検索構文と例 - Simple Log Service - Alibaba Cloud ドキュメントセンター

Simple Log Service を使用すると、ログをフィルターするためのクエリ文を実行できます。検索結果を単独で使用することも、より複雑な分析のために分析文への入力として使用することも可能です。

前提条件

ログをクエリするには、インデックスを作成する必要があります。

基本構文

説明

SLS クエリスキルによるインテリジェントなログクエリと分析：SLS はエージェントスキルを提供しており、ローカル AI エージェント内で自然言語を使用して SLS ログデータをクエリおよび分析できます。

クエリ文と分析文は、| で区切られ、形式は クエリ文|分析文 です。以下の例をご参照ください。

* | SELECT status, count(*) AS PV GROUP BY status

文の種類

説明

検索文

検索条件を指定します。条件には、キーワード、数値、数値範囲、スペース、またはアスタリスク (*) を使用できます。

スペースまたはアスタリスク (*) を指定した場合、フィルターは適用されません。

重要

検索文に指定できる条件は 30 個までです。

分析文

重要

分析文は必ず検索文と一緒に使用してください。分析文では FROM 句や WHERE 句を指定する必要はありません。サービスはデフォルトで現在の Logstore 内のすべてのデータを分析します。分析文は大文字と小文字を区別せず、オフセットをサポートせず、末尾にセミコロン (;) を付ける必要もありません。

検索結果またはすべてのデータに対して計算および統計分析を実行します。SLS は以下の分析関数および構文をサポートしています。

検索クエリの作成

クエリ文を作成するには、次の手順を実行します。

ステップ 1：検索タイプの選択

重要

クエリと分析の結果は、インデックス構成に依存します。フルテキストインデックスとフィールドインデックスの両方を作成した場合、フィールドインデックスが優先されます。

インデックスタイプ に応じて、Simple Log Service は Logstore に対して 2 種類の検索タイプ（全文検索とフィールド指定検索）をサポートしています。以下に違いを示します。

フルテキストインデックス のみを作成した場合は、全文検索を使用する必要があります。
フィールドインデックス を作成した場合は、次のルールに従ってください。
- double または long 型のフィールドについては、フィールド指定検索構文を使用する必要があります。
- text 型のフィールドについては、キーワードを含むインデックス済みフィールドがわかっている場合はフィールド指定検索構文を使用し、どのフィールドにキーワードが含まれているかわからない場合は全文検索構文を使用してください。
  - フルテキストインデックスを作成していない場合、全文検索構文はインデックス済みのテキストフィールドのみをクエリします。
  - フルテキストインデックスを作成している場合、全文検索構文はすべてのインデックス済みテキストフィールドを検索します。

全文検索

全文検索は特定のフィールドを対象としません。ワイルドカード（* や ? など）および論理演算子（and、or、not など）をサポートしています。

検索構文

 keywords1  [ and | or | not ] keywords2  ...

例

例 1
キーワード GET を含むログを検索します。検索構文：GET。
例 2
キーワード GET または POST を含むログを検索します。検索構文：GET or POST 。
例 3
Jo で始まるキーワード（Joe や Jon など）を含むログを検索します。検索構文：Jo*。

フィールド指定検索

フィールド指定検索は、特定のインデックス済みフィールドを対象とします。数値比較や正規表現マッチングなどの型付き操作をサポートしています。

重要

indexname1 はクエリするフィールド名です。フィールド名または他の識別子に特殊文字（スペースや中国語文字など）または検索キーワード（and や or など）が含まれる場合は、二重引用符 ("") で囲む必要があります。詳細については、「検索および分析文での引用符の使用方法」をご参照ください。
long または double としてインデックスされたフィールドについては、>、>=、<、<=、=、および in などの比較演算子を使用します。

検索構文

indexname1 [ : | > | >= | < | <= | = | in ] keyword1 [ [ and | or | not ] indexname2 ... ]

例

例 1
request_method が GET のログを検索します。検索構文：request_method: GET。
例 2
request_time_msec が 50 より大きいログを検索します（このフィールドは double としてインデックスされている必要があります）。検索構文：request_time_msec>50。
例 3
request_method が GET かつ request_time_msec が 50 より大きいログを検索します。検索構文：request_method: GET and request_time_msec>50。

ステップ 2：フィールドのデータ型

検索文を作成する際は、各フィールドのデータ型の特性を考慮し、正しい演算子を使用して、効率的かつ正確にログを検索してください。

フィールドのデータ型

型	説明	サポートされる演算子
text	文字列フィールドを表します。全文インデックスを有効にすると、SLS は `__time__` フィールドを除き、ログ内のすべてのフィールドのデータ型をデフォルトで text に設定します。	`and`、`or`、`not`、`()`、`:`、`""`、`\`、`*`、および `?`。
long および double	フィールドを数値範囲でクエリするには、そのデータ型を long または double にする必要があります。フィールドのデータ型が double または long に設定されていない場合、または数値範囲に構文エラーが含まれている場合、SLS は全文検索を実行するため、予期しない結果が返される可能性があります。たとえば、`owner_id` フィールドが double または long 型でない場合、検索文 `owner_id>100` は、`owner_id`、`>`（区切り文字ではなく用語として扱われる）、および `100` の 3 つの用語すべてを含むログを返します。フィールドのデータ型を text から double または long に変更した場合、`=` 演算子を使用した等価検索のみがサポートされます。大なり (>) や小なり (<) などの範囲演算子を使用するには、インデックスの再作成が必要です。	`and`、`or`、`not`、`()`、`>`、`>=`、`<`、`<=`、`=`、および `in`。
JSON	JSON オブジェクト内のフィールドについては、その値に基づいてデータ型を long、double、または text に設定し、Enable Analytics をオンにできます。	JSON オブジェクト内のフィールドのデータ型に基づいて演算子を使用します。

演算子

重要

in 演算子は小文字で記述する必要があります。他の演算子は大文字と小文字を区別しません。
SLS は以下の単語を演算子として予約しています。これらを検索キーワードとして使用するには、二重引用符 ("") で囲む必要があります。sort、asc、desc、group by、avg、sum、min、max、および limit。
演算子の優先度は、高い順に次のとおりです。
1. コロン (:)
2. 二重引用符 ("")
3. 括弧 ()
4. and、not
5. or

演算子	説明
`:`	Key:Value 形式のフィールド指定検索に使用します。例：`request_method:GET`。フィールド名または値にスペース、コロン (:)、ハイフン (-) などの特殊文字が含まれる場合は、二重引用符 ("") で囲む必要があります。例：`"file info":apsara`。
`and`	`and` 演算子です。例：`request_method:GET and status:200`。論理演算子を指定せずに複数のキーワードを指定した場合、デフォルトで `and` 演算子が使用されます。たとえば、`GET 200 cn-shanghai` は `GET and 200 and cn-shanghai` と同等です。
`or`	`or` 演算子です。例：`request_method:GET or status:200`。
`not`	`not` 演算子です。例：`request_method:GET not status:200` および `not status:200`。
`( )`	括弧内の検索条件の優先度を上げます。例：`(request_method:GET or request_method:POST) and status:200`。
`""`	構文キーワードを二重引用符 (`""`) で囲むと、通常の文字に変換できます。フィールドクエリでは、`""` で囲まれたすべての単語が 1 つのフレーズとして扱われます。フィールド名または値に特殊文字（スペース、中国語文字、`:`、または `-` など）または構文キーワード（`and` または `or` など）が含まれる場合は、`""` で囲む必要があります。たとえば、`"and"` を検索すると、"and" という単語を含むログが見つかり、演算子としては扱われません。 SLS は以下の単語を演算子として予約しています。これらを検索キーワードとして使用するには、`""` で囲む必要があります。`sort`、`asc`、`desc`、`group by`、`avg`、`sum`、`min`、`max`、および `limit`。データ変換または Logtail プラグインによってログが処理されると、タグキーは標準キーに変換されます。このキーをクエリするには、フィールド名を `""` で囲む必要があります。例：`"__tag__:__client_ip__":192.0.2.1`。`__tag__:__client_ip__` フィールドは SLS の予約フィールドであり、ログ収集ホストの IP アドレスを示します。詳細については、「予約フィールド」をご参照ください。
`\`	これはエスケープ文字です。二重引用符 (`""`) をエスケープして、リテラル文字として検索できます。たとえば、ログに `instance_id:nginx"01"` が含まれている場合、`instance_id:nginx\"01\"` という文を使用して検索できます。
`*`	ゼロ個以上の文字に一致するワイルドカード文字です。例：`host:www*com`。説明 SLS はログから最大 100 個の一致する用語を見つけ、これらの用語を含み検索条件を満たすすべてのログを返します。
`?`	1 文字に一致するワイルドカード文字です。例：`host:aliyund?c`。
`>`	フィールドの値が指定された数値より大きいログを検索します。例：`request_time>100`。
`>=`	フィールドの値が指定された数値以上であるログを検索します。例：`request_time>=100`。
`<`	フィールドの値が指定された数値より小さいログを検索します。例：`request_time<100`。
`<=`	フィールドの値が指定された数値以下であるログを検索します。例：`request_time<=100`。
`=`	フィールドの値が指定された数値と等しいログを検索します。double または long 型のフィールドでは、`=` 演算子と `:` 演算子は同等です。たとえば、`request_time=100` は `request_time:100` と同等です。
`in`	フィールドの値が指定された数値範囲内にあるログを検索します。角括弧 [] は閉区間（包含）、丸括弧 () は開区間（非包含）を示します。範囲内の 2 つの数値はスペースで区切ります。例：`request_time in [100 200]` または `request_time in (100 200]`。重要 `in` 演算子は小文字で記述する必要があります。
`__source__`	特定のログソースからのログを検索します。ワイルドカード文字をサポートしています。例：`__source__:192.0.2.*`。重要 Log Service では、__source__ は予約フィールドであり、source と省略できます。カスタムフィールド名として source を定義した場合、source 予約フィールドと競合します。この場合、カスタムフィールドをクエリするには、Source や SOURCE など、異なる大文字小文字の組み合わせを使用する必要があります。
`__tag__`	メタデータを使用してログを検索します。例：`__tag__:__receive_time__:1609837139`。
`__topic__`	特定のログトピック内のログを検索します。例：`__topic__:nginx_access_log`。

ステップ 3：マッチモードの選択

キーワードとビジネス要件に基づいて、完全検索とあいまい検索のいずれかを選択します。

検索タイプ

説明

例

完全検索

完全一致するログを検索します。

SLS はクエリを処理するために単語分割を使用します。そのため、複数の単語からなるフレーズを検索しても、完全一致が返されるとは限りません。たとえば、abc def をクエリすると、abc と def の両方を含むログが返されますが、隣接したフレーズとして返されるとは限りません。abc def フレーズの完全一致を検索するには、フレーズ検索または LIKE 句を使用します。詳細については、「フレーズ検索」および「完全一致を使用してログをクエリする方法」をご参照ください。

host:example.com： host フィールドに example.com が含まれるログを検索します。
PUT and cn-shanghai： PUT および cn-shanghai キーワードの両方を含むログを検索します。
* | Select * where http_user_agent like '%like Gecko%'： http_user_agent フィールドの値に like Gecko フレーズが含まれるログを検索します。
#"redo_index/1"： redo_index/1 フレーズを含むログを検索します。

あいまい検索

あいまい検索を実行するには、検索語の中間または末尾にワイルドカード文字（アスタリスク (*) または疑問符 (?)）を追加します。用語は 64 文字を超えてはいけません。その後、SLS は最大 100 個の一致する単語を見つけ、それらを含むすべてのログを返します。用語が具体的であるほど、結果の精度が高くなります。

重要

検索語の先頭にアスタリスク (*) や疑問符 (?) などのワイルドカード文字を使用しないでください。
long または double データ型のフィールドでは、ワイルドカード (* または ?) を使用したあいまい検索はサポートされていません。代わりに、status in [200 299] のように値の範囲を検索できます。

あいまい検索はサンプルクエリの一種であり、次のように機能します。

フィールドインデックスが有効になっており、特定のフィールドをクエリする場合、SLS はフルスキャンを実行するのではなく、そのフィールドのインデックスからデータをサンプリングします。このサンプリングにより、代表的なサブセットの結果が返されます。
フルテキストインデックスが有効になっており、フィールドを指定しない場合、SLS はフルテキストインデックスからデータをサンプリングします。このサンプリングにより、代表的なサブセットの結果が返されます。

request_time>60 and request_method:Ge*： request_time フィールドの値が 60 より大きく、request_method フィールドの値が Ge で始まるログを検索します。
addr*： addr で始まる最大 100 個の用語のいずれかを含むログを検索します。
host:www.yl* は、host フィールドの値のうち www.yl で始まる用語を最大 100 個検索し、これらの用語を含むログを返します。

詳細については、「ログであいまいクエリを実行する方法」をご参照ください。

検索文の例

検索文は、ログの内容およびインデックス構成に応じて異なる結果を返します。このトピックの例は、以下のサンプルログおよびインデックス構成に基づいています。

Text、double、および long 型

サンプルログ

このトピックでは、NGINX アクセスログを使用して一般的な検索文を紹介します。

日志样例

インデックス構成

ログをクエリするには、事前にインデックスを作成する必要があります。インデックス構成を確認するには、次の手順を実行します。

Logstore の クエリと分析 ページで、インデックス属性 > 属性を選択します。
表示されたパネルで、フィールドインデックスが構成されているかどうかを確認します。

一般的な検索

目的	検索文	デバッグ
成功した GET リクエスト（ステータスコード 200～299）を検索します。	`request_method:GET and status in [200 299]`	デバッグ
中国 (杭州) リージョン以外からの GET リクエストを検索します。	`request_method:GET not region:cn-hangzhou`	なし
GET または POST リクエストを検索します。	`request_method:GET or request_method:POST`	デバッグ
GET 以外のリクエストを検索します。	`not request_method:GET`	デバッグ
成功した GET または POST リクエストを検索します。	`(request_method:GET or request_method:POST) and status in [200 299]`	デバッグ
失敗した GET または POST リクエストを検索します。	`(request_method:GET or request_method:POST) not status in [200 299]`	デバッグ
成功した GET リクエスト（ステータスコード 200～299）で、リクエスト時間が 60 秒未満のものを検索します。	`request_method:GET and status in [200 299] not request_time>=60`	デバッグ
リクエスト時間が 60 秒のログを検索します。	`request_time:60`	デバッグ
リクエスト時間が 60 秒のログを検索します。	`request_time=60`	デバッグ
リクエスト時間が 60 秒以上 200 秒未満のログを検索します。	`request_time>=60 and request_time<200`	デバッグ
リクエスト時間が 60 秒以上 200 秒未満のログを検索します。	`request_time in [60 200)`	デバッグ
request_time フィールドが存在するログを検索します。	`request_time:*`	デバッグ
request_time フィールドが空または無効な数値を含むログを検索します。	`(request_time:"") or (not request_time > -10000000000)`	デバッグ
request_time フィールドに数値が含まれるログを検索します。	`request_time > -1000000000`	デバッグ
and を含むログを検索します。	`"and"` 説明 and は演算子ではなくリテラル文字列として扱われます。	デバッグ
request method フィールドの値が PUT のログを検索します。	`"request method":PUT` 重要フィールド名 request method にスペースが含まれているため、二重引用符 ("") で囲む必要があります。	なし
トピックが HTTPS または HTTP のログを検索します。	`__topic__:HTTPS or __topic__:HTTP`	なし
192.0.2.1 ホストからのログを検索します。	`__tag__:__client_ip__:192.0.2.1` `__tag__:__client_ip__` フィールドは Log Service の予約フィールドであり、ログを収集したホストの IP アドレスを示します。詳細については、「予約フィールド」をご参照ください。重要データ変換または Logtail プラグインを使用してログが処理された場合、タグ内のキーは通常のキーに変換されます。ログをクエリするには、フィールド名を二重引用符 ("") で囲む必要があります。例：`"__tag__:__client_ip__":192.0.2.1`。	なし
`192.168.XX.XX` を含むログを検索します。	`* \| select * from log where key like '192.168.%.%'` 詳細については、「SQL LIKE 句を使用した正確なあいまいクエリ」をご参照ください。	なし
remote_user フィールドの値が空でないログを検索します。	`not remote_user:""`	デバッグ
remote_user フィールドの値が空のログを検索します。	`remote_user:""`	デバッグ
remote_user フィールドの値が null でないログを検索します。	`not remote_user:"null"`	デバッグ
remote_user フィールドが含まれないログを検索します。	`not remote_user:*`	デバッグ
remote_user フィールドが含まれるログを検索します。	`remote_user:*`	デバッグ
city フィールドの値が Shanghai でないログを検索します。	`not city:Shanghai` 説明中国語文字列をクエリするには、インデックスを構成する際に include Chinese を有効にする必要があります。詳細については、「インデックスの作成」をご参照ください。	なし

あいまい検索

目的	検索文	デバッグ
cn で始まる単語を含むログを検索します。	`cn*`	デバッグ
region フィールドの値が cn で始まるログを検索します。	`region:cn*`	なし
region フィールドの値に cn* が含まれるログを検索します。	`region:"cn"` 説明この検索文では、`cn` はリテラル文字列として扱われます。例：ログに `region:cn,en` が含まれており、デリミタがカンマ (,) の場合、コンテンツは `region`、`cn`、および `en` に分割されます。このログは検索文を使用して見つけることができます。ログに `region:cnhangzhou` が含まれている場合、`cnhangzhou` は 1 つの用語として扱われます。このログは検索文を使用して見つけることはできません。	なし
"mozi" で始まり "la" で終わり、その間に 1 文字を含む単語を含むログを検索します。	`mozi?la`	デバッグ
"mo" で始まり "la" で終わり、その間にゼロ文字以上の文字を含む単語を含むログを検索します。	`mo*la`	デバッグ
"moz" で始まる単語と "sa" で始まる単語を含むログを検索します。	`moz* and sa*`	デバッグ
region フィールドの値が "hai" で終わるログを検索します。	検索文ではこれらのログを見つけることができません。代わりに、SQL 分析で LIKE 句を使用してください。詳細については、「SQL LIKE 句を使用した正確なあいまいクエリ」をご参照ください。 `\| select from log where region like '%hai'`	なし
message フィールドの値が `"get_time: 0.` で始まるログを検索します。	SQL 分析で like 句を使用します。 `\| select message where message like '"get_time: 0.%'` または、構造化プロセス言語 (SPL) の where 命令を使用してログをフィルターします。 `\| where message like '"get_time: 0.%'`	なし

デリミタによる検索

Log Service は、指定されたデリミタを使用してログコンテンツを単語に分割します。デフォルトのデリミタは , '";=()[]{}?@&<>/:\n\t\r です。デリミタ 設定を空にした場合、フィールド値は 1 つの用語として扱われます。そのため、この用語は文字列全体に対する完全検索またはあいまい検索でのみ見つけることができます。デリミタの設定方法の詳細については、「インデックスの作成」をご参照ください。

たとえば、http_user_agent フィールドの値は Mozilla/5.0 (Windows NT 6.1) AppleWebKit/537.2 (KHTML, like Gecko) Chrome/192.0.2.0 Safari/537.2 です。

デリミタ を空に設定した場合、フィールド値は 1 つのトークンとして扱われます。そのため、クエリ文 http_user_agent:Chrome を使用してもログを見つけることはできません。
デリミタ を , '";=()[]{}?@&<>/:\n\t\r に設定した場合、フィールド値は Mozilla、5.0、Windows、NT、6.1、AppleWebKit、537.2、KHTML、like、Gecko、Chrome、192.0.2.0、Safari、および 537.2 に分割されます。http_user_agent:Chrome などの検索文を使用してログを見つけることができます。

重要

検索キーワードにデリミタが含まれる場合は、フレーズ検索または LIKE 句を使用する必要があります。例：

フレーズ検索：#"redo_index/1"。詳細については、「フレーズ検索」をご参照ください。
LIKE 句：* | select * from log where key like 'redo_index/1'。

目的	検索文	デバッグ
http_user_agent フィールドの値に Chrome が含まれるログを検索します。	`http_user_agent:Chrome`	デバッグ
http_user_agent フィールドの値に Linux および Chrome が含まれるログを検索します。	`http_user_agent:Linux and http_user_agent:Chrome`	デバッグ
http_user_agent フィールドの値に Linux および Chrome が含まれるログを検索します。	`http_user_agent:"Linux Chrome"`	デバッグ
http_user_agent フィールドの値に Firefox または Chrome が含まれるログを検索します。	`http_user_agent:Firefox or http_user_agent:Chrome`	デバッグ
request_uri フィールドの値に /request/path-2 が含まれるログを検索します。	`request_uri:/request/path-2`	デバッグ
request_uri フィールドの値が /request で始まり、/file-0 を含まないログを検索します。	`request_uri:/request* not request_uri:/file-0`	デバッグ
`redo_index/1` フレーズを完全一致で検索します。	`#"redo_index/1"` `* \| select * from log where key like 'redo_index/1'` 説明フレーズ検索または LIKE 句を使用すると、フレーズの完全一致が得られます。標準の完全検索では、`redo_index` や `1` などの個別の用語に一致します。	なし

キーワードのエスケープ

検索文で

構文キーワードを二重引用符 ("") で囲むと、通常の文字に変換できます。フィールドクエリでは、"" で囲まれたすべての単語が 1 つのフレーズとして扱われます。

フィールド名または値に特殊文字（スペース、中国語文字、:、または - など）または構文キーワード（and または or など）が含まれる場合は、"" で囲む必要があります。たとえば、"and" を検索すると、"and" という単語を含むログが見つかり、演算子としては扱われません。
SLS は以下の単語を演算子として予約しています。これらを検索キーワードとして使用するには、"" で囲む必要があります。sort、asc、desc、group by、avg、sum、min、max、および limit。
データ変換または Logtail プラグインによってログが処理されると、タグキーは標準キーに変換されます。このキーをクエリするには、フィールド名を "" で囲む必要があります。例："__tag__:__client_ip__":192.0.2.1。__tag__:__client_ip__ フィールドは SLS の予約フィールドであり、ログ収集ホストの IP アドレスを示します。詳細については、「予約フィールド」をご参照ください。

目的	検索文
`request method` フィールドの値が `PUT` のログを検索します。フィールド名 `request method` にはスペースが含まれているため、二重引用符 ("") で囲む必要があります。	`"request method":PUT`
`system error description` フィールドの値に `DB` が含まれるログを検索します。フィールド名 `system error description` にはスペースが含まれています。	`"system error description":DB*`
このクエリは、`region` フィールドの値に `cn` が含まれるログを検索します。ここでは、`cn` は文字列です。ログコンテンツが `region:cn,en` で、デリミタがカンマ (,) の場合、ログコンテンツは `region`、`cn`、および `en` に分割されます。その後、右側の文を使用してこのログを見つけることができます。	`region:"cn*"`
`remote_user` フィールドの値が空のログを検索します。	`remote_user:""`
`Authorization` フィールドの値が `Bearer 12345` のログを検索します。フィールド値 `Bearer 12345` にはスペースが含まれています。	`"Authorization": "Bearer 12345"`
`errorContent` フィールドの値に `The body is not valid json string` が含まれるログを分析します。フィールド値にはスペースが含まれています。	`* \| select * where errorContent like '%The body is not valid json string%'`
`192.0.2.1` ホストから収集されたログを検索します。	`"__tag__:__client_ip__":192.0.2.1`

分析文における

固有名詞（フィールド名やテーブル名など）に特殊文字（スペース、中国語文字、:、または - など）または構文キーワード（and または or など）が含まれる場合は、二重引用符 ("") で囲む必要があります。
文字列を表す文字は、一重引用符 ('') で囲む必要があります。引用符で囲まれていない文字、または二重引用符 ("") で囲まれた文字は、フィールド名またはカラム名を表します。たとえば、'status' は文字列 "status" を表しますが、status または "status" は status ログフィールドを表します。

目的	分析文
`192.168.XX.XX` を含むログを検索します。	`* \| select * from log where key like '192.168.%.%'`
上位 10 件のリクエスト時間を計算します。	カラム名 `top 10` にはスペースが含まれているため、二重引用符 ("") で囲む必要があります。 `* \| SELECT max(request_time,10) AS "top 10"`
各リクエスト状態のログ件数をカウントします。	`content` フィールドは JSON 型としてインデックスされています。詳細については、「インデックス済み JSON フィールドのクエリおよび分析方法」をご参照ください。 `* \| SELECT "content.status", COUNT(*) AS PV GROUP BY "content.status"`

JSON 型

サンプルログ

{
  "timestamp": "2025-03-21T14:35:18Z",
  "level": "ERROR",
  "service": {
    "name": "payment-processor",
    "version": "v2.8.1",
    "environment": "production"
  },
  "error": {
    "code": 5031,
    "message": "Failed to connect to third-party API",
    "details": {
      "endpoint": "https://api.paymentgateway.com/v3/verify",
      "attempts": 3,
      "last_response": {
        "status_code": 504,
        "headers": {
          "Content-Type": "application/json",
          "X-RateLimit-Limit": "100"
        }
      }
    }
  },
  "user": {
    "id": "usr-9a2b3c4d",
    "session": {
      "id": "sess-zxy987",
      "device": {
        "type": "mobile",
        "os": "Android 14",
        "network": "4G"
      }
    }
  },
  "trace": {
    "correlation_id": "corr-6f5e4d3c",
    "span_id": "span-00a1b2"
  }
}

インデックス構成

ログをクエリするには、事前にインデックスを作成する必要があります。インデックス構成を確認するには、次の手順を実行します。

Logstore の クエリと分析 ページで、インデックス属性 > 属性を選択します。
表示されたパネルで、フィールドインデックスが構成されているかどうかを確認します。

例

目的	検索文
リクエストエラーを記録したログを検索します。	`level:error`
ID が `usr-9a2b3c4d` のユーザーからのすべてのリクエストを検索します。	`user.id:usr-9a2b3c4d`
ユーザー `usr-9a2b3c4d` で、エラーのステータスコードが 504 のログを検索します。	`user.id:usr-9a2b3c4d and error.details.last_response.status_code :504`

Simple Log Service:検索構文と関数

前提条件

基本構文

検索クエリの作成

ステップ 1：検索タイプの選択

全文検索

検索構文

例

フィールド指定検索

検索構文

例

ステップ 2：フィールドのデータ型

フィールドのデータ型

演算子

ステップ 3：マッチモードの選択

検索文の例

Text、double、および long 型

サンプルログ

インデックス構成

一般的な検索

あいまい検索

デリミタによる検索

キーワードのエスケープ

検索文で

分析文における

JSON 型

サンプルログ

インデックス構成

例

よくある質問

クエリがログを返さない

JSON ログの問題

クエリエラーのトラブルシューティング

関連トピック