Gestión de consultas

A menudo, los logs no contendrán toda la información necesaria para consolidar el análisis. En estos casos, puede crear una tabla de consulta para recopilar la información que ya ha recopilado para poder sacar más partido de los datos de los logs. Por ejemplo, en el campo ID de error de los eventos de log no se proporciona una descripción de los errores. Puede crear una consulta que asigne ID de error a descripciones y, a continuación, utilizar las opciones de Enriquecimiento de campo para que las descripciones estén disponibles para buscar en los registros de log. Algunos escenarios de ejemplo en los que podría crear consultas:

• Inventario de productos: ID de producto, especificaciones técnicas, precio, stock disponible, número de rack
• Información de empleado: ID de empleado, información personal, organización, rol, escala, salario, mánager
• Referencia de biblioteca: título, autor, resumen, edición, ediciones anteriores, precio

Puede utilizar principalmente las consultas simples en el momento de la ingesta mediante la función Búsqueda de origen. Consulte Uso de consultas de tiempo de ingesta en el origen.

También puede utilizar consultas simples en tiempo de consulta, como se muestra a continuación:

En la siguiente consulta lookup, el mensaje de error se selecciona de la tabla de consulta ORA Error Messages mediante la asignación del campo ID de error y se muestra en una tabla de resumen junto con otros campos como origen de log y entidad:

'Error ID' like 'ORA%' | lookup table = 'ORA Error Messages' select errmsg using 'Error ID' = errid | fields -*, 'Log Source', Entity, errmg

• Información de los logs:
  • Error ID: ID de error como se menciona en los logs especificados con el formato ORA%
  • Log Source: origen de log de los logs
  • Entity: entidad de los logs
• Información de ORA Error Messages de la tabla de consulta definida por Oracle:
  • errid: ID de error especificado con el formato ORA%
  • errmsg: mensaje de error para el ID de error

  Los demás detalles disponibles en los ORA Error Messages de la tabla de consulta son errcause (causa de error) y erraction (acción de error) para cada ID de error. Para ver el contenido de la tabla de consulta, utilice el comando searchlookup de la siguiente manera:

  * | searchlookup table = 'ORA Error Messages'

1. Abra el menú de navegación y haga clic en Observación y gestión. En Log Analytics, haga clic en Administración.

2. Los recursos de administración se muestran en el panel en Administración en la izquierda. Haga clic en Consultas.

3. En Consultas, haga clic en la consulta cuyos detalles desea ver.

   En la página Detalle de consulta se muestran los detalles que haya proporcionado al crearla, así como el contenido de la tabla de consulta. También puede realizar acciones como Mover recurso, Agregar etiquetas y Suprimir. Para obtener más información sobre estas acciones, consulte la siguiente sección.

Para realizar otras acciones en la consulta, en la página de lista Consultas, seleccione el compartimento, el tipo y el tipo de creación de la consulta y reduzca la búsqueda de la consulta en la barra de búsqueda. También puede incluir Filtros de etiquetas para filtrar consultas por etiquetas. Después de identificar la consulta, haga clic en el icono Acciones en la fila de la consulta:

• Volver a cargar archivo: en el caso de las consultas creadas por el usuario, si tiene una nueva versión de la tabla de consulta o si ha fallado una carga anterior, puede volver a cargarla.

• Suprimir: puede que tenga que suprimir algunas de las consultas antiguas o no utilizadas. Para suprimir la consulta, confirme en el cuadro de diálogo Suprimir consulta. Puede suprimir una consulta solo si está creada por el usuario.

• Copiar OCID: se copia el OCID del recursos de consulta. Puede utilizarlo para hacer referencia a este recurso en cualquier lugar de Oracle Cloud Infrastructure.
• Mover recursos: se muestra la pantalla de diálogo Mover recursos a un compartimento diferente. En las opciones, seleccione el compartimento al que desea mover la consulta y haga clic en Mover recurso.
• Agregar etiquetas: consulte Agregar etiquetas a los recursos de Log Analytics.

1. Actualice el archivo CSV con las combinaciones de campo y valor.

2. Abra el menú de navegación y haga clic en Observación y gestión. En Log Analytics, haga clic en Administración.

3. Los recursos de administración se muestran en el panel en Administración en la izquierda. Haga clic en Consultas.

4. En Consultas, haga clic en el icono Acciones de la fila que corresponda a la consulta que desea actualizar, haga clic en Volver a cargar archivo.

   Se abre el cuadro de diálogo Volver a cargar archivo.

5. Seleccione el archivo CSV de consulta actualizado que haya creado anteriormente y haga clic en Cargar.

Después de crear la consulta simple, ejecute una consulta con el comando searchlookup para mostrar los valores en la consulta y utilice el comando lookup en una consulta para asignar los campos de salida a esos valores.

1. Cree un archivo CSV de consulta con las combinaciones de campo y valor. Por ejemplo, para crear una consulta que asigne el ID de error a las descripciones:

   errid,description
   02323,Network Not Reachable
   09912,User Activity
   12322,Out of Memory

   Tenga en cuenta que la primera fila es la cabecera con títulos errid y description para los valores de las filas siguientes.

2. Abra el menú de navegación y haga clic en Observación y gestión. En Log Analytics, haga clic en Administración.

3. Los recursos de administración se muestran en el panel en Administración en la izquierda. Haga clic en Consultas.

   Se muestra la página de lista de consultas. En el panel de navegación de la izquierda, seleccione el compartimento en el que se debe crear la consulta.

4. En Consultas, haga clic en Crear consulta.

5. En la página Crear consulta, introduzca el nombre de la consulta, como server error code lookups y una descripción opcional.

6. En Tipo, seleccione Simple.

7. Seleccione el archivo CSV de consulta que haya creado anteriormente.

8. Opcionalmente, amplíe la sección Mostrar opciones avanzadas y agregue etiquetas a la consulta. Haga clic en Crear.

Después de crear la consulta de tipo Diccionario, utilice el comando searchlookup para mostrar las consultas. Utilice el comando lookup para asignar a los campos cualquier consulta solo cuando haya utilizado los comandos link o cluster en la consulta.

Operator,Condition,Network Name
CIDRMATCH,192.0.2.10/24,Database Network

Operator,Condition,Label,Module
# ----------------------------------
# Startup/Shutdown and Terminations
# ----------------------------------
CONTAINS,Server started in RUNNING mode,Server Started,WebLogic Server
CONTAINS,A critical service failed. The server will shut itself down,Server Shutdown,WebLogic Server
CONTAINS,state changed to FAILED,Server Failed,
CONTAINS,Removing .* from cluster view due to PeerGone,Cluster Removed,WebLogic Server
# ----------------------
# Connection Error / Timeouts and Slowness
# ----------------------
CONTAINS,Unable to connect to WSM policy manager,WSM Policy Manager Connection Error,
CONTAINS REGEX,java.sql.SQLTimeoutException: \S+: user requested cancel of current operation,SQL Timeout,Database
CONTAINS,This member is running extremely slowly and may endanger the rest of the cluster,WebLogic Cluster Slowness,WebLogic Server

Puede utilizar el mismo diccionario en varias consultas. Por ejemplo, la siguiente consulta aplica el mismo diccionario al campo Message y muestra los resultados acumulados mediante la visualización de gráfico circular:

'Log Source' = 'Linux Syslog Logs'
| lookup table = 'Linux Error Categories' select Issue, Area using Message
| stats count by Area

Tipo de recurso individual: loganalytics-lookup

Parte del tipo de recurso agregado: loganalytics-features-family

Sentencia de política de recursos si no se ha definido la política de familia:

Tenga en cuenta que para que la sentencia de política anterior restrinja el permiso al recurso de consulta con el ámbito necesario (arrendamiento o compartimento) para que funcione, no debe haber ninguna otra sentencia de política que cubra la familia de tipos de recursos y un ámbito más amplio.

Las siguientes operaciones se pueden realizar con cada verbo al crear la política de IAM para loganalytics-lookup:

Normalmente, solo los administradores tienen permisos USE y MANAGE para crear o suprimir consultas. Si desea que los privilegios ejecuten consultas de consulta, necesita el permiso READ.

Declaración de política de familia agregada que abarca el permiso para el recurso de consulta:

Normalmente, solo los administradores tienen permisos USE y MANAGE para crear o suprimir consultas. Si desea que los privilegios ejecuten consultas de consulta, necesita el permiso READ.

Si ya utiliza el explorador de logs, los SDK o la CLI para ejecutar las consultas, ya tiene los permisos necesarios para ejecutar comandos de consulta searchlookup o lookup en las consultas existentes creadas por el usuario y definidas por Oracle.

Si utiliza el principal de instancia para ejecutar las consultas, proporcione el siguiente permiso si aún no ha proporcionado acceso loganalytics-features-family al grupo dinámico:

Allow dynamic-group <dynamic-group-name> to {LOG_ANALYTICS_LOOKUP_READ} in tenancy

OR

Allow dynamic-group <dynamic-group-name> to {LOG_ANALYTICS_LOOKUP_READ} in compartment <compartment_name>