Vous pouvez créer des liens à l'aide de la fonction url de la commande eval.

Rubriques supplémentaires :

• Utiliser une URL abrégée avec un nom personnalisé

• Utiliser le raccourci CVE pour lier des bases de données CVE

• Utiliser le raccourci OCID pour lier automatiquement les ressources OCI

Dans l'interrogation suivante, des URL sont affectées aux valeurs pour Search 1, Search 2 et Search 3 :

'Log Source' = 'Database Alert Logs' 
| link cluster() 
| where 'Potential Issue' = '1' 
| nlp keywords('Cluster Sample') as 'Database Error' 
| eval 'Search 1' = url('https://www.google.com/search?q=' || 'Database Error') 
| eval 'Search 2' = url('https://www.google.com/search?q=' || 'Database Error', Errors) 
| eval 'Search 3' = url(google, 'Database Error')

Dans l'analyse ci-dessus :

• Search 1, Search 2 et Search 3 sont maintenant des champs cliquables. Cliquez sur le lien pour afficher les résultats de recherche de ces mots clés.

• Search 2 n'affiche pas l'URL complète. À la place, le deuxième paramètre de la fonction url est utilisé pour donner à l'URL un nom différent, par exemple Errors.

• Search 3 est similaire à Search 1, mais le raccourci google est utilisé pour générer l'URL. Au lieu d'utiliser l'URL entière, vous pouvez utiliser des raccourcis similaires.

Utilisez la commande fields target = ui pour contrôler les champs qui doivent être masqués ou affichés dans la table des groupes de liens. Vous pouvez également utiliser cette commande pour contrôler l'ordre des champs.

Voici quelques exemples :

Masquez tous les champs Time, triez la table comme Size, Log Source, Count :

* | eval 'Raw Size' = unit('Raw Size', byte)
 | link 'Log Source'
 | stats sum('Raw Size') as Size
 | fields target = ui -'*Time', Size, 'Log Source', Count

Identique à ce qui précède, mais en utilisant plusieurs commandes de champs :

* | eval 'Raw Size' = unit('Raw Size', byte)
 | link 'Log Source'
 | stats sum('Raw Size') as Size
 | fields target = ui -'*Time'
 | fields target = ui Size, 'Log Source', Count 

La combinaison de fields et de fields target = ui (fields sans target = ui effectue un filtrage dans le système dorsal) :

* | eval 'Raw Size' = unit('Raw Size', byte)
 | link 'Log Source'
 | stats sum('Raw Size') as Size
 | fields -'*Time'
 | fields target = ui Size, 'Log Source', Count 

Chaque rangée de la table Link correspond à un groupe. Vous pouvez modifier l'alias des onglets Groupe, Groupes et Enregistrements de journal.

Dans le menu Options, modifiez les valeurs Alias de groupe, Alias de groupes et Alias d'enregistrements de journaux.

L'Alias de groupe est utilisé lorsqu'il n'y a qu'un seul élément dans la table principale.

Utilisez la commande map pour joindre plusieurs sous-groupes à partir des groupes liés existants. Cela est utile pour affecter un ID session aux événements associés ou pour corréler des événements entre différents serveurs ou sources de journaux.

Par exemple, l'interrogation ci-dessous joint les événements de mémoire insuffisante à d'autres événements qui se situent à moins de 30 minutes et colore ces groupes pour mettre en évidence un contexte de panne de mémoire insuffisante :

* | link Server, Label
  | createView [ *   | where Label = 'Out of Memory' 
                     | rename Entity as 'OOM Server', 'Start Time' as 'OOM Begin Time' ] as 'Out of Memory Events'
  | sort Entity, 'Start Time'
  | map [ * | where Label != 'Out of Memory' and Server = 'OOM Server' and 
                    'Start Time' >= dateAdd('OOM Begin Time', minute,-30) and 'Start Time' <= 'OOM Begin Time'
            | eval Context = Yes 
        ] using 'Out of Memory Events'
  | highlightgroups color = yellow [ * | where Context = Yes ] as '30 Minutes before Out of Memory'
  | highlightgroups priority = high [ * | where Label = 'Out of Memory' ] as 'Server Out of Memory'

Voir map.

Utilisez la commande createview pour créer des sous-groupes à partir des groupes liés existants. Vous pouvez l'utiliser conjointement avec la commande map pour joindre des groupes.

Par exemple, vous pouvez regrouper toutes les erreurs de mémoire insuffisante à l'aide de la commande suivante :

* | link Entity, Label 
  | createView  [ * | where Label = 'Out of Memory' ] as 'Out of Memory Events'

Voir createview.

Utilisez la commande highlightgroups pour rechercher une ou plusieurs colonnes dans les résultats Link et mettre en évidence des groupes spécifiques. Vous pouvez éventuellement affecter une priorité aux régions mises en évidence. La priorité sera utilisée pour colorer les régions. Vous pouvez également indiquer explicitement une couleur.

Par exemple :

* 
| link Label 
| highlightgroups priority = medium [ * | where Label in ('Log Writer Switch', 'Checkpoint Wait') ] 
| highlightgroups priority = high   [ * | where Label = 'Service Stopped' ] as Shutdown 
| highlightgroups color = #68C182   [ * | where Label = 'Service Started' ] as Startup

Voir highlightgroups.

Vous pouvez éventuellement fusionner les colonnes mises en évidence pour créer une seule colonne :