Die Seite Parser erstellen wird standardmäßig im Modus Geführt geöffnet. Fahren Sie in diesem Modus fort, wenn Logging Analytics den regulären Ausdruck zum Parsen der Logs generieren soll, nachdem Sie die Felder ausgewählt haben. Informationen zum geführten Modus finden Sie unter Video: RegEx Parser Builder verwenden. Wenn Sie einen regulären Ausdruck zum Parsen schreiben möchten, wechseln Sie in den Modus Erweitert, und fahren Sie mit den folgenden Schritten fort:

1. Geben Sie im Feld Name den Parsernamen ein. Beispiel: Geben Sie Custom Audit Logs ein.

2. Optional können Sie eine geeignete Beschreibung zur einfachen Identifizierung des Parsers angeben.

3. Fügen Sie im Feld Beispielloginhalt den Inhalt aus einer zu parsenden Logdatei ein. Beispiel:

   Jun 20 2020 15:19:29 hostabc rpc.gssd: ERROR: can't open clnt5aa9: No such file or directory
   Jul 29 2020 11:26:28 hostabc kernel: FS-Cache: Loaded
   Jul 29 2020 11:26:28 hostxyz kernel: FS-Cache: Netfs 'nfs' registered for caching
   Aug 8 2020 03:20:01 slc08uvu rsyslogd-2068: could not load module '/lib64/rsyslog/lmnsd_gtls.so', rsyslog error -2078
   [try http://www.rsyslog.com/e/2068 ]
   Aug 8 2020 03:20:36 0064:ff9b:0000:0000:0000:0000:1234:5678 rsyslogd-2066: could not load module '/lib64/rsyslog/lmnsd_gtls.so', dlopen: /lib64/rsyslog/lmnsd_gtls.so: cannot open shared object file: Too many open files
   [try http://www.rsyslog.com/e/2066 ]
   Sep 13 2020 03:36:06 hostnam sendmail: uAD3a6o5009542: from=root, size=263, class=0, nrcpts=1, msgid=<201611130336.uAD3a6o5009542@hostname.example.com>, relay=root@localhost
   Sep 13 2020 03:36:06 hostnam sendmail: uAD3a6o5009542: to=root, ctladdr=root (0/0), delay=00:00:00, xdelay=00:00:00, mailer=relay, pri=30263, relay=[127.0.0.1] [127.0.0.1], dsn=2.0.0, stat=Sent (uAD3a6KW009543 Message accepted for delivery)
   Sep 20 2020 08:11:03 hostnam sendmail: STARTTLS=client, relay=userv0022.example.com, version=TLSv1/SSLv3, verify=FAIL, cipher=DHE-RSA-AES256-GCM-SHA384, bits=256/256]]>

   Das ist ein mehrzeiliger Logeintrag, da die Einträge 4 und 5 mehrere Zeilen umfassen.

4. Geben Sie im Feld Regulären Ausdruck parsen den regulären Ausdruck zum Parsen der Felder ein. Jedes Klammernpaar gibt die reguläre Ausdrucksklausel für die Extrahierung in ein einzelnes Feld an.

   Der Parseausdruck ist für jeden Logtyp eindeutig und hängt vom Format der eigentlichen Logeinträge ab. Geben Sie in diesem Beispiel Folgendes ein:

   (\w+)\s+(\d+)\s+(\d+)\s+(\d+):(\d+):(\d+)\s+([^\s]+)\s+([^:]+):\s+(.*)

   Hinweis
   
   

   • Nehmen Sie keine Leerzeichen vor oder nach dem Inhalt auf.

   • Der reguläre Ausdruck muss mit dem vollständigen Text des Logdatensatzes übereinstimmen.

   • Wenn Sie verborgene Zeichen in den Parseausdruck aufgenommen haben, gibt die Oberfläche Parser erstellen eine Warnmeldung aus:

     Parseausdruck beinhaltet einige ausgeblendete Steuerzeichen.

     Um diese Standardantwort zu deaktivieren, deaktivieren Sie das Kontrollkästchen Ausgeblendete Steuerzeichen anzeigen, wenn die Fehlermeldung angezeigt wird.

   Weitere Informationen zum Erstellen von Parseausdrücken finden Sie unter Beispielparseausdrücke.

5. Wählen Sie den entsprechenden Logdatensatzbereich aus.

   Der Logeintrag kann einzeilig oder mehrzeilig sein. Wenn Sie mehrere Zeilen ausgewählt haben, geben Sie den Startausdruck des Logdatensatzes ein.

   Sie müssen den regulären Ausdruck als Mindestregel definieren, die erforderlich ist, um den Start eines neuen Logeintrags erfolgreich zu identifizieren. Im Beispiel kann der Startausdruck folgendermaßen lauten:

   (\w+)\s+(\d+)\s+(\d+)\s+

   Das bedeutet, dass der Start eines neuen Logeintrags immer dann erfolgt, wenn eine neue Zeile mit dem Text beginnt, der mit diesem Eintragsstartausdruck übereinstimmt.

   Optional können Sie auch den Endausdruck eingeben. Verwenden Sie Endausdruck, um das Ende des Logdatensatzes anzugeben. Wenn ein Logdatensatz über einen langen Zeitraum in die Datei geschrieben wird und Sie sicherstellen möchten, dass der gesamte Logeintrag erfasst wird, verwenden Sie den regulären Endausdruck. Der Agent wartet beim Erfassen des Logdatensatzes, bis das Muster des regulären Endausdrucks übereinstimmt. Für den Endausdruck gelten dieselben Formatregeln wie für Eintragsstartausdruck.

   Aktivieren Sie gegebenenfalls das Kontrollkästchen Gesamte Datei als einen Logdatensatz behandeln. Mit dieser Option können Sie eine gesamte Logdatei als einen einzigen Logeintrag parsen und speichern. Das ist besonders nützlich, wenn Sie Logquellen wie Java-Hotspot-Dumplogs, RPM-Listen mit Packagelogs usw. parsen. Wenn der Logeintrag viel Text enthält, der durchsuchbar sein soll, aktivieren Sie das Kontrollkästchen Raw-Textsuche für diesen Inhalt aktivieren. Mit dieser Option können Sie die Logdatensätze mit dem Feld Raw-Text durchsuchen. Wenn diese Option aktiviert ist, können Sie den ursprünglichen Loginhalt mit dem Raw-Text anzeigen.

6. Wählen Sie auf der Registerkarte Felder das entsprechende Feld aus, um jeden erfassten Wert aus dem regulären Ausdruck zu speichern.

   Um ein neues Feld zu erstellen, klicken Sie auf das Symbol . Das Dialogfeld Benutzerdefiniertes Feld erstellen wird geöffnet. Geben Sie die Werte für Name, Datentyp und Beschreibung ein, und aktivieren Sie gegebenenfalls das Kontrollkästchen Mehrwertiges Feld für Ihre Logs. Informationen zu den einzugebenden Werten finden Sie unter Feld erstellen. Um das ausgewählte Feld in der Zeile zu entfernen, klicken Sie auf das Symbol .

   Wählen Sie für jeden erfassten Wert das Feld aus, in dem die Daten gespeichert werden sollen. Das erste erfasste Feld im Beispiel kann wie folgt eingegeben werden:

   • Feldname: Monat (Kurzname)

   • Felddatentyp: STRING

   • Feldbeschreibung: Monatskomponente der Logeintragszeit als Kurzname, z.B. Jan

   • Feldausdruck: (\w{3})

   Im obigen Logbeispiel werden die Felder in der folgenden Reihenfolge zugeordnet:

   1. Monat (Kurzname)
   2. Tag
   3. Jahr (4 Stellen)
   4. Hostname (Server)
   5. Service
   6. Meldung

7. Klicken Sie auf der Registerkarte Funktionen auf Funktion hinzufügen, um optional eine Funktion für die Vorverarbeitung von Logeinträgen hinzuzufügen. Siehe Logeinträge vorverarbeiten.

8. Klicken Sie auf die Registerkarte Parsertest, um anzuzeigen, wie der neu erstellte Parser Werte aus dem Loginhalt extrahiert.

   Sie können die Logeinträge aus dem Beispielinhalt anzeigen, den Sie zuvor angegeben haben. Mit dieser Option können Sie bestimmen, ob der definierte Parser erfolgreich funktioniert.

   Wenn der reguläre Ausdruck für einen Logeintrag nicht erfolgreich ist, zeigt der Abgleichstatus den erfolgreichen Teil des Ausdrucks grün und den nicht erfolgreichen Teil rot an. Auf diese Weise können Sie ermitteln, welcher Teil des regulären Ausdrucks korrigiert werden muss.

   Sie können die Liste der Ereignisse, bei denen der Parsertest nicht erfolgreich war, und die Details des Fehlers anzeigen. Außerdem können Sie die Anzahl der Schritte anzeigen und so einschätzen, wie aufwendig der reguläre Ausdruck ist. Idealerweise sollte dieser Wert so niedrig wie möglich sein. Jeder Wert unter 1.000 kann akzeptabel sein, aber manchmal ist ein aufwendigerer regulärer Ausdruck notwendig. Wenn der reguläre Ausdruck zu viele Schritte ausführt, kann das zu einer höheren CPU-Auslastung auf dem Agent-Host und einer langsameren Verarbeitung der Logs führen. Dadurch wird die Verfügbarkeit der Logeinträge im Log Explorer verzögert. In extremen Fällen, in denen der reguläre Ausdruck zu aufwendig ist, wird das Parsen des Logeintrags und aller anderen Einträge, die in demselben Erfassungszeitraum erfasst werden, übersprungen.

Klicken Sie auf Speichern, um den neu erstellten Parser zu speichern.

Um das Erstellen des Parsers abzubrechen, klicken Sie auf Abbrechen. Wenn Sie auf "Abbrechen" klicken, gehen alle bei der Erstellung des Parsers vom Typ Regulärer Ausdruck bereits erzielten Fortschritte verloren.

Zusätzliches Thema anzeigen: Mehrere JSON-Ausprägungen in einem einzelnen JSON-Parser verarbeiten

So erstellen Sie einen JSON-Parser:

1. Geben Sie im Feld Parser den Parsernamen ein. Beispiel: Geben Sie Custom API Log ein.

2. Wählen Sie als Parsertyp JSON aus.

3. Optional können Sie eine geeignete Beschreibung zur einfachen Identifizierung des Parsers angeben.

4. Fügen Sie im Feld Beispielloginhalt den Inhalt aus einer zu parsenden Logdatei ein. Beispiel:

   {
     "name": "helloapi",
     "hostname": "banana.local",
     "pid": 40442,
     "level": 30,
     "req": {
       "method": "GET",
   	"url": "/hello?name=paul",
   	"headers": {
   	  "user-agent": "curl/7.19.7 (universal-apple-darwin10.0) libcurl/7.19.7 OpenSSL/0.9.8r zlib/1/2/3",
   	  "host": "0.0.0.0:8080",
   	  "accept": "*/*"
   	},
   	"remoteAddress": "127.0.0.1",
   	"remotePort": 59834
     },
     "msg": "start",
     "time": "2012-03-28T17:39:44.880Z",
     "v": 0
   }

   Basierend auf dem Beispielloginhalt werden die Felder wie im folgenden Beispiel auf der Registerkarte "Felder" ausgewählt und angezeigt:

   
   
   
   
   
5. Wählen Sie auf der Registerkarte Felder für den spezifischen JSON-Pfad den Feldnamen aus den verfügbaren definierten Feldern aus.

   Um ein neues Feld zu erstellen, klicken Sie auf das Symbol . Das Dialogfeld Benutzerdefiniertes Feld erstellen wird geöffnet. Geben Sie die Werte für Name, Datentyp und Beschreibung ein, und aktivieren Sie gegebenenfalls das Kontrollkästchen Mehrwertiges Feld für Ihre Logs. Informationen zu den einzugebenden Werten finden Sie unter Feld erstellen. Um das ausgewählte Feld in der Zeile zu entfernen, klicken Sie auf das Symbol .

   Der ausgewählte Standard-Root-Pfad ist $. Wenn Sie den JSON-Stammpfad ändern möchten, blenden Sie den Abschnitt Erweiterte Optionen ein, und wählen Sie im Menü Logebene - JSON-Pfad aus.

6. Klicken Sie auf der Registerkarte Funktionen auf Funktion hinzufügen, um optional eine Funktion für die Vorverarbeitung von Logeinträgen mit der Headerparserfunktion hinzuzufügen. Siehe Logeinträge vorverarbeiten.
7. Nachdem die Felder ausgewählt wurden, wechseln Sie zur Registerkarte Parsertest, um den Abgleichstatus und die aus dem Beispielloginhalt ausgewählten Felder anzuzeigen.
8. Klicken Sie auf Speichern, um den neu erstellten Parser zu speichern.

Um das Erstellen eines Parsers vom Typ "JSON" abzubrechen und zu einem Parser vom Typ "Regulärer Ausdruck" zu wechseln, wählen Sie unter Typ die Option Regulärer Ausdruck aus.

1. Geben Sie im Feld Parser den Parsernamen ein. Beispiel: Geben Sie Custom Database Audit Log ein.

2. Wählen Sie als Parsertyp XML aus.

3. Optional können Sie eine geeignete Beschreibung zur einfachen Identifizierung des Parsers angeben.

4. Fügen Sie im Feld Beispielloginhalt den Inhalt aus einer zu parenden Logdatei ein. Beispiel: ExampleA:

   <AuditRecord><Audit_Type>1</Audit_Type><Session_ld>201073</Session_ld><Statementid>13</Statementid><Entryld>6</Entryld>
   <Extended_Timestamp>2016-09-09T01:26:07.832814Z</Extended_Timestamp><DB_User>SYSTEM</DB_User><OS_User>UserA</OS_User><Userhost>host1</Userhost>
   <OS_Process>25839</OS_Process><Terminal>pts/4</Terminal><Instance_Number>0</Instance_Number><Object_Schema>HR</Object_Schema>
   <Object_Name>EMPLOYEES</Object_Name><Action>17</Action>
   <Returncode>0</Returncode><Sen>§703187</Sen><AuthPrivileges>--------¥-----</AuthPrivileges>
   <Grantee>SUMON</Grantee>
   <Priv_Used>244</Priv_Used><DBID>2791516383</DBID><Sql_Text>GRANT SELECT ON hr.employees TO sumon</Sql_Text></AuditRecord>

   Basierend auf dem Beispielloginhalt identifiziert Oracle Logging Analytics automatisch die Liste der XML-Elemente, die Logdatensätze darstellen.

5. Aktivieren Sie optional das Kontrollkästchen Namespace ignorieren, um den Namespace im XML-Pfad zu ignorieren.

6. Aktivieren Sie optional das Kontrollkästchen Positionserkennung aktivieren, um mehrere Werte eines Elements unter einem XML-Pfad zu erkennen, wie bei einem Array von Elementen. Beispiel: Für den folgenden Beispielloginhalt ExampleB:

   <ListOfTrackingFields>
       <TrackingField>
           <Name>NameA</Name>
       </TrackingField>
       <TrackingField>
           <Name>NameB</Name>
       </TrackingField>
       <TrackingField>
           <Name>NameC</Name>
       </TrackingField>
       <TrackingField>
           <Name>NameD</Name>
       </TrackingField>
       <TrackingField>
           <Name>NameE</Name>
       </TrackingField>
   </ListOfTrackingFields>

   Wenn die Positionserkennung nicht aktiviert ist, werden Sie auf den XML-Pfad /ListOfTrackingFields/TrackingField/Name beschränkt, der nur den ersten Wert von Name erkennt. Wenn Sie die Positionserkennung aktivieren, werden die folgenden 5 Werte von Name unter dem Element TrackingField erkannt: NameA, NameB, NameC, NameD, NameE, wenn alle entsprechenden XML-Pfade konfiguriert sind.

7. Wählen Sie im Menü Logeintrag - XML-Pfad das XML-Element aus, das für die relevanten Logdatensätze geeignet ist. Wählen Sie für den Loginhalt ExampleA im obigen Beispiel /AuditRecord aus.

   Die Felder werden basierend auf dem ausgewählten XML-Pfad ausgewählt und auf der Registerkarte "Felder" angezeigt. Im obigen Beispielloginhalt sind die hervorgehobenen Elemente für die Felder geeignet. Für den XML-Beispielpfad /AuditRecord lautet der XML-Pfad des Feldes /AuditRecord/<highlighted_element>. Beispiel: /AuditRecord/Audit_Type.

8. Wählen Sie auf der Registerkarte Felder für den spezifischen XML-Pfad den Feldnamen aus den verfügbaren definierten Feldern aus.

   Um ein neues Feld zu erstellen, klicken Sie auf das Symbol . Das Dialogfeld Benutzerdefiniertes Feld erstellen wird geöffnet. Geben Sie die Werte für Name, Datentyp und Beschreibung ein, und aktivieren Sie gegebenenfalls das Kontrollkästchen Mehrwertiges Feld für Ihre Logs. Informationen zu den einzugebenden Werten finden Sie unter Feld erstellen. Um das ausgewählte Feld in der Zeile zu entfernen, klicken Sie auf das Symbol .

9. Nachdem die Felder ausgewählt wurden, wechseln Sie zur Registerkarte Parsertest, um den Abgleichstatus anzuzeigen.

   
   
   
   
   

10. Klicken Sie auf Speichern, um den neu erstellten Parser zu speichern.

Um das Erstellen eines Parsers vom Typ "XML" abzubrechen und zu einem Parser vom Typ "Regulärer Ausdruck" zu wechseln, wählen Sie unter Typ die Option Regulärer Ausdruck aus.

1. Geben Sie den Namen des Parsers ein. Beispiel: Geben Sie Comma Separated Custom App Log ein.

2. Optional können Sie eine geeignete Beschreibung zur einfachen Identifizierung des Parsers angeben.

3. Wählen Sie als Parsertyp Begrenzt aus.

4. Wählen Sie unter Trennzeichen den Typ des Trennzeichens aus, das in den Logs zum Trennen der Felder verwendet wird, z.B. Komma, Semikolon, Leerzeichen oder Registerkarte. Falls sie sich von den aufgeführten Optionen unterscheidet, wählen Sie Andere aus, und geben Sie das Trennzeichen im angegebenen Leerzeichen an.

   Beispielloginhalt:

   helloapi,"host,local", 65427, 29, start, 2021-08-28T17:39:44.880Z

   Im obigen Beispiel ist das Komma (,) das Trennzeichen.

   Stellen Sie sicher, dass das angegebene Trennzeichen nicht mit dem als Nächstes ausgewählten Kennzeichner übereinstimmt.

5. Wählen Sie optional den Qualifier aus, der zum Umbrechen des Texts für ein Feld in den Logs verwendet wird. Wählen Sie Doppeltes Angebot oder Einzelnes Angebot aus.

   Der Textqualifizierer wird verwendet, wenn die Begrenzungszeichen in den Felddaten enthalten sind. Beispiel: In einem Szenario hat field1 den Wert host,local, der ein Trennzeichen (,) enthält und kein Textqualifizierer verwendet wird. Dann werden die Daten, die nach dem Trennzeichen (local) auftreten, als Wert des nächsten Feldes betrachtet.

   Im Beispielloginhalt aus dem vorherigen Schritt ist das doppelte Anführungszeichen (") der Qualifier.

   Hinweis
   
   Für die Werte der Felder der Datentypzeichenfolge wird das Leerzeichen vor und nach dem Qualifier auch als Teil der Zeichenfolge betrachtet. Stellen Sie sicher, dass der Qualifier rechts neben dem Begrenzungszeichen positioniert ist, damit der Zeichenfolgenwert übereinstimmt. Beispiel: In ,"host,local", wird das Leerzeichen nach dem ersten Trennzeichen entfernt. Außerdem wird das Leerzeichen vor dem letzten Trennzeichen entfernt. Daher ist der effektive Wert des übereinstimmenden Zeichenfolgenfelds host,local, wie später im Parsertestergebnis zu sehen ist.

6. Fügen Sie optional unter Header die Headerzeile des Logs ein, die dann in der Registerkarte Felder der Headerspalte zugeordnet werden kann. Beispiel:

   name, hostname, pid, level, msg, time

   Wenn Sie einen Header angeben, werden alle Logzeilen in den eigentlichen Logs, die genau mit dem Header übereinstimmen, herausgefiltert.

7. Fügen Sie im Feld Beispielloginhalt den Inhalt aus einer zu parsenden Logdatei ein. Beispiel:

   helloapi,"host,local", 65427, 29, start, 2021-08-28T17:39:44.880Z

   Basierend auf dem Beispielloginhalt werden die Felder wie im folgenden Beispiel auf der Registerkarte "Felder" ausgewählt und angezeigt:

8. Wählen Sie auf der Registerkarte Felder für die Headerspalte den Feldnamen aus den verfügbaren definierten Feldern aus. Sie können jedoch nur Ihre bevorzugten Headerspalten selektiv zuordnen. Es ist nicht erforderlich, dass Sie Felder für jede Headerspalte zuordnen.
   
   
   
   

   Um ein neues Feld zu erstellen, klicken Sie auf das Symbol . Das Dialogfeld Benutzerdefiniertes Feld erstellen wird geöffnet. Geben Sie die Werte für Name, Datentyp und Beschreibung ein, und aktivieren Sie gegebenenfalls das Kontrollkästchen Mehrwertiges Feld für Ihre Logs. Informationen zu den einzugebenden Werten finden Sie unter Feld erstellen. Um das ausgewählte Feld in der Zeile zu entfernen, klicken Sie auf das Symbol .

9. Nachdem die Felder ausgewählt wurden, wechseln Sie zur Registerkarte Parsertest, um den Abgleichstatus und die aus dem Beispielloginhalt ausgewählten Felder anzuzeigen.
   
   
   
   
10. Klicken Sie auf Parser erstellen, um den neu erstellten Parser zu speichern.

Um das Erstellen eines Parsertyps mit Trennzeichen abzubrechen und zum Erstellen eines anderen Parsertyps zu wechseln, wählen Sie ihn unter Typ aus.

Wenn der ursprüngliche Loginhalt mit zusätzlichen Informationen umschlossen ist, können Sie das Basisfeld, das den ursprünglichen Loginhalt enthält, einem Parser zuordnen und die Felder in diesem ursprünglichen Logdatensatz extrahieren.

Beachten Sie, dass Ihr ursprünglicher Loginhalt wie unten dargestellt ist:

####<Feb 01, 2021 10:28:27 AM PST> <Info> <Diagnostics> <soaapps.example.com> <excstg_soa> <[ACTIVE] ExecuteThread: '34' for queue: 'weblogic.kernel.Default (self-tuning)'> <<WLS Kernel>> <> <kernel_version> <123456> <[severity-value:64] [rid: 0] [partition-id: 0] [partition-name: DOMAIN] > <BEA-320145> <Size based data retirement operation completed on archive HarvestedDataArchive. Retired 9,720 records in 11,242 ms.>

Wenn derselbe Loginhalt zuerst an OCI Logging und dann über Connector Hub an Oracle Logging Analytics gesendet wird, wird dem ursprünglichen Loginhalt ein JSON-Wrapper hinzugefügt. Beispiel:

{
  "data": {
    "Labels": "LogPath:/u01/APPLTOP/instance/wlslogs/FADomain/servers/ServiceServer_1/logs/ServiceServer_1.log;ServiceName:Host;ServiceType:Oracle_Host;LogSet:TEST_POD;HostName:examplehost.oraclecloud.com;IP:192.0.2.1;WLS:NA;Domain:NA;AppName:myApp;Customer:CompanyA, (U.S.) Corp;CustomerType:NonHypercare;PODType:TEST;PODSize:S0;DC:CDC;Version:11.13.20.10.0;",
    "action": "ACTION",
    "msg": "####<Feb 01, 2021 10:28:27 AM PST> <Info> <Diagnostics> <soaapps.example.com> <excstg_soa> <[ACTIVE] ExecuteThread: '34' for queue: 'weblogic.kernel.Default (self-tuning)'> <<WLS Kernel>> <> <kernel_version> <123456> <[severity-value:64] [rid: 0] [partition-id: 0] [partition-name: DOMAIN] > <BEA-320145> <Size based data retirement operation completed on archive HarvestedDataArchive. Retired 9,720 records in 11,242 ms.>"
  },
  "id": "123123123",
  "oracle": {
    "compartmentid": "ocid1.compartment.oc1..aaaaaaaauniqueID",
    "ingestedtime": "2021-02-01T18:32:49.204Z",
    "loggroupid": "ocid1.loggroup.oc1.iad.amaaaaaauniqueID",
    "logid": "ocid1.log.oc1.iad.amaaaaaayuniqueID",
    "tenantid": "ocid1.tenancy.oc1..aaaaaaaaetuniqueID"
  },
  "source": "FA-APPS",
  "specversion": "1.0",
  "time": "2021-02-01T11:48:43.091Z",
  "type": "FA Unified Apps Logs"
}

Im obigen Beispiel ist der ursprüngliche Loginhalt im Basisfeld $.data.msg vorhanden.

Beachten Sie, dass der Loginhalt im Beispiel einen JSON-Wrapper aufweist. Sie können diese Schritte jedoch auch ausführen, wenn der ursprüngliche Loginhalt und die ursprünglichen Wrapper ein unterstütztes Parserformat aufweisen und die Logs in einer beliebigen unterstützten Methode aufgenommen werden.

So extrahieren Sie die Felder im ursprünglichen Loginhalt:

1. Identifizieren oder erstellen Sie basierend auf dem Typ des ursprünglichen Loginhalts einen Parser, um die relevanten Felder aus dem ursprünglichen Loginhalt abzurufen. Siehe Parser erstellen.

   Dieser Parser wird als zugeordneter Parser im Wrapper-Parser verwendet, den Sie als Nächstes erstellen.

2. Erstellen Sie den Parser basierend auf dem Typ des Wrapperinhalts, indem Sie die Schritte unter Parser erstellen ausführen.

   Dieser Parser wird in den folgenden Schritten als Wrapper-Parser bezeichnet.

3. Geben Sie für den Wrapper-Parser Beispielloginhalt an, der einen Wrapper über dem ursprünglichen Loginhalt aufweist.

   Bei einem JSON-Parser ist der ausgewählte Standard-Root-Pfad $. Wenn Sie den JSON-Stammpfad ändern möchten, blenden Sie den Abschnitt Erweiterte Optionen ein, und wählen Sie im Menü Logebene - JSON-Pfad aus.

4. Klicken Sie auf der Registerkarte Felder entsprechend dem Basisfeld mit dem ursprünglichen Loginhalt auf das Menü "Aktionen" , und wählen Sie Felder über einen Parser zuordnen aus. Das Dialogfeld, in dem Sie den Parser auswählen können, wird geöffnet.

   Im obigen Beispiel ist die Zeile, für die ein zugeordneter Parser hinzugefügt werden muss, $.data.msg.

   In einem Wrapper-Parser können Sie einem zugeordneten Parser nur ein Basisfeld zuordnen.

5. Wählen Sie im Dialogfeld Felder über einen Parser zuordnen den Parser aus, mit dem die Felder aus dem Basisfeld extrahiert werden sollen.

   Wählen Sie optional eine der Aktionen Base64 decode and unzip oder Base64 decode aus, die für das Feld ausgeführt werden sollen:

   • Base64 decodieren und dekomprimieren: Wählen Sie diese Option aus, wenn das Basisfeld eine Base64-codierte ZIP-Datei ist. Das Basisfeld wird dann dekodiert und entpackt, bevor der zugeordnete Parser angewendet wird. Da es sich bei dem Basisfeld um eine codierte ZIP-Datei handelt, führt das Anwenden des gemappten Parsers dazu, dass mindestens ein Logdatensatz identifiziert wird. Diese Logdatensätze werden im Log-Explorer als Ursprünglicher Loginhalt angezeigt. Der Inhalt des Wrapper-Logs wird jedoch nicht angezeigt. Wenn der Wrapper-Parser Feldzuordnungen enthält, werden auch diese Felder angezeigt.

     Diese Aktion kann nur für Logs ausgeführt werden, die mit Management Agent erfasst wurden.

   • Base64 decodieren: Wählen Sie diese Option aus, wenn das Basisfeld Base64 im ursprünglichen Loginhalt codiert ist. Das Basisfeld wird entschlüsselt, bevor der zugeordnete Parser angewendet wird. Zusätzlich
     • Verwenden Sie die Option In Feld speichern, um die decodierte Zeichenfolge in einem Feld zu speichern.
     • Wenn Sie den entschlüsselten Basisfeldwert als Ursprünglicher Loginhalt speichern möchten, sodass er als Logdatensatz im Log Explorer angezeigt wird, wählen Sie die Option Ursprünglichen Loginhalt außer Kraft setzen. Wenn diese Option ausgewählt ist, wird der entschlüsselte Basisfeldwert im Feld Ursprünglicher Loginhalt gespeichert, und der Wrapper-Loginhalt wird im Feld Raw-Text gespeichert.

   Klicken Sie auf Felder zuordnen. Auf der Registerkarte "Felder" wird jetzt angezeigt, dass das Basisfeld dem ausgewählten zugeordneten Parser und der Liste der extrahierten Felder zugeordnet ist.

   Möglicherweise enthält der von Ihnen ausgewählte zugeordnete Parser auch einen zugeordneten Parser. Oracle Logging Analytics unterstützt zwei Ebenen verschachtelter zugeordneter Parser. Beispiel: Wrapper-parser enthält mapped-parser-1 den Wert mapped-parser-2.

6. Nachdem die restlichen Felder ausgewählt wurden, führen Sie auf der Registerkarte Parsertest den Parsertest aus, um zu prüfen, ob der Übereinstimmungsstatus und die Felder aus dem Beispielloginhalt ausgewählt wurden.

Oracle Logging Analytics bietet die folgenden Funktionen, mit denen Sie Log-Einträge vorverarbeiten und die resultierenden Log-Einträge erweitern können:

• Funktion "Headerdetails"

• Funktion "Suchen und ersetzen"

• Funktion "Zeit-Offset"

Um Logeinträge beim Erstellen eines Parsers vorverarbeiten zu können, klicken Sie auf die Registerkarte Funktionen und anschließend auf die Schaltfläche Funktion hinzufügen.

Geben Sie im daraufhin angezeigten Dialogfeld "Funktion hinzufügen" einen Namen für die Funktion ein, wählen Sie die erforderliche Funktion aus, und geben Sie die relevanten Feldwerte an.

Um das Ergebnis beim Anwenden der Funktion auf den Beispielloginhalt zu testen, klicken Sie auf Testen. Ein Vergleichsergebnis wird angezeigt, damit Sie die Richtigkeit der Feldwerte bestimmen können.