Simple Log Service:検索構文と関数

高度な検索例

• あいまい検索

  想定される検索結果	検索ステートメント	デバッグ
  特定の単語を含むログ。cn で始まる単語。	cn*	デバッグ
  region フィールド値が cn で始まるログ。	region:cn*	なし
  region フィールド値に cn* が含まれるログ。	region:"cn*" 説明 この検索ステートメントでは、cn* は完全な文字列です。例： ログの内容が region:cn*,en で、デリミタがカンマ (,) の場合、Simple Log Service はログの内容を region、cn*、en に分割します。この検索ステートメントを使用してログを検索できます。 ログの内容が region:cn*hangzhou の場合、Simple Log Service は cn*hangzhou を全体として扱います。この場合、この検索ステートメントを使用してログを検索することはできません。	なし
  特定の単語を含むログ。mozi で始まり、la で終わり、mozi と la の間に 1 文字が含まれる単語。	mozi?la	デバッグ
  特定の単語を含むログ。mo で始まり、la で終わり、mo と la の間に 0 個以上の文字が含まれる単語。	mo*la	デバッグ
  特定の単語を含むログ。moz または sa で始まる単語。	moz* and sa*	デバッグ
  region フィールド値が hai で終わるログ。	検索ステートメントを使用してログを検索することはできません。SQL ステートメントの LIKE 句を使用してログを検索できます。詳細については、「LIKE 句を使用してあいまい一致を実装する」をご参照ください。 * | select * from log where region like '%hai'	なし

• デリミタベースの検索

  Simple Log Service は、指定したデリミタに基づいてログの内容を複数の単語に分割します。デフォルトのデリミタは , '";=()[]{}?@&<>/:\n\t\r です。[デリミタ] を空のままにすると、Simple Log Service は各フィールドの値を全体として扱います。この場合、完全な文字列を使用するか、あいまい検索を実行することによってのみログを検索できます。デリミタの指定方法の詳細については、「インデックスを作成する」をご参照ください。

  たとえば、http_user_agent フィールド値が Mozilla/5.0 (Windows NT 6.1) AppleWebKit/537.2 (KHTML, like Gecko) Chrome/192.0.2.0 Safari/537.2 であるとします。

  • [デリミタ] を空のままにすると、Simple Log Service はフィールド値を全体として扱います。この場合、http_user_agent:Chrome 検索ステートメントを使用してログを検索することはできません。

  • [デリミタ] を , '";=()[]{}?@&<>/:\n\t\r に設定すると、Simple Log Service はフィールド値を Mozilla、5.0、Windows、NT、6.1、AppleWebKit、537.2、KHTML、like、Gecko、Chrome、192.0.2.0、Safari、537.2 に分割します。この場合、http_user_agent:Chrome 検索ステートメントを使用してログを検索できます。

  重要

  検索キーワードにデリミタが含まれている場合は、フレーズ検索を実行するか、LIKE 句を使用できます。例：

  • フレーズ検索: #"redo_index/1"。詳細については、「フレーズ検索」をご参照ください。

  • LIKE 句: * | select * from log where key like 'redo_index/1'。

  想定される検索結果	検索ステートメント	デバッグ
  http_user_agent フィールド値に Chrome が含まれるログ	http_user_agent:Chrome	デバッグ
  http_user_agent フィールド値に Linux と Chrome が含まれるログ	http_user_agent:Linux and http_user_agent:Chrome	デバッグ
  	http_user_agent:"Linux Chrome"	デバッグ
  http_user_agent フィールド値に Firefox または Chrome が含まれるログ	http_user_agent:Firefox or http_user_agent:Chrome	デバッグ
  request_uri フィールド値に /request/path-2 が含まれるログ	request_uri:/request/path-2	デバッグ
  request_uri フィールド値が /request で始まり、/file-0 を含まないログ	request_uri:/request* not request_uri:/file-0	デバッグ
  redo_index/1 フレーズが完全に一致するログ	#"redo_index/1" * | select * from log where key like 'redo_index/1' 説明 フレーズ検索を実行するか、LIKE 句を使用してフレーズを完全に一致させることができます。完全一致検索を実行すると、redo_index や 1 などの単語が一致となります。	なし

特殊なシナリオでのクエリの例

• 検索文

  この演算子は、構文キーワードを囲むために使用されます。構文キーワードが二重引用符（""）で囲まれている場合、キーワードは通常の単語に変換されます。フィールド固有の検索では、二重引用符（""）で囲まれた単語は全体として扱われます。

  • フィールド名またはフィールド値に、スペース、中国語の文字、コロン（:）、ハイフン（-）などの特殊文字、または and や or などの構文キーワードが含まれている場合は、フィールド名またはフィールド値を二重引用符（""）で囲む必要があります。たとえば、"and" は、単語 and を含むログを返します。この場合、and は演算子ではありません。

  • Simple Log Service は、sort、asc、desc、group by、avg、sum、min、max、limit などの演算子をサポートしています。これらの演算子をキーワードとして使用するには、演算子を二重引用符（""）で囲む必要があります。

  • データ変換機能または Logtail プラグインを使用してログが処理される場合、__tag__:__client_ip__ フィールドのキーは共通キーに変換されます。ログを検索する場合は、検索文で __tag__:__client_ip__ フィールドの名前を二重引用符（""）で囲む必要があります。例："__tag__:__client_ip__":192.0.2.1。__tag__:__client_ip__ フィールドは、Simple Log Service の予約フィールドです。このフィールドは、ログが収集されるホストの IP アドレスを示します。詳細については、「予約フィールド」をご参照ください。

  想定されるクエリ結果	検索文
  request method フィールド値に PUT が含まれるログ。フィールド名にはスペースが含まれています。	"request method":PUT
  system error description フィールド値に DB が含まれるログ。フィールド名にはスペースが含まれています。	"system error description":DB*
  Authorization フィールド値がスペースを含む Bearer 12345 であるログ。	"Authorization": "Bearer 12345"
  errorContent フィールド値にスペースを含む The body is not valid json string が含まれるログ。	* | select * where errorContent like '%The body is not valid json string%'
  192.0.2.1 ホストから収集されたログ。	"__tag__:__client_ip__":192.0.2.1

• 分析文

  • フィールド名やテーブル名などの固有名詞に、スペース、中国語の文字、コロン（:）、ハイフン（-）などの特殊文字、または and や or などの構文キーワードが含まれている場合は、分析文で固有名詞を二重引用符（""）で囲む必要があります。

  • 特定の文字が文字列を表す場合は、分析文で一重引用符（''）を使用して文字を囲む必要があります。たとえば、'status' は status 文字列を示し、status または "status" は status ログフィールドを示します。

  想定されるクエリ結果	クエリ文
  IP アドレスが 192.168.XX.XX と一致するログ。	* | select * from log where key like '192.168.%.%'

  詳細については、「クエリ文で引用符を使用する方法」をご参照ください。

インデックス構成

例

クエリと分析の例の詳細については、「JSON ログのクエリと分析」および「JSON ログのクエリと分析に関する FAQ」をご参照ください。

level:error

user.id:usr-9a2b3c4d

user.id:usr-9a2b3c4d and error.details.last_response.status_code :504