはスペースが含まれているため、ダブルクォーテーション ("") で囲む必要があります。 `* \| SELECT max(request_time,10) AS "top 10"`
各リクエスト状態のログ数をカウントします。	`content` フィールドは JSON としてインデックス付けされています。インデックス付き JSON フィールドのクエリと分析方法をご参照ください。 `* \| SELECT "content.status", COUNT(*) AS PV GROUP BY "content.status"`

Json 型

サンプルログ

{
  "timestamp": "2025-03-21T14:35:18Z",
  "level": "ERROR",
  "service": {
    "name": "payment-processor",
    "version": "v2.8.1",
    "environment": "production"
  },
  "error": {
    "code": 5031,
    "message": "Failed to connect to third-party API",
    "details": {
      "endpoint": "https://api.paymentgateway.com/v3/verify",
      "attempts": 3,
      "last_response": {
        "status_code": 504,
        "headers": {
          "Content-Type": "application/json",
          "X-RateLimit-Limit": "100"
        }
      }
    }
  },
  "user": {
    "id": "usr-9a2b3c4d",
    "session": {
      "id": "sess-zxy987",
      "device": {
        "type": "mobile",
        "os": "Android 14",
        "network": "4G"
      }
    }
  },
  "trace": {
    "correlation_id": "corr-6f5e4d3c",
    "span_id": "span-00a1b2"
  }
}

インデックス構成

ログをクエリする前にインデックスを作成します。インデックス構成を確認するには、次の手順に従います。

Logstore の [クエリと分析] ページで、[インデックス属性] > [属性] を選択します。
表示されるパネルで、フィールドインデックスが構成されているかどうかを確認します。

例

目的	クエリ文
リクエストエラーを記録したログを検索します。	`level:error`
ID が `usr-9a2b3c4d` のユーザーからのすべてのリクエストを検索します。	`user.id:usr-9a2b3c4d`
ユーザー `usr-9a2b3c4d` からのエラーステータスコードが 504 のログを検索します。	`user.id:usr-9a2b3c4d and error.details.last_response.status_code :504`

Simple Log Service:検索構文と関数

前提条件

基本構文

検索クエリの作成

ステップ 1：検索タイプの選択

全文検索

検索構文

例

フィールド指定検索

検索構文

例

ステップ 2：フィールドのデータの型

フィールドのデータの型

演算子

ステップ 3：一致モードの選択

クエリ文の例

Text、double、および long 型

サンプルログ

インデックス構成

一般的な検索

あいまい検索

デリミタによる検索

キーワードのエスケープ

クエリ文内

分析文内

Json 型

サンプルログ

インデックス構成

例

よくある質問

クエリでログが返されない

JSON ログの問題

クエリエラーのトラブルシューティング

関連トピック