Logtail プラグインを使用して、指定したログ形式に基づいてインターネットインフォメーションサービス (IIS) ログを構造化データに解析できます。この場合、ログは複数のキーと値のペアに解析されます。
IIS ログの概要
Windows サーバーは、IIS、NCSA、W3C など、指定したログ形式に基づいて IIS ログを生成します。
ログ形式
#Fields: date time s-sitename s-ip cs-method cs-uri-stem cs-uri-query s-port cs-username c-ip cs(User-Agent) sc-status sc-substatus sc-win32-status sc-bytes cs-bytes time-taken // フィールド: 日付 時刻 s-sitename s-ip cs-method cs-uri-stem cs-uri-query s-port cs-username c-ip cs(User-Agent) sc-status sc-substatus sc-win32-status sc-bytes cs-bytes time-taken
フィールドプレフィックス
プレフィックス
説明
s-
サーバー操作を示します。
c-
クライアント操作を示します。
cs-
クライアントからサーバーへの操作を示します。
sc-
サーバーからクライアントへの操作を示します。
フィールド
フィールド
説明
date
クライアントがリクエストを送信した日付。
time
クライアントがリクエストを送信した時点。
s-sitename
クライアントがアクセスしたサイトのインターネットサービス名とインスタンス ID。
s-computername
ログが生成されたサーバーの名前。
s-ip
ログが生成されたサーバーの IP アドレス。
cs-method
クライアントが使用するリクエストメソッド (GET や POST など)。
cs-uri-stem
リクエスト内の URI。
cs-uri-query
HTTP リクエストの疑問符 (?) の後に続くクエリ文字列。
s-port
サーバーのポート番号。
cs-username
クライアントがサーバーにアクセスするために使用する認証済みドメイン名またはユーザー名。
ユーザーが認証済みユーザーの場合、このフィールドの値は
Domain\Username
形式で表示されます。ユーザーが匿名ユーザーの場合、ハイフン (-) が表示されます。
c-ip
リクエストを送信するクライアントの送信元 IP アドレス。
cs-version
クライアントが使用するプロトコルバージョン (HTTP 1.0 や HTTP 1.1 など)。
cs(User-Agent)
クライアントが使用するブラウザ。
Cookie
送受信される Cookie の内容。Cookie が送受信されない場合は、ハイフン (-) が表示されます。
referer
クライアントが転送されたサイト。
cs-host
ホスト情報。
sc-status
サーバーから返される HTTP ステータスコード。
sc-substatus
サーバーから返される HTTP サブステータスコード。
sc-win32-status
サーバーから返される Windows ステータスコード。
sc-bytes
サーバーから送信されるバイト数。
cs-bytes
サーバーが受信するバイト数。
time-taken
リクエストの処理に必要な時間。単位: ミリ秒。
エントリポイント
Logtail プラグインを使用してログを処理する場合、Logtail 構成の作成時または変更時に Logtail プラグイン構成を追加できます。詳細については、「概要」をご参照ください。
構成の説明
パラメーター | 説明 |
[ログ形式] | IIS サーバーで生成されるログの形式。有効な値:
|
[IIS 構成フィールド] | IIS 構成フィールド。
|
[元のフィールド] | 解析前のログコンテンツを格納する元のフィールド。デフォルト値: content。 |
[正規表現] | IIS ログの抽出に使用する正規表現。Simple Log Service は [IIS 構成フィールド] フィールドの値に基づいて正規表現を自動的に生成します。 |
[抽出されたフィールド] | [IIS 構成フィールド] フィールドの値に基づいて自動的に抽出されるキー。 |
[解析に失敗した場合に元のフィールドを保持する] | 生のログの解析に失敗した場合に、解析後の新しいログに元のフィールドを保持するかどうかを指定します。 |
[解析に成功した場合に元のフィールドを保持する] | 解析後に取得された新しいログに元のフィールドを保持するかどうかを指定します。 |
[元のフィールドの新しい名前] | [解析に失敗した場合に元のフィールドを保持する] または [解析に成功した場合に元のフィールドを保持する] を選択した場合、元のログコンテンツを格納する元のフィールドの名前を変更できます。 |