ログが収集されたソースマシンを特定し、IPアドレスを使用してログを照会し、2つの条件を使用してログを照会し、異なる方法を使用してログを照会する - Simple Log Service

このトピックでは、ログクエリに関するよくある質問に対する回答を提供します。

ログを照会するときに、ログが収集されるソースマシンを特定するにはどうすればよいですか?

Logtail設定がIPアドレスベースのマシングループに適用されている場合は、内部IPアドレスを使用してソースマシンを識別できます。詳細については、「IPアドレスベースのマシングループの作成」をご参照ください。
ステートメント __tag __:__ hostname __: XXXを実行する前に、__tag __:__ hostname__ フィールドのインデックスを作成し、そのフィールドの分析の有効化をオンにする必要があります。インデックスの作成方法の詳細については、「インデックスの作成」をご参照ください。 __tag__ フィールドの詳細については、「予約済みフィールド」をご参照ください。たとえば、次のステートメントを使用して、異なるホスト名がログに表示される回数を照会できます。
```
* | select '__tag__:__hostname__' , count(1) as count group by '__tag__:__hostname__'
```

IPアドレスを使用してログを照会します。
```
__tag__:__client_ip__:192.0.2.1
```
IPアドレスが192.0.2で始まるクエリログ。
```
__source__:192.0.2.*
```
IPアドレスが192.168.XX.XXと一致するログを照会します。正規表現を使用してファジーマッチを実行することもできます。詳細については、「」をご参照ください。ファジーマッチを使用してログを照会するにはどうすればよいですか?
```
* | select * from log where key like '192.168.%.%'
```

2つの条件を使用してログを照会する場合は、一度に2つのステートメントを指定します。

たとえば、LogstoreでステータスフィールドがOKでもUnknownでもないログを照会する場合は、not OK not Unknownを使用して条件を満たすログを取得できます。

次のいずれかの方法を使用して、Simple Log Serviceのログを照会できます。

Simple Log Serviceコンソールを使用してログを照会します。 Simple Log Serviceコンソールでログを照会および分析する方法の詳細については、「ログの照会および分析」をご参照ください。
Simple Log Service SDKを使用してログを照会します。詳細については、「Simple Log Service SDKの概要」をご参照ください。
RESTful API操作を使用してログを照会します。詳細については、「GetLogs」をご参照ください。

考えられる理由は、クライアントのネットワークファイアウォールが、SQL分析で使用されるキーワードを含む要求を傍受することです。

使用するSimple Log ServiceエンドポイントをHTTPSで始まるエンドポイントに変更して、クライアントのネットワークファイアウォールが原因であるかどうかを確認することを推奨します。

次のリストは、Simple Log Serviceのクエリと分析のために保持できるフィールド値の長さの制限について説明しています。

ログを照会する場合、照会のために保持できるフィールド値の最大長は524,288バイトで、これは512 KBに相当します。
ログを分析する場合、分析用に保持できるフィールド値のデフォルトの最大長は2,048バイトで、これは2 KBに相当します。最大長は16,384バイトに拡張できます。これは16 KBに相当します。
フィールド値の最大長を変更する場合は、[maximum Statistics field length] パラメーターを設定します。 64〜16,384バイトの値を指定できます。詳細については、「インデックスの作成」をご参照ください。

フィールド値の長さが上限を超えると、フィールド値は切り捨てられ、余分な部分はクエリまたは分析のために保持されません。

ログを分析したいが、インデックスを設定していない場合、または必要なフィールドのインデックスを設定できない場合は、次の操作を実行して問題を解決できます。

インデックスの設定またはデータの再インデックス
- 新しく書き込まれたログを分析する場合は、必要なフィールドのインデックスを設定し、フィールドの分析を有効にすることができます。詳細については、「インデックスの作成」をご参照ください。
- 履歴ログを分析する場合は、履歴ログの必須フィールドを再インデックスする必要があります。詳細については、「Logstoreのログの再インデックス」をご参照ください。
スキャン機能の有効化
インデックスを設定できない場合は、スキャン機能を有効にしてログを分析できます。詳細については、「スキャンベースの分析の概要」および「スキャンログ」をご参照ください。

デフォルトでは、クエリステートメントを実行すると、Simple Log ServiceはLIMIT 100句をクエリステートメントに追加します。返される行数を変更する場合は、LIMIT句を変更できます。詳細は、「LIMIT句」をご参照ください。