查詢與分析日誌 - Tablestore

對錶格儲存執行個體中的資源進行操作時，系統會自動採集審計日誌並建立索引。您可以在審計日誌頁面對採集到的日誌進行即時查詢與分析。

前提條件

已開通日誌審計功能。具體操作，請參見開通審計日誌。

操作步驟

進入審計日誌頁面。
1. 登入Table Store控制台。
2. 在頂部功能表列，選擇地區。
3. 在左側導覽列，單擊審計日誌。

在審計日誌頁面，輸入查詢和分析語句。

查詢和分析語句由查詢語句和分析語句構成，格式為查詢語句|分析語句。例如* | SELECT TableName, count(*) AS OperationCount GROUP BY TableName。查詢語句和分析語句以豎線（|）分割，查詢語句的文法為Log Service的專有文法。

查詢語句可單獨使用，分析語句必須與查詢語句一起使用，即分析功能是基於查詢結果或全量資料進行的。

語句類型

說明

查詢語句

查詢語句用於指定日誌查詢時的過濾規則，返回合格日誌。更多資訊，請參見查詢文法。

查詢語句可以為關鍵詞、數值、數值範圍、空格、星號（*）等。如果為空白格或星號（*），則表示無過濾條件。

分析語句

分析語句用於對查詢結果或全量資料進行計算和統計。更多資訊，請參見彙總函式。

常用樣本如下：

樣本一：查詢使用最多的Top 5介面。
重要
由於通過Table Store控制台執行功能操作時，系統會自動產生探測是否為建立二級索引操作的日誌，因此查詢操作相關資訊時需要排除探測日誌資訊，只需使用TableName != '$$'條件過濾探測日誌即可。
```
* | SELECT API,COUNT(API) as count where TableName != '$$' group by API order by count desc limit 5
```
樣本二：查詢對錶進行刪除的調用者以及調用者刪除的表資訊。
```
* | SELECT TableName,InvokerUid,time where API = 'DeleteTable' 
```

樣本三：查詢所有對exampleinstance執行個體下exampletable表進行操作的調用者資訊以及調用者執行的操作。

* | SELECT API,InvokerUid,from_unixtime(time/1000000,'Asia/shanghai') as time where InstanceName = 'exampleinstance' and TableName = 'exampletable'

單擊最近15分鐘，設定查詢的時間範圍。
您也可以在分析語句中通過__time__欄位指定時間範圍（閉合區間），例如* | SELECT * FROM log WHERE __time__>1558013658 AND __time__< 1558013660。
通過這兩種方式設定的時間範圍，其精度都為分鐘，查詢和分析結果存在1分鐘以內的誤差。如果您需要精確到秒，需要在分析語句中指定時間時，使用from_unixtime函數或to_unixtime函數轉換下時間格式。
系統會顯示查詢結果，如下圖所示。
說明
不同查詢語句的返回結果顯示不同，請以實際顯示為準。
您可以查看審計日誌的長條圖資訊、原始日誌、統計圖表、日誌聚類資訊等。
- 查詢長條圖
  主要展示查詢到的日誌在時間上的分布情況。單擊綠色資料區塊，您可以查看更細時間粒紋的日誌分布，同時原始日誌頁簽中將同步展示指定時間範圍內的查詢結果。
- 查詢原始日誌
  在原始日誌頁簽中主要展示當前查詢結果，您可單擊表格或原始查看日誌。更多資訊，請參見查詢原始日誌。
- 查看統計圖表
  執行查詢和分析語句後，您可以在統計圖表頁簽中查看可視化的查詢和分析結果。更多資訊，請參見查看統計圖表。
- 使用日誌聚類
  在日誌聚類頁簽中，單擊開啟日誌聚類，可實現在採集日誌時彙總相似性高的日誌。更多資訊，請參見使用日誌聚類。

Tablestore：查詢與分析審計日誌

前提條件

操作步驟

更多操作