eval

Nombres de unidad:

• PERCENT | PCT
• Tamaño de los datos:
  • BYTE
  • KILOBYTE | KB
  • MEGABYTE | MB
  • GIGABYTE | GB
  • TERABYTE | TB
  • PETABYTE | PB
  • EXABYTE | EB
• Hora:
  • MILLISECOND | MS
  • S | SEC | SECS | SECOND | SECONDS
  • M | MIN | MINS | MINUTE | MINUTES
  • H | HR | HRS | HOUR | HOURS
  • D | DAY | DAYS
  • W | WEEK | WEEKS
  • MON | MONTH | MONTHS
  • Y | YR | YRS | YEAR | YEARS
  • MICRO | µs
• Alimentación:
  • WATT
  • KILOWATT | kW
  • MEGAWATT | MW
  • GIGAWATT | GW
  • TERAWATT | TW
  • PETAWATT | PW
  • EXAWATT | EW
• Temperatura:
  • KELVIN | K
  • CELSIUS | C
  • FAHRENHEIT | F
• Frecuencia:
  • HERTZ | Hz
  • KILOHERTZ | kHz
  • MEGAHERTZ | MHz
  • GIGAHERTZ | GHz
  • TERAHERTZ | THz
  • PETAHERTZ | PHz
  • EXAHERTZ | EHz

Puede utilizar esta función para el comando eval solo en el comando link. Consulte los enlaces de ejemplo del comando eval para utilizar la función en escenarios típicos.

Especifique la unidad de moneda con el siguiente formato:

eval <New Field> = unit(<Field>, currency_<ISO-4217 Code>)
eval <New Field> = unit(<Field>, currency_<ISO-4217 Code>_k)
eval <New Field> = unit(<Field>, currency_<ISO-4217 Code>_m)
eval <New Field> = unit(<Field>, currency_<ISO-4217 Code>_b)

Los sufijos _k, _m y _b se utilizan para indicar la moneda en miles, millones o miles de millones, respectivamente. Para obtener una lista completa de códigos de moneda, consulte Estándares ISO.

Sintaxis de la función index0f:

indexof (String, String [,int])

índice (cadena, cadena [,start_pos]): el recuento de índices comienza con 0, devuelve el índice de coincidencia a partir de start_pos (si se proporciona) y devuelve -1 si no hay coincidencia.

En el siguiente ejemplo se define el valor del campo newField con la posición de .com en la cadena uri.

*|eval newField = indexOf(uri, '.com')

Caso de uso: extraiga la parte relevante de la ruta de acceso de API del campo Logs de auditoría de OCI, Ruta de acceso

El campo Ruta de acceso contiene un valor como /apis/coordination.k8s.io/v1/namespaces/default/leases/oracle.com-oci.

Puede extraer el valor coordination.k8s del campo anterior siguiendo estos pasos:

• Busque la posición del primer y segundo / mediante la función indexOf().
• Encuentra la posición del tercer /.
• Extraiga los valores después del segundo /, hasta el tercer /, mediante la función substr().

'Log Source' = 'OCI Audit Logs'
| eval firstPos = indexOf(Path, '/')
| eval secondPos = indexOf(Path, '/', firstPos + 1)
| eval API = substr(Path, secondPos + 1, indexOf(Path, '/', secondPos + 1))
| link Path, API

Ejemplo de salida:

Sintaxis de la función lastindexof:

lastindexof(String, String, int)

lastindexof (Cadena, Cadena [, end_pos]): el recuento de índices comienza con 0, devuelve el índice de la última incidencia de subcadena antes de end_pos (si se proporciona) y devuelve -1 si no hay ninguna coincidencia. El argumento end_pos es opcional.

Algunos ejemplos para utilizar la función lastindexof:

*|eval n = lastindexof(uri, '.com')

Caso de uso: extraiga el área del campo Tipo en los logs de OCI Audit

El campo Tipo contiene un valor como com.oraclecloud.computeApi.GetInstance.

Para extraer computeAPI del valor anterior, puede utilizar el siguiente esquema:

• Identifique la posición del último . mediante lastIndexOf().
• Desde este desplazamiento, identifique la posición del . anterior, utilizando otro lastIndexOf(), pero proporcionando el desplazamiento desde donde buscar hacia atrás.
• Extraiga el valor entre estas dos posiciones mediante substr().

'Log Source' = 'OCI Audit Logs' 
| eval lastDot = lastIndexOf(Type, '.') 
| eval prevDot = lastIndexOf(Type, '.', lastDot - 1) 
| eval Area    = substr(Type, prevDot + 1, lastDot) 
| link Type, Area

Ejemplo de salida:

Sintaxis de la función replace:

replace(String, String, String, String, String, ..)

replace soporta varias sustituciones en una sola función. Algunos ejemplos para utilizar la función replace:

• *|eval newField = replace('aabbcc', 'bb', 'xx')

• *|eval newField = replace('aabbcc', 'bb', 'xx', 'cc', 'yy')

• Ejemplo de varias acciones de sustitución en una única función replace:

  * | eval CopiedURL = 'https://cloud.oracle.com/loganalytics/explorer?viz=<VIZ>&encodedQuery=<QUERY>&startTime=<START_TIME>&endTime=<END_TIME>&region=us-phoenix-1&tenant=testtenant'| eval Query = encode64('* | stats count as "Log Records" by "Log Source"') 
  | eval 'Start Epoch' = toString(toNumber(toDate(dateRelative(30day)))) 
  | eval 'End Epoch' = toString(toNumber(now())) 
  | eval Viz = pie 
  | eval URL = replace(CopiedURL, '<VIZ>', Viz, '<QUERY>', Query, '<START_TIME>', 'Start Epoch', '<END_TIME>', 'End Epoch')

Sintaxis de la función substr:

substr(String, int [, int])

substr(String, start_pos, end_pos - 1): el recuento de índices comienza con start_pos y termina con end_pos - 1.

En el siguiente ejemplo, newField es la subcadena de aabbcc, donde el índice de inicio (inclusive) es 2 y el índice de finalización (exclusive) es 4. Tenga en cuenta que para las cadenas, el recuento de índices empieza por 0. Así que la subcadena resultante es bb.

*|eval newField = substr('aabbcc', 2, 4)

Para casos de uso en los que se utiliza la función substr, consulte indexof Function Details y lastindexof Function Details.

Sintaxis de la función url:

url(String, Name, Parameter)

Los valores de Nombre y Parámetro son opcionales.

• Cadena: puede ser una URL o una de las abreviaturas predefinidas. Por ejemplo:

  eval Link = url('https://www.oracle.com')

• Nombre: nombre opcional de la URL. Por ejemplo:

  eval Link = url('https://www.oracle.com', 'Oracle Home Page')

• Parámetro: parámetro opcional si se utiliza un acceso directo para Cadena. Por ejemplo:

  eval Link = url('tech', 'Search Oracle', 'ORA-600')

Algunos ejemplos para utilizar la función url:

• * | stats latest(Status) as Status
   | eval ‘HTTP Status Code’ = url(‘https://www.google.com/search?q=http+code+’, Status, Status)

• Status != null
   | eval 'HTTP Status Code' = url('https://www.google.com/search?q=http+code+', Status, Status)
   | stats count by Status

Ejemplos para utilizar la función url después del comando link:

• * | link status
   | eval ‘HTTP Status Code’ = url(‘https://www.google.com/search?q=http+code+’, Status, Status)

• * | link Type
   | stats latest(Status) as Status
   | eval ‘HTTP Status Code’ = url(‘[https://www.google.com/search?q=http+code+]’, Status, Status)

Los siguientes métodos abreviados definidos por Oracle están disponibles para su uso con la función url para el comando eval.