Simple Log Service:クエリ構文と関数

フィールドデータ型

説明

サポートされる演算子

テキスト

関連フィールドのデータ型をテキストに設定することで、文字列型のデータをクエリできます。 既定では、フルテキストインデックスを有効にすると、__time__ フィールドを除くログ内のすべてのフィールドのデータ型がtextに設定されます。

、or、not、() 、: 、"" 、\、* 、?

ロングとダブル

フィールドのデータ型をlongまたはdoubleに設定した場合にのみ、数値範囲を使用してフィールドの値を照会できます。

• フィールドのデータ型をdoubleまたはlongに設定しない場合、または数値範囲の構文が無効な場合、Simple Log Serviceは全文検索を実行し、検索結果が予想される結果と異なる場合があります。

  たとえば、owner_id>100検索文を実行し、owner_idフィールドのデータ型がdoubleまたはlongでない場合、owner_id、> 、および100を含むログが返されます。 この例では、より大きい記号 (>) は区切り文字ではありません。

• フィールドのデータ型をtextからdoubleまたはlongに変更した場合、等号 (=) のみを使用してデータをクエリできます。 データをクエリするために、範囲と比較演算子 (たとえば、より大きい (>) およびより小さい (<)) 記号を使用する場合は、データのインデックスを再作成する必要があります。 詳細については、「Logstoreのログの再インデックス」をご参照ください。

、or、not、() 、> 。 >= 、< 、<= 、=、およびin。

JSON

フィールドの値に基づいて、JSONオブジェクトのフィールドのデータ型をlong、double、またはtextに設定し、そのフィールドの分析を有効にすることができます。

JSONオブジェクトのフィールドのデータ型に基づいて演算子を指定します。

検索タイプ

説明

例

正確な検索

完全な単語が検索に使用されます。

Simple Log Serviceは、単語分割を使用してログを照会します。 正確な検索では、フレーズを完全に一致させることはできません。 たとえば、abc def検索文は、abcとdefを含むログを返します。 フレーズabc defは完全に一致することはできません。 abc defフレーズを完全に一致させたい場合は、フレーズ検索を実行するか、LIKE句を使用できます。 詳細については、「フレーズ検索」および「完全一致を使用してログを照会する方法」をご参照ください。

• hos t:example.com: hostフィールドの値にexample.comが含まれているログを返します。

• PUTおよびcn-shanghai: PUTおよびcn-shanghaiキーワードを含むログを返します。

• * | Select * where http_user_agent like '% like Gecko %': http_user_agentフィールドの値にlike Geckoフレーズが含まれるログを返します。

• #"redo_index/1": redo_index/1フレーズを含むログを返します。

ファジー検索

あいまい検索を実行するときに、検索文の単語の中央または末尾に、ワイルドカード文字としてアスタリスク (*) または疑問符 (?) を追加できます。 単語の長さは1〜64文字でなければなりません。 単語にワイルドカード文字が含まれている場合、Simple Log Serviceはすべてのログを検索し、その単語に一致する最大100の単語を取得します。 その後、Simple Log Serviceは、これらの単語を1つ以上含むログを返します。 より正確な単語を指定すると、検索結果はより正確になります。

• request_time>60およびrequest_method:Ge *: request_timeフィールドの値が60より大きく、request_methodフィールドの値がGeで始まるログを返します。

• addr *: すべてのログからaddrで始まる100の単語を取得し、これらの単語の1つ以上を含むログを返します。

• host:www.yl *: すべてのログのhostフィールドの値からwww.ylで始まる100の単語を取得し、これらの単語の1つ以上を含むログを返します。

詳細については、「」をご参照ください。ファジーマッチを使用してログを照会するにはどうすればよいですか?

期待される検索結果

検索文

デバッグ

成功したGETリクエストを記録するログ (ステータスコード: 200〜299)

request_method:GET and status in [200 299]

デバッグ

GETリクエストを記録し、リクエストのソースリージョンが中国 (杭州) リージョンではないログ

request_method:GET not region:cn-hangzhou

なし

GETリクエストまたはPOSTリクエストを記録するログ

request_method:GET or request_method:POST

デバッグ

GETリクエストを記録しないログ

not request_method:GET

デバッグ

成功したGETリクエストまたは成功したPOSTリクエストを記録するログ

(request_method:GET or request_method:POST) and status in [200 299]

デバッグ

失敗したGETリクエストまたは失敗したPOSTリクエストを記録するログ

(request_method:GET or request_method:POST) not status in [200 299]

デバッグ

成功したGETリクエスト (ステータスコード: 200〜299) を記録し、リクエスト期間が60秒未満のログ

request_method:GET and status in [200 299] not request_time>=60

デバッグ

リクエスト期間が60秒に等しいログ

request_time:60

デバッグ

request_time=60

デバッグ

リクエスト期間が60秒以上で200秒未満のログ

request_time>=60 and request_time<200

デバッグ

request_time in [60 200)

デバッグ

request_timeフィールドが空であるか、またはフィールドの値が無効な番号であるログ

request_time:* not request_time > -10000000000

デバッグ

request_timeフィールドを含み、フィールドの値が数値であるログ

request_time > -1000000000

デバッグ

とを含むログと

"and"

デバッグ

リクエストメソッドフィールドの値がPUTのログ

"request method":PUT

なし

トピックがHTTPSまたはHTTPのログ

__topic__:HTTPS or __topic__:HTTP

なし

192.0.2.1ホストから収集されたログ

__tag__:__client_ip__:192.0.2.1

__tag __:__ client_ip__ フィールドは、Simple Log Serviceの予約済みフィールドです。 このフィールドは、ログを収集するホストのIPアドレスを示します。 詳細については、「予約済みフィールド」をご参照ください。

なし

IPアドレスが192.168.XX.XXと一致するログ

* | select * from log where key like '192.168.%.%'

詳細については、「LIKE句を使用してファジー一致を実装する」をご参照ください。

なし

remote_userフィールドが空でないログ

not remote_user:""

デバッグ

remote_userフィールドが空のログ

remote_user:""

デバッグ

remote_userフィールドの値がnullでないログ

not remote_user:"null"

デバッグ

remote_userフィールドを含まないログ

not remote_user:*

デバッグ

remote_userフィールドを含むログ

remote_user:*

デバッグ

cityフィールドの値が上海ではないログ

not city:Shanghai

なし

期待される検索結果

検索文

デバッグ

特定の単語を含むログ。 単語はcnで始まります。

cn*

デバッグ

regionフィールドの値がcnで始まるログ。

region:cn*

なし

regionフィールドの値にcn * が含まれるログ。

region:"cn*"

なし

特定の単語を含むログ。 単語はmoziで始まり、laで終わり、moziとlaの間に1文字が含まれます。

mozi?la

デバッグ

特定の単語を含むログ。 単語はmoで始まり、laで終わり、moとlaの間に0、1、またはそれ以上の文字が含まれます。

mo*la

デバッグ

特定の単語を含むログ。 言葉はmozまたはsaで始まります。

moz* and sa*

デバッグ

regionフィールドの値がhaiで終わるログ。

検索文を使用してログを検索することはできません。 SQL文でLIKE句を使用して、ログを検索できます。 詳細については、「LIKE句を使用してファジー一致を実装する」をご参照ください。

* | select * from log where region like '%hai'

なし

期待される検索結果

検索文

デバッグ

http_user_agentフィールドの値にChromeが含まれるログ

http_user_agent:Chrome

デバッグ

http_user_agentフィールドの値にLinuxおよびChromeが含まれるログ

http_user_agent:Linux and http_user_agent:Chrome

デバッグ

http_user_agent:"Linux Chrome"

デバッグ

http_user_agentフィールドの値にFirefoxまたはChromeが含まれるログ

http_user_agent:Firefox or http_user_agent:Chrome

デバッグ

request_uriフィールドの値に /request/path-2が含まれるログ

request_uri:/request/path-2

デバッグ

request_uriフィールドの値が /requestで始まり、/file-0を含まないログ

request_uri:/request* not request_uri:/file-0

デバッグ

redo_index/1フレーズが完全に一致するログ

• #"redo_index/1"

• * | select * from log where key like 'redo_index/1'

なし

期待される検索結果

検索文

リクエストメソッドフィールドの値にPUTが含まれるログ。 リクエストメソッドフィールドの名前にはスペースが含まれます。

"request method":PUT

192.0.2.1ホストから収集されたログ。

"__tag__:__client_ip__":192.0.2.1

期待される検索結果

検索文

IPアドレスが192.168.XX.XXと一致するログ

* | select * from log where key like '192.168.%.%'