搜索与分析日志
云日志服务支持管道符特性在一个语句中同时进行搜索和分析。其语法结构主要由三部分构成:针对非结构化数据和半结构化数据的搜索语句、管道符“|”和针对结构化数据的查询的分析语句。语法示例结构:* and msg:"hello world" | SELECT avg(value)
日志搜索分析
- 在云日志服务管理控制台,单击“日志管理”。
- 在日志组列表中,单击日志组名称前对应的
按钮。
- 在日志流列表中,单击日志流名称,进入日志详情页面。
图1 日志搜索页面
- 在“日志搜索”页签,查看快速分析下方的结构化字段和索引配置字段,可以直接单击对应字段后面的
图表,查看指标信息,详细操作请参考创建快速分析。
图2 结构化字段 - 在日志搜索页面,当搜索数据量过大时,LTS开始执行自动迭代查询日志。
- 自动迭代查询日志过程中,搜索框不支持输入,您可以单击“暂停查询”中断自动查询过程,若需要继续查询日志,单击“继续查询”恢复自动查询。建议您等待当前自动迭代查询完成后再发起新的查询任务。
- 对于较长时间的迭代查询,建议您缩小时间范围或添加过滤条件减少迭代次数。
- 在“统计图表”页签,在右上角选择时间范围,可以查看原始日志和统计图表。在搜索框由搜索语句和SQL分析语句组成,两者通过管道符|联动。详细请参考SQL函数。
图3 时间范围
时间范围有三种方式,分别是相对时间、整点时间和自定义。您可以根据自己的实际需求,选择时间范围。
- 相对时间:表示查询距离当前时间1分钟、5分钟、15分钟等时间区间的日志数据。例如当前时间为19:20:31,设置相对时间1小时,表示查询18:20:31~19:20:31的日志数据。
- 整点时间:表示查询最近整点1分钟、15分钟等时间区间的日志数据。例如当前时间为19:20:31,设置整点时间1小时,表示查询18:00:00~19:00:00的日志数据。
- 自定义:表示查询指定时间范围的日志数据。
- 支持设置日志数据的版面展示,主要设置字段是否显示或简化显示。
- 在下拉框单击编辑版面,进入版面设置页面,版面列表自带默认版面、纯净版面、容器日志默认版面,可以设置字段在版面是否显示。
图4 编辑版面
- 云端:适用于有写权限的用户,版面配置信息保存在云端。支持设置账号级别或用户级别的版面配置。
- 本地缓存:适用于只有读权限的用户,版面配置信息缓存在本地浏览器。
- 在版本设置页面的版本列表下方,单击“+”新增自定义版面,设置版面名称和版面字段的可见性。
图5 版面设置
新创建的版面可以进行如下操作:
- 编辑:单击
可以编辑版面的显示名称。
- 复制:鼠标悬浮
上,勾选复制到本地缓存,或者勾选云端-账号级别或云端-用户级别,单击“确定”即可复制版面信息。
- 删除:单击
,单击“确定”即可删除版面信息。
删除版面信息后无法恢复,请谨慎操作。
- 编辑:单击
- 设置完成后,单击“确定”,返回下拉框显示新增的自定义版面。
- 在下拉框单击编辑版面,进入版面设置页面,版面列表自带默认版面、纯净版面、容器日志默认版面,可以设置字段在版面是否显示。
- 在“日志搜索”页面,显示列设置。
交互模式
使用交互模式之前,请确保日志正常上报,且已经完成结构化分析和索引配置,详细请参考使用ICAgent插件采集主机日志和创建LTS日志索引。
若用户在日志接入LTS时没有配置ICAgent结构化解析,可以单独给目标日志流配置ICAgent结构化解析或云端结构化解析。推荐使用ICAgent结构化解析的方式,更多内容请参考配置ICAgent结构化解析。
交互式搜索分析适用于生成简单的分析语句,操作简单,通过在界面上设置搜索条件和指定日志查询时的过滤规则,从而筛选日志中满足条件的记录。如果您需要使用更多的函数或者嵌套查询,请手动输入SQL语句。详细请参考SQL函数。
- 单击搜索框前面的“交互式搜索分析”,进入交互式搜索分析页面,支持设置日志搜索和日志分析。
图6 交互模式
- 在“日志搜索”下方的下拉框选择日志搜索的字段和条件,搜索框则会展示对应字段的值。根据业务需要,用户可以自定义设置搜索方式,添加关联关系或添加组进行搜索。
- 下拉框显示的字段为索引配置字段、结构化字段、内置保留字段。
- 且(AND)表示在多个条件中需要同时满足所有条件才能成立。
- 或(OR)表示在多个条件中只需满足其中一个条件即可。
例如在界面上选择content、hostId、pathFile字段,设置不同的条件,随时可以预览搜索语句,如有问题,可以修改搜索条件,操作简单。
- 在日志分析下方,设置分析规则。
- 您可以根据需要设置不同的条件,随时可以预览搜索语句,如有问题,随时修改搜索条件,操作简单。设置完成后,单击“确定”,在“统计图表”页面,即可查看分析结果。更多信息请参考使用统计图表将日志可视化。
日志搜索的常用操作
日志搜索的常用操作有分享日志、刷新等操作,具体参考表1。
操作 |
说明 |
---|---|
创建快速查询 |
单击 |
查看仪表盘 |
单击 |
添加告警 |
单击 |
分享日志 |
单击 |
刷新日志 |
单击
|
复制 |
单击 |
查看上下文 |
单击 支持选择简洁模式查看日志上下文。支持下载上下文内容。 |
更多操作 |
单击
|
换行/取消换行 |
单击 |
下载日志 |
说明:
该功能仅支持白名单用户使用,如有需要,请提交工单申请开通。 请确保当前日志流上传了原始日志,否则下载后文件将没有内容。 鼠标悬浮在
|
全部折叠/全部展开 |
单击 |
JSON设置 |
鼠标悬浮在 默认开启格式化,JSON默认展开层级为2层。若日志包含多个反斜杠,当日志展示为json格式时,会丢失一个反斜杠,因为json解析会将第一个反斜杠作为转义符处理。
|
日志折叠设置 |
鼠标悬浮在 日志超过设置的长日志字符个数时,超出字符将被隐藏,单击“展开”按钮可查看全部内容。 默认开启自动折叠长日志,字符个数默认为400个。 |
日志时间展示 |
鼠标悬浮在 |
不可见字段列表 |
该列表展示版面设置中配置的不可见性字段。
|
相关文档
- 日志接入LTS成功后,您可通过云日志服务LTS的日志告警功能,通过设置告警规则提醒您日志中的异常情况,请参考配置日志告警规则。
- 如果在搜索日志时遇到问题,您可以参考日志搜索与分析常见问题获取解决方案。
- 为您推荐几种在真实使用场景下日志搜索与分析的实践教程。更多信息请参考日志搜索与分析最佳实践。
- WAF接入LTS后,支持通过LTS分析WAF日志。您可以参考在LTS页面分析华为云WAF日志。
- LTS支持将日志查询界面嵌入到客户自建系统。您可以参考将将LTS日志查询页面嵌入用户自建系统。