Simple Log Service:SPLの指示

project

この命令は、指定されたパターンに一致するフィールドを保持し、指定されたフィールドの名前を変更します。 命令実行中、すべての保持関連式は、リネーム関連式の前に実行される。

構文

| project -wildcard <field-pattern>, <output>=<field>, ...

パラメーター

例

• 例1: フィールドを保持します。

  * | project level, err_msg

• 例2: フィールドの名前を変更します。

  * | project log_level=level, err_msg

• 例3: 完全一致モードで __tag __: * に基づいてフィールドを保持します。

  * | project "__tag__:*"

プロジェクト-離れて

この命令は、指定されたパターンに一致するフィールドを削除し、他のすべてのフィールドをそのまま保持します。

構文

| project-away -wildcard <field-pattern>, ...

パラメーター

project-rename

この命令は、指定されたフィールドの名前を変更し、他のすべてのフィールドをそのまま保持します。

構文

| project-rename <output>=<field>, ...

パラメーター

例

指定したフィールドの名前を変更します。

* | project-rename log_level=level, log_err_msg=err_msg

伸ばす

この命令は、SQL式ベースのデータ計算の結果に基づいてフィールドを作成します。 SPLでサポートされているSQL関数の詳細については、「SPLでサポートされているSQL関数」をご参照ください。

構文

| extend <output>=<sql-expr>, ...

Parameters

例

• 例1: 計算式の使用

  * | extend Duration = EndTime - StartTime

• 例2: 正規表現を使用する。

  * | extend server_protocol_version=regexp_extract(server_protocol, '\d+')

• 例3: JSONPathコンテンツを抽出し、フィールドのデータ型を変換します。

  • SPLステートメント

    *
    | extend a=json_extract(content, '$.body.a'), b=json_extract(content, '$.body.b')
    | extend b=cast(b as BIGINT)

  • 入力データ

    content: '{"body": {"a": 1, "b": 2}}'

  • 結果

    content: '{"body": {"a": 1, "b": 2}}'
    a: '1'
    b: 2

where

この命令は、SQL式ベースのデータ計算の結果に基づいてデータをフィルタリングします。 指定されたSQL式に一致するデータは保持されます。 where命令でサポートされているSQL関数の詳細については、「SPLでサポートされているSQL関数」をご参照ください。

構文

| where <sql-expr>

Parameters

例

• 例1: フィールドコンテンツに基づいてデータをフィルタリングします。

  * | where userId='123'

• 例2: フィールド名に基づいてデータと一致する正規表現を使用してデータをフィルタリングします。

  * | where regexp_like(server_protocol, '\d+')

• 例3: サーバーエラーのすべてのデータに一致するようにフィールドのデータ型を変換します。

  * | where cast(status as BIGINT) >= 500

parse-regexp

この命令は、指定された正規表現のグループに一致する情報を指定されたフィールドから抽出します。

構文

| parse-regexp <field>, <pattern> as <output>, ...

パラメーター

例

• 例1: 探索的一致モードを使用する。

  • SPLステートメント

    *
    | parse-regexp content, '(\S+)' as ip -- Generate the ip: 10.0.0.0 field. 
    | parse-regexp content, '\S+\s+(\w+)' as method -- Generate the method: GET field.

  • 入力データ

    content: '10.0.0.0 GET /index.html 15824 0.043'

  • 結果

    content: '10.0.0.0 GET /index.html 15824 0.043'
    ip: '10.0.0.0'
    method: 'GET'

• 例2: 完全パターン一致モードを使用し、正規表現で名前のないキャプチャグループを使用します。

  • SPLステートメント

    * | parse-regexp content, '(\S+)\s+(\w+)' as ip, method

  • 入力データ

    content: '10.0.0.0 GET /index.html 15824 0.043'

  • 結果

    content: '10.0.0.0 GET /index.html 15824 0.043'
    ip: '10.0.0.0'
    method: 'GET'

parse-csv

指定されたフィールドからCSV形式の情報を抽出します。

構文

| parse-csv -delim=<delim> -quote=<quote> -strict <field> as <output>, ...

パラメーター

例

• 例1: シンプルモードでデータを一致させる。

  • SPLステートメント

    * | parse-csv content as x, y, z

  • 入力データ

    content: 'a,b,c'

  • 結果

    content: 'a,b,c'
    x: 'a'
    y: 'b'
    z: 'c'

• 例2: 引用符として二重引用符を使用して、特殊文字を含むデータを照合します。

  • SPLステートメント

    * | parse-csv content as ip, time, host

  • 入力データ

    content: '192.168.0.100,"10/Jun/2019:11:32:16,127 +0800",example.aliyundoc.com'

  • 結果

    content: '192.168.0.100,"10/Jun/2019:11:32:16,127 +0800",example.aliyundoc.com'
    ip: '192.168.0.100'
    time: '10/Jun/2019:11:32:16,127 +0800'
    host: 'example.aliyundoc.com'

• 例3: 区切り文字として複数の文字の組み合わせを使用します。

  • SPLステートメント

    * | parse-csv -delim='||' content as time, ip, req

  • 入力データ

    content: '05/May/2022:13:30:28||127.0.0.1||POST /put?a=1&b=2'

  • 結果

    content: '05/May/2022:13:30:28||127.0.0.1||POST /put?a=1&b=2'
    time: '05/May/2022:13:30:28'
    ip: '127.0.0.1'
    req: 'POST /put?a=1&b=2'

parse-json

この命令は、指定されたフィールドから第1層のJSON情報を抽出します。

構文

| parse-json -mode=<mode> -path=<path> -prefix=<prefix> <field>

パラメーター

例

• 例1: yフィールドからすべてのキーと値を抽出します。

  • SPLステートメント

    * | parse-json y

  • 入力データ

    x: '0'
    y: '{"a": 1, "b": 2}'

  • 結果

    x: '0'
    y: '{"a": 1, "b": 2}'
    a: '1'
    b: '2'

• 例2: コンテンツフィールドからbodyキーの値を別のフィールドとして抽出します。

  • SPLステートメント

    * | parse-json -path='$.body' content

  • 入力データ

    content: '{"body": {"a": 1, "b": 2}}'

  • 結果

    content: '{"body": {"a": 1, "b": 2}}'
    a: '1'
    b: '2'

• 例3: 保存モードで情報を抽出する。 既存のフィールドの場合は、元の値を保持します。

  • SPLステートメント

    * | parse-json -mode='preserve' y

  • 入力データ

    a: 'xyz'
    x: '0'
    y: '{"a": 1, "b": 2}'

  • 結果

    x: '0'
    y: '{"a": 1, "b": 2}'
    a: 'xyz'
    b: '2'