Créer un programme pour exécuter automatiquement une interrogation de recherche enregistrée

Pour créer des tâches programmées, configurez d'abord les autorisations appropriées en créant les politiques IAM suivantes :

1. Créez un groupe dynamique pour permettre aux tâches programmées de publier des mesures dans le service de surveillance à partir d'un compartiment spécifique :

   ALL {resource.type='loganalyticsscheduledtask', resource.compartment.id='<compartment ocid>'}

   Sinon, pour permettre la publication des mesures à partir de tous les compartiments :

   ALL {resource.type='loganalyticsscheduledtask'}

2. Créez des politiques pour permettre au groupe dynamique d'effectuer des opérations de tâche programmée dans la location :

   allow group <group_name> to use loganalytics-scheduled-task in tenancy
   allow dynamic-group <dynamic_group_name> to use metrics in tenancy
   allow dynamic-group <dynamic_group_name> to read management-saved-search in tenancy
   allow dynamic-group <dynamic_group_name> to {LOG_ANALYTICS_QUERY_VIEW} in tenancy
   allow dynamic-group <dynamic_group_name> to {LOG_ANALYTICS_QUERYJOB_WORK_REQUEST_READ} in tenancy
   allow dynamic-group <dynamic_group_name> to READ loganalytics-log-group in tenancy
   allow dynamic-group <dynamic_group_name> to {LOG_ANALYTICS_LOOKUP_READ} in tenancy
   allow dynamic-group <dynamic_group_name> to read compartments in tenancy

• Certains des énoncés de politique ci-dessus sont inclus dans les modèles de politique prédéfinis par Oracle. Vous pouvez envisager d'utiliser le modèle pour votre cas d'utilisation. Voir Modèles de politique définis par Oracle pour les cas d'utilisation communs.

• Pour plus d'informations sur les groupes dynamiques et les politiques IAM, voir Documentation OCI : Gestion des groupes dynamiques et Documentation OCI : Gestion des politiques.

• Pour plus de détails sur la politique, voir Création d'interrogations de mesures - Préalables dans la documentation sur Oracle Cloud Infrastructure.

• Pour la référence à l'API des tâches programmées, voir Informations de référence sur ScheduledTask dans la documentation sur les API d'Oracle Cloud Infrastructure.

Pour voir les tâches programmées d'une recherche enregistrée spécifique, vous pouvez consulter la page des détails de la recherche enregistrée. Toutefois, si vous voulez lister toutes les tâches programmées dans un compartiment spécifique sans référence aux recherches enregistrées pour lesquelles les tâches programmées ont été créées, utilisez l'API pour interroger la liste des tâches programmées. Voir ListScheduledTasks.

Spécifiez les paramètres suivants dans votre commande GET :

• taskType=SAVED_SEARCH
• compartmentId=<compartment_OCID>
• limit=1000
• sortOrder=DESC
• sortBy=timeUpdated

Pour exécuter la commande, vous aurez besoin des éléments suivants :

• Espace de noms : Espace de noms Log Analytics que vous avez spécifié lors de la création des tâches programmées.
• OCID du compartiment : OCID du compartiment que vous voulez interroger pour obtenir la liste des tâches programmées qui y sont créées.

Vous pouvez surveiller l'état des tâches programmées de votre recherche enregistrée au moyen des mesures Statut d'exécution des tâches programmées du service de surveillance. En cas d'échec ou d'exécution ignorée d'une tâche en raison d'une anomalie d'infrastructure ou si une ressource ou une configuration dépendante est modifiée, la mesure fournit des détails sur l'échec pour vous aider à la corriger.

Pour les étapes permettant d'accéder à la mesure Statut d'exécution de la tâche programmée, voir Surveiller Log Analytics à l'aide des mesures du service.

Chaque tâche programmée de recherche enregistrée a son propre intervalle, comme indiqué dans son programme de tâche. Une mesure est émise pour votre location pour chaque exécution de tâche programmée. Pointez le curseur de la souris sur les points de données du graphique pour afficher plus de détails sur la tâche. Vous pouvez filtrer les données de mesure en fonction de l'une des dimensions Status, DisplayName ou ResourceId.

1. Dans Log Analytics, cliquez sur Administration. La page Aperçu de l'administration s'ouvre.

2. Dans le menu Ressources de gauche, cliquez sur Règles de détection. Dans la page de liste des règles de détection, cliquez sur le nom de la règle de détection de recherche enregistrée à ouvrir. La page des détails de la règle de détection s'ouvre.

3. Dans les liens de gauche, cliquez sur Mesures.

   
   
   
   
   

4. Cliquez sur le menu Options dans le coin supérieur droit de la mesure Statut d'exécution de la tâche programmée, puis sélectionnez Voir l'interrogation dans l'explorateur de mesures.

   
   
   
   
   

   La mesure est maintenant affichée dans l'explorateur des mesures. Ici, vous pouvez voir le graphique plus en détail.

   
   
   
   
   

   Faites glisser le bouton Afficher la table de données pour voir les détails des mesures :

   
   
   
   
   

5. Cliquez sur Modifier les interrogations et sélectionnez Nom de dimension et Valeur de dimension pour la mesure. Vous pouvez filtrer les données de mesure en fonction de taskResult le résultat de l'exécution de la tâche programmée, Status de l'exécution de la tâche, DisplayName de la tâche, queryExecTimeRange ou ResourceId.

   Note
   
   

   Pour afficher des graphiques et des données tabulaires à partir de l'explorateur de mesures en spécifiant un nom de dimension et une valeur de dimension, évitez d'utiliser des champs dont le nom contient des parenthèses ou d'autres caractères spéciaux. Si le champ sélectionné pour le nom de dimension comporte des caractères spéciaux, créez un champ virtuel à l'aide de la commande eval ou renommez le champ existant à l'aide de la commande rename de sorte que les parenthèses ou les caractères spéciaux soient supprimés. Par exemple, si le champ utilisé pour le nom de dimension est Host Name (Server), vous pouvez créer un champ virtuel hostname avec | eval hostname=“Host Name (Server)”.

   La dimension queryExecTimeRange est utile pour déterminer le temps nécessaire à l'exécution de votre interrogation de tâche programmée. Les valeurs disponibles sont < 5s, >= 5s and < 10s, >= 10s and < 30s et > 30s. En général, les interrogations dont l'exécution prend plus de 30 secondes sont considérées comme coûteuses en termes de temps d'exécution. Voir Comment rendre vos interrogations performantes.

   La dimension taskResult peut avoir les valeurs Succeeded, Failed et Paused. La dimension Status fournit des détails supplémentaires sur taskResult. Par exemple, si la valeur de taskResult est Paused, la valeur de Status peut être Paused by User.

   Cliquez sur Mettre à jour le graphique pour actualiser la visualisation du graphique. Le graphique affiche désormais uniquement les points de données pour lesquels vous avez appliqué le filtre.

   Vous pouvez passer à la vue Table de données pour obtenir une représentation tabulaire des points de données collectés.

6. Modifiez le nom de la dimension pour voir différentes perspectives dans le graphique.

Vous pouvez configurer des alertes pour vous aviser du statut par courriel, SMS, Slack, PagerDuty, URL de point d'extrémité HTTPS ou fonction. Voir Créer des alertes pour les événements détectés.

Voici les différentes valeurs de la dimension status signalées au moyen de cette mesure pour des valeurs taskResult spécifiques :

Notez les facteurs suivants pour la création de tâches programmées :

• Exigences pour la composition d'interrogations :

  Lorsque vous créez des interrogations pour créer des tâches programmées, assurez-vous de respecter les exigences suivantes :

  • Notez ces limitations pour les interrogations de règle de détection :

    • Ne pas effectuer de recherche avec des caractères génériques sur le champ Contenu du journal initial dans votre interrogation de tâche programmée. Pour plus d'informations sur les recherches avec caractères génériques, voir Utiliser des mots clés, des expressions et des caractères génériques.

    • La commande timestats ne peut pas être suivie de eval, extract, jsonextract, xmlextract et lookup.

    • La commande regex ne doit pas être utilisée sur des champs volumineux tels que Message pour éviter de rendre les interrogations coûteuses à traiter.

      Les commandes de comparaison like et extract, jsonextract, xmlextract ne sont pas prises en charge sur les champs volumineux tels que Message.

      Les champs de lien ou les champs utilisés dans la clause BY ne peuvent pas être utilisés dans des champs volumineux tels que Message.

    • The commands which are not supported in the queries for scheduled tasks are cluster, clustercompare, clusterdetails, clustersplit, compare, createview, delta, fieldsummary, highlightgroups, geostats, linkdetails, map, nlp and timecompare.

  • Limites maximales :

    Le nombre maximal de champs pris en charge pour la clause by est 3.

    Le nombre maximal de champs pris en charge pour la commande timestats est 3.

    Le nombre maximal de fonctions d'agrégation prises en charge dans une interrogation de tâche programmée est 1.

  • Utilisez les valeurs des champs link comme dimensions pour le report des mesures :

    Sélectionnez jusqu'à trois champs de dimension et une mesure numérique à reporter dans le service de surveillance. Pour indiquer quels champs doivent être reportés dans la surveillance, les interrogations doivent se terminer par :

    ... | link ... | fields -*, dim1, dim2, dim3, metric1

    La commande link contient plusieurs colonnes dans la sortie, telles que l'heure de début, l'heure de fin, le nombre, etc., par défaut. Utilisez -* dans la commande fields pour supprimer ces champs et spécifier éventuellement jusqu'à trois champs de dimension et un champ de mesure obligatoire.

    Vous pouvez avoir plusieurs énoncés eval après la commande stats et plusieurs fonctions stats pour calculer les résultats intermédiaires. Toutefois, l'interrogation doit se terminer par fields -*, dim1, dim2, dim3, metric1 pour indiquer les dimensions et la mesure à publier. Utilisez les directives suivantes pour les interrogations de règle de détection :

    • Utilisez jusqu'à la commande addfields 2.
    • Utilisez jusqu'à 3 fonctions stats.
    • Des énoncés eval sont requis pour calculer les résultats intermédiaires et finaux.

    Exemples d'interrogations :

    'Log Source' = 'OCI Email Delivery'
     | link 'Entity'
     | addfields [ * | where deliveryEventType = r and bounceType = hard | stats count as 'hard bounces' ],
                 [ * | where deliveryEventType = e and length(ipPoolName) > 0 | stats count as 'total sent messages' ]
     | eval 'Total Rate' = ('hard bounces' / 'total sent messages') * 100
     | fields -*, 'Entity', 'Total Rate'

    'Log Source' = 'My Network Logs'
     | stats sum(Success) as TotalSuccess, sum(Failure) as TotalFailure
     | eval SuccessRate = (TotalSuccess / (TotalSuccess + TotalFailure)) * 100 | fields -*, SuccessRate

• Arrivée en retard des journaux :

  Si les tâches programmées s'exécutent avant l'arrivée des journaux, il se peut que les tâches programmées ne retournent pas les résultats attendus. Pour éviter que de tels journaux ne soient manquants dans les tâches programmées en raison de leur arrivée tardive, l'interrogation doit en tenir compte en utilisant un ajustement de l'intervalle de temps.

  Par exemple, si la tâche programmée s'exécute toutes les 5 minutes pour vérifier le nombre d'erreurs d'authentification et s'il y a un délai de 3 minutes entre l'heure à laquelle les journaux sont générés et l'heure à laquelle ils atteignent Oracle Log Analytics, la tâche programmée ne détectera pas les journaux. Considérez que la tâche programmée s'exécute toutes les 5 minutes, par exemple, 01:00, 01:05, 01:10, etc. Si l'enregistrement de journal L1 généré à 01:04 atteint Oracle Log Analytics à 01:07. L1 n'est pas détecté dans la tâche programmée qui s'est exécutée à 1:05, car le journal n'est pas arrivé à Oracle Log Analytics pour le moment. Lors de la prochaine exécution à 01:10, l'interrogation recherche les journaux avec des horodatages compris entre 01:05 et 01:10. Dans ce cycle également, L1 n'est pas détecté car son horodatage est 01:04. L'interrogation suivante peut ne pas voir tous les enregistrements de journaux si les journaux arrivent en retard :

  Label = 'Authentication Error' | stats count as logrecords by 'Log Source'

  Pour déterminer le délai d'arrivée des journaux dans Oracle Log Analytics, calculez la différence entre l'horodatage mentionné dans l'enregistrement de journal et l'heure de report du processeur de journaux. L'exemple d'interrogation suivant peut être utilisé pour vérifier s'il y a un délai :

  Label = 'Authentication Error' and 'Log Processor Posting Time (OMC INT)' != null | fields 'Agent Collection Time (OMC INT)', 'Data Services Load Time', 'Process Time', 'Log Processor Posting Time (OMC INT)'

  L'interrogation suivante utilise la fonction dateRelative pour ajuster le délai de 3 minutes d'une tâche qui s'exécute à un intervalle de 5 minutes :

  Label = 'Authentication Error' and Time between dateRelative(8minute, minute) and dateRelative(3minute, minute) | stats count as logrecords by 'Log Source'

• Autres facteurs :

  • Pour comprendre comment les interrogations sont créées dans le service de surveillance, voir Création d'interrogations de mesure dans la documentation sur Oracle Cloud Infrastructure.

  • Notez les informations sur les limites pour la publication des données de mesure dans le service de surveillance. Les limites correspondent aux mesures pour une tâche programmée. Voir PostMetricData API dans la documentation sur Oracle Cloud Infrastructure.

    Lorsque votre recherche enregistrée peut générer plus de 200 valeurs Unique par champ, des résultats partiels sont reportés en raison des limites imposées par le service de surveillance. Dans ce cas, pour voir les résultats top ou bottom 200, utilisez la commande sort.