SLS クエリ FAQ、ソースマシンの特定、IP アドレスの検索、複数条件クエリ、フィールドの切り捨て、インデックス未作成フィールド - Simple Log Service

Simple Log Service でのログクエリに関する一般的な質問 (ソースマシンの特定、IP アドレスの検索、複数の条件でのクエリ、フィールド値の切り捨ての処理など) について説明します。

ログのソースマシンの特定

Logtail 構成はマシングループに適用されます。マシングループが IP アドレスベースのマシングループである場合は、内部 IP アドレスを使用してマシンを区別します。
インデックスを作成すると、Simple Log Service はデフォルトで __tag__:__hostname__ にインデックスを作成します。__tag__:__hostname__:XXX と入力してクエリを実行します。__tag__ フィールドは予約済みフィールドです。例：各ホスト名の出現回数をカウントします。
```
* | select '__tag__:__hostname__' , count(1) as count group by '__tag__:__hostname__'
```

特定の IP アドレスをクエリする場合：
```
__tag__:__client_ip__:192.0.2.1
```
192.0.2 で始まる IP アドレスからのログをクエリする場合：
```
__source__:192.0.2.*
```
192.168.XX.XX に一致する IP アドレスを含むログをクエリします。正規表現を使用してあいまい検索を行うこともできます。
```
* | select * from log where key like '192.168.%.%'
```

クエリ文を組み合わせて、複数の条件でフィルターします。

たとえば、ステータスが OK または Unknown のログを除外するには、not OK not Unknown を検索します。

Simple Log Service は、3 つのログクエリメソッドをサポートしています：

クライアント側のネットワークファイアウォールが、SQL 分析のキーワードを含むリクエストをブロックすることがあります。

サービスエンドポイントを HTTPS に切り替えてみてください。

Simple Log Service では、フィールド値の長さが次のように制限されます：

この変更は新しいログデータにのみ適用されます。既存のデータには影響しません。

インデックスが作成されていないフィールドを分析するには、次のいずれかのメソッドを使用します：

データのインデックス作成または再作成
- 新しいログを分析するには、対象のフィールドのインデックスを作成し、統計を有効にします。
- 履歴ログを分析するには、データのインデックスを再作成し、統計を有効にします。
スキャンモードの有効化

インデックスを作成できない場合は、スキャンベースの分析を使用して、インデックスなしでログをクエリします。ログをスキャンします。

Simple Log Service は、デフォルトで limit 100 を追加します。LIMIT 句を使用して、返される行数を変更します。