Simple Log Service:検索構文と関数

高度な検索例

• あいまい検索

  期待される検索結果	検索文	デバッグ
  特定の単語を含むログ。単語は cn で始まります。	cn*	デバッグ
  region フィールドの値が cn で始まるログ。	region:cn*	なし
  region フィールドの値に cn* が含まれるログ。	region:"cn*" 説明 この検索文では、cn* は完全な文字列です。例: ログの内容が region:cn*,en で、デリミタがコンマ (,) の場合、SLS はログの内容を region、cn*、および en に分割します。検索文を使用してログを検索します。 ログの内容が region:cn*hangzhou の場合、SLS は cn*hangzhou を全体として見なすため、検索文でログを検索することはできません。	なし
  特定の単語を含むログ。単語は mozi で始まり、la で終わり、mozi と la の間に 1 文字含まれます。	mozi?la	デバッグ
  特定の単語を含むログ。単語は mo で始まり、la で終わり、mo と la の間に 0 個以上の文字が含まれます。	mo*la	デバッグ
  特定の単語を含むログ。単語は moz または sa で始まります。	moz* and sa*	デバッグ
  region フィールドの値が hai で終わるログ。	検索文ではログを見つけることができません。代わりに SQL 文で LIKE 句を使用します。詳細については、「LIKE 句を使用してあいまい一致を実装する」をご参照ください。 * | select * from log where region like '%hai'	なし
  message フィールドの値が "get_time: 0. で始まるログ。	SQL 分析で like 構文を使用します。 *| select message where message like '"get_time: 0.%' または、構造化プロセス言語 (SPL) の where 命令を使用してログをフィルターします。	なし

• デリミタベースの検索

  SLS は、指定したデリミタに基づいてログの内容を複数の単語に分割します。デフォルトのデリミタは , '";=()[]{}?@&<>/:\n\t\r です。Delimiter 設定を空のままにすると、SLS はフィールド値全体を 1 つの term として扱い、文字列全体の完全一致またはあいまい検索でのみ検索可能になります。デリミタの指定方法の詳細については、「インデックスの作成」をご参照ください。

  たとえば、http_user_agent フィールドの値は Mozilla/5.0 (Windows NT 6.1) AppleWebKit/537.2 (KHTML, like Gecko) Chrome/192.0.2.0 Safari/537.2 です。

  • [デリミタ] を空のままにすると、SLS はフィールド値を全体として見なします。http_user_agent:Chrome 検索文を使用してログを検索することはできません。

  • [デリミタ] を , '";=()[]{}?@&<>/:\n\t\r に設定すると、SLS はフィールド値を Mozilla、5.0、Windows、NT、6.1、AppleWebKit、537.2、KHTML、like、Gecko、Chrome、192.0.2.0、Safari、および 537.2 に分割します。http_user_agent:Chrome 検索文を使用してログを検索できます。

  重要

  検索キーワードにデリミタが含まれている場合は、フレーズ検索を実行するか、LIKE 句を使用します。例:

  • フレーズ検索: #"redo_index/1"。詳細については、「フレーズ検索」をご参照ください。

  • LIKE 句: * | select * from log where key like 'redo_index/1'。

  期待される検索結果	検索文	デバッグ
  http_user_agent フィールドの値に Chrome が含まれるログ。	http_user_agent:Chrome	デバッグ
  http_user_agent フィールドの値に Linux と Chrome が含まれるログ。	http_user_agent:Linux and http_user_agent:Chrome	デバッグ
  	http_user_agent:"Linux Chrome"	デバッグ
  http_user_agent フィールドの値に Firefox または Chrome が含まれるログ。	http_user_agent:Firefox or http_user_agent:Chrome	デバッグ
  request_uri フィールドの値に /request/path-2 が含まれるログ。	request_uri:/request/path-2	デバッグ
  request_uri フィールドの値が /request で始まり、/file-0 を含まないログ。	request_uri:/request* not request_uri:/file-0	デバッグ
  redo_index/1 フレーズが完全に一致するログ。	#"redo_index/1" * | select * from log where key like 'redo_index/1' 説明 完全一致には、フレーズ検索または LIKE 句を使用できます。完全一致検索を実行すると、redo_index や 1 などの単語が一致します。	なし

特殊なユースケースでのクエリ例

• 検索文

  このオペレーターは、構文キーワードを囲むために使用されます。構文キーワードが二重引用符 ("") で囲まれている場合、そのキーワードはオペレーターではなくリテラル文字列として扱われます。フィールド指定検索では、二重引用符 ("") で囲まれた単語は全体として見なされます。

  • フィールド名またはフィールド値にスペース、漢字、コロン (:)、ハイフン (-) などの特殊文字、または and や or などの構文キーワードが含まれている場合は、フィールド名またはフィールド値を二重引用符 ("") で囲む必要があります。たとえば、"and" は、単語 "and" をオペレーターではなく term として扱い、それを含むログを返します。

  • SLS は次のオペレーターをサポートしています: sort、asc、desc、group by、avg、sum、min、max、および limit。これらのオペレーターをキーワードとして使用する場合は、オペレーターを二重引用符 ("") で囲む必要があります。

  • ログがデータ変換機能または Logtail プラグインを使用して処理される場合、__tag__:__client_ip__ フィールドのキーは共通キーに変換されます。ログを検索する場合は、検索文で __tag__:__client_ip__ フィールドの名前を二重引用符 ("") で囲む必要があります。例: "__tag__:__client_ip__":192.0.2.1。__tag__:__client_ip__ フィールドは SLS の予約済みフィールドです。このフィールドは、ログが収集されたホストの IP アドレスを示します。詳細については、「予約済みフィールド」をご参照ください。

  期待されるクエリ結果	検索文
  request method フィールドの値に PUT が含まれるログ。フィールド名にはスペースが含まれています。	"request method":PUT
  system error description フィールドの値に DB が含まれるログ。フィールド名にはスペースが含まれています。	"system error description":DB*
  region フィールドに文字列 cn* が含まれるログ。ログの内容が region:cn*,en で、デリミタがコンマ (,) の場合、region、cn*、および en に分割されます。	region:"cn*"
  remote_user フィールドが空であるログ。	remote_user:""
  Authorization フィールドの値が Bearer 12345 であり、スペースが含まれているログ。	"Authorization": "Bearer 12345"
  errorContent フィールドの値に The body is not valid json string が含まれ、スペースが含まれているログ。	* | select * where errorContent like '%The body is not valid json string%'
  192.0.2.1 ホストから収集されたログ。	"__tag__:__client_ip__":192.0.2.1

• 分析文

  • フィールド名やテーブル名などの固有名詞に、スペース、漢字、コロン (:)、ハイフン (-) などの特殊文字、または and や or などの構文キーワードが含まれている場合は、分析文で固有名詞を二重引用符 ("") で囲む必要があります。

  • 特定の文字が文字列を表す場合は、分析文でその文字を一重引用符 ('') で囲む必要があります。たとえば、'status' は status 文字列を示し、status または "status" は status ログフィールドを示します。

  期待されるクエリ結果	クエリ文
  IP アドレスが 192.168.XX.XX に一致するログ。	* | select * from log where key like '192.168.%.%'
  最も長いリクエスト期間の上位 10 件。	スペースを含む列名は二重引用符 ("") で囲む必要があります。 * | SELECT max(request_time,10) AS "top 10"
  異なるリクエストステータスに対応するログの数。	content フィールドは JSON 型としてインデックス付けされます。詳細については、「インデックス付き JSON フィールドをクエリおよび分析する方法」をご参照ください。 * | SELECT "content.status", COUNT(*) AS PV GROUP BY "content.status"

インデックス構成

例

クエリと分析の例の詳細については、「JSON ログのクエリと分析」および「JSON ログのクエリと分析に関するよくある質問」をご参照ください。

level:error

user.id:usr-9a2b3c4d

user.id:usr-9a2b3c4d and error.details.last_response.status_code :504