7.2. 検索方法
検索は、以下のフォームに値を入力して行ないます。
検索条件のフォーマットは以下の通りです。
sshというワードを含むログを検索する場合、以下のように入力します。:
sshまたはloginというワードを含むログを検索する場合、以下のように入力します。:
ssh loginというワードを含むログを検索する場合、以下のように入力します。:
typeフィールドにsshというワードが含まれるログを検索する場合、以下のように入力します。:
typeフィールドにsshまたはloginというワードが含まれるログを検索する場合、以下のように入力します。:
typeフィールドにssh loginというワードが含まれるログを検索する場合、以下のように入力します。:
typeというフィールドが存在するログを検索する場合、以下のように入力します。:
typeというフィールドが存在しないログを検索する場合、以下のように入力します。:
上記の通り、デフォルトの条件はORになります。AND条件で検索したい場合は、明示的にANDを入力します。:
"ssh login" AND source:example.org
NOTもANDと組み合わせて利用できます。:
"ssh login" AND NOT source:example.org
ワイルドカードを利用して、部分一致検索を行なうこともできます。:
source:*.org
source:exam?le.org
source:exam?le.*
Note
ワイルドカードを利用するためには、server.confの allow_leading_wildcard_searches の値が true になっている必要があります。ワイルドカードを利用する場合、非常に多くのメモリを消費することがあるため注意が必要です。
検索ワードの後ろにチルダを付与することで、あいまい検索を行なうこともできます。
あいまい検索は、レーベンシュタイン距離で実装されており、チルダの後ろにヒットするワードの距離を指定できます。:
数値フィールドであれば、値の範囲を指定することもできます。
[]は直後の値を含む検索を行ない、{}を使った場合は、直後の値を含まない検索になります。両方を組み合わせて使うこともできます。:
http_response_code:[ 500 TO 504 ]
http_response_code:{ 400 TO 404 }
byte:{ 0 TO 64 ]
http_response_code:[ 0 TO 64 }
範囲演算子を使うこともできます。:
http_response_code:>400
http_response_code:<400
http_response_code:>=400
http_response_code:<=400
検索条件に、以下の値が含まれる場合、バックスラッシュでエスケープすることができます。:
&& || : \ / + - ! ( ) { } [ ] ^ " ~ * ?
7.3. 時間帯検索
次のフォームに値を入力することで、時間帯を絞って検索ができます。時間を絞ることで、より素早い検索が可能になり、またシステムへの負荷を軽減することができます。
時間帯は、次の３つの種類から選択することができます。
相対時間
- 現在から1時間前など相対的な範囲で検索を行なうことができます。
- 検索条件を保存して毎回同じ条件で検索したい場合などに有効です。
絶対時間
キーワード
7.4. 検索条件の保存
Save search criteria ボタンをクリックすることで、現在の検索条件を保存することができます。
保存した条件は、 Saved searches のフォームから呼び出すことができます。
保存した検索条件を呼び出したあと、その条件を更新したり、削除することもできます。
7.5. 検索結果
検索結果は Messages に表示されます。デフォルトでは、Timestampやsource, messageフィールドの値が表示されています。
検索画面左の Fields のチェックを変更することで、表示するフィールドを変更することができます。
7.6. 検索結果の加工(Decoratorの使用)
デコレータを使用することで、保存されたログの形式を変更することなく、検索結果の表示を変更することができます。
デコレータを適用するためには、Search resultの Decorators のタブをクリックします。
次に利用するデコレータを選択することで、デコレータを設定できます。
各デコレータの解説は次の通りです。
7.6.1. Syslog Severity Mapper
Syslogのレベルを人間が読みやすい文字列に変換をするためのデコレータです。
例えば、Syslogのレベルを表す level フィールドに登録されているデータを Warning(4) などに変換できます。
このデコレータを使用するためには、以下のフィールドが必要です。
- 変換元のフィールド: 数値のsyslogレベル
- 変換先のフィールド: 変換した値を一時的に保存する任意のフィールド
7.6.3. Pipe line processor decorator
登録済みのPipe lineを使用して、値を一時的に整形するデコレータです。
7.6.4. Lookup table
登録済みのLookup tableを使用して、値を一時的に整形するデコレータです。
