Table principale

Vous pouvez créer des liens à l'aide de url de la commande eval.

Rubriques supplémentaires :

• Utiliser le raccourci URL avec un nom personnalisé

• Utiliser le raccourci CVE pour établir une liaison avec des bases de données CVE

• Utilisation du raccourci OCID pour la liaison automatique aux ressources OCI

Dans la requête suivante, des URL sont affectées à Search 1, Search 2 et Search 3 :

'Log Source' = 'Database Alert Logs' 
| link cluster() 
| where 'Potential Issue' = '1' 
| nlp keywords('Cluster Sample') as 'Database Error' 
| eval 'Search 1' = url('https://www.google.com/search?q=' || 'Database Error') 
| eval 'Search 2' = url('https://www.google.com/search?q=' || 'Database Error', Errors) 
| eval 'Search 3' = url(google, 'Database Error')

Dans l'analyse ci-dessus :

• Les champs Search 1, Search 2 et Search 3 peuvent désormais faire l'objet d'un clic. Cliquez sur le lien pour afficher les résultats de la recherche pour ces mots-clés.

• Search 2 n'affiche pas l'URL entière. Au lieu de cela, le deuxième paramètre de la fonction url est utilisé pour donner à l'URL un nom différent, par exemple, Errors.

• Search 3 est similaire à Search 1, mais le raccourci google est utilisé pour générer l'URL. Au lieu d'utiliser l'URL entière, vous pouvez utiliser des raccourcis similaires.

Utilisez la commande fields target = ui pour contrôler les champs qui doivent être masqués ou affichés dans la table des groupes de liens. Vous pouvez également utiliser cette commande pour contrôler l'ordre des champs.

Voici quelques exemples:

Masquez tous les champs Time et classez la table comme suit : Size, Log Source, Count :

* | eval 'Raw Size' = unit('Raw Size', byte)
 | link 'Log Source'
 | stats sum('Raw Size') as Size
 | fields target = ui -'*Time', Size, 'Log Source', Count

Identique à ce qui précède, mais avec plusieurs commandes de champs :

* | eval 'Raw Size' = unit('Raw Size', byte)
 | link 'Log Source'
 | stats sum('Raw Size') as Size
 | fields target = ui -'*Time'
 | fields target = ui Size, 'Log Source', Count 

La combinaison de fields et fields target = ui (fields sans target = ui effectue le filtrage dans le back-end) :

* | eval 'Raw Size' = unit('Raw Size', byte)
 | link 'Log Source'
 | stats sum('Raw Size') as Size
 | fields -'*Time'
 | fields target = ui Size, 'Log Source', Count 

Chaque ligne de la table de liens correspond à un groupe. Vous pouvez modifier l'alias pour les onglets Groupes, Groupes et Enregistrements du journal.

Dans le menu Options, modifiez les valeurs d'alias de groupe, d'alias de groupe et d'alias d'enregistrements de journal.

L'alias de groupe est utilisé lorsqu'un seul élément est présent dans la table principale.

Utilisez la commande map pour joindre plusieurs sous-groupes à partir des groupes liés existants. Cette opération est utile pour affecter un ID de session aux événements associés ou pour corréler les événements entre différents serveurs ou sources de journal.

Par exemple, la requête ci-dessous joint les événements de mémoire insuffisante aux autres événements sur une plage de 30 minutes avant et après, et colore ces groupes pour mettre en évidence le contexte de coupure pour cause de mémoire insuffisante :

* | link Server, Label
  | createView [ *   | where Label = 'Out of Memory' 
                     | rename Entity as 'OOM Server', 'Start Time' as 'OOM Begin Time' ] as 'Out of Memory Events'
  | sort Entity, 'Start Time'
  | map [ * | where Label != 'Out of Memory' and Server = 'OOM Server' and 
                    'Start Time' >= dateAdd('OOM Begin Time', minute,-30) and 'Start Time' <= 'OOM Begin Time'
            | eval Context = Yes 
        ] using 'Out of Memory Events'
  | highlightgroups color = yellow [ * | where Context = Yes ] as '30 Minutes before Out of Memory'
  | highlightgroups priority = high [ * | where Label = 'Out of Memory' ] as 'Server Out of Memory'

Reportez-vous à map.

Utilisez la commande createview pour créer des sous-groupes à partir des groupes liés existants. Elle peut être utilisée conjointement avec la commande map pour joindre des groupes.

Par exemple, vous pouvez regrouper toutes les erreurs de mémoire insuffisante à l'aide de la commande suivante :

* | link Entity, Label 
  | createView  [ * | where Label = 'Out of Memory' ] as 'Out of Memory Events'

Reportez-vous à createview.

Utilisez la commande highlightgroups pour rechercher des colonnes dans les résultats Lien et mettre en évidence des groupes spécifiques. Vous pouvez éventuellement affecter une priorité aux régions mises en évidence. La priorité peut être utilisée pour définir la couleur appliquée aux régions. Vous pouvez également spécifier explicitement une couleur.

Par exemple :

* 
| link Label 
| highlightgroups priority = medium [ * | where Label in ('Log Writer Switch', 'Checkpoint Wait') ] 
| highlightgroups priority = high   [ * | where Label = 'Service Stopped' ] as Shutdown 
| highlightgroups color = #68C182   [ * | where Label = 'Service Started' ] as Startup

Reportez-vous à highlightgroups.

Vous pouvez éventuellement fusionner les colonnes mises en évidence pour créer une seule colonne :